Es war wieder einer jener Tage im Domus Alba, an denen gewöhnliche Kaiser vielleicht einen Tee getrunken, ein paar Senatoren erschreckt oder einen neuen Triumphbogen bestellt hätten. Doch Imperator Donaldus Trumpius Maximus Cyberneticus, Herr über Mar-a-Lagum, Beschützer des goldenen Passworts und oberster Administrator des amerikanischen Weltreichs, hatte Größeres vor.
Am 12. August des Jahres MMXXVI nach der großen Erfindung des Internets durch irgendjemand anderen ließ Trumpius seine wichtigsten Würdenträger antreten.
Vizeimperator J.D. Vancius, Außenkonsul Marcus Rubius, Schatzmeister Scottus Bessentius, Kriegsherr Petrus Hegsethius, Justizprätor Pamela Bondia, Heimatschutztribun Kristi Noemia, Geheimdienstorakel, Cyber-Auguren, Haushaltszensoren und diverse weitere Männer und Frauen mit beeindruckenden Titeln erhielten eine kaiserliche Botschaft:
Rom – beziehungsweise Amerika – hackt jetzt zurück. Aber ordentlich. Mit Formular.
Denn Trumpius hatte einen neuen Feind entdeckt: die Cyber-Barbaren jenseits der digitalen Grenzen.
Die Barbaren stehen vor dem Router
Transnationale kriminelle Organisationen, im kaiserlichen Amtslatein als TCO bezeichnet, treiben laut Memorandum seit geraumer Zeit ihr Unwesen im digitalen Imperium. Sie betrügen Bürger, greifen Unternehmen an und bedienen sich jener dunklen Magie, die gewöhnliche Menschen als Phishing, Schadsoftware und Cyberkriminalität kennen.
Bereits im März hatte Trumpius mit seinem Erlass Executive Order 14390 den Kampf gegen Cyberkriminalität, Betrug und räuberische Machenschaften ausgerufen. Nun folgt die nächste Eskalationsstufe: Auch private amerikanische Unternehmen sollen unter staatlicher Führung an Cyberoperationen gegen ausländische kriminelle Netzwerke teilnehmen können.
Oder, übersetzt aus Washingtonisch ins Trumpianische:
„Wenn die Cyber-Barbaren kommen, schicken wir nicht nur Legionäre. Wir schicken Leute, die Linux wirklich verstehen.“
Und das könnte für die Barbaren tatsächlich unangenehm werden.
Die Legio Siliconensis wird aufgestellt
Im Mittelpunkt des Plans steht das National Coordination Center, fortan ehrfürchtig NCC Maximus genannt.
Dieses soll ein Programm aufbauen, verwalten und überwachen, in dem ausgewählte private US-Unternehmen Cyberoperationen gegen ausländische cybergestützte transnationale kriminelle Organisationen durchführen dürfen.
Natürlich nicht einfach so.
Denn selbst Trumpius weiß: Gibt man einem Administrator Root-Rechte, braucht man anschließend mindestens drei Aufsichtsgremien.
Deshalb werden zwei kaiserliche Cyber-Prokonsuln eingesetzt: einer aus dem Justizministerium und einer aus dem Heimatschutzministerium. Beide müssen sich koordinieren, bevor die digitalen Legionen ausrücken dürfen.
Keine wilde Horde soll also morgens um 8:17 Uhr entscheiden:
„Dieser Server sieht verdächtig aus. Kevin, mach ihn weg.“
Stattdessen lautet das Verfahren ungefähr:
Ziel erkennen. Antrag schreiben. Koordinieren. Prüfen. Noch einmal prüfen. Genehmigen. Dann Kevin holen.
Besonders schwerwiegende Operationen dürfen die beiden Cyber-Prokonsuln nicht eigenmächtig freigeben. Sobald eine Aktion wahrscheinlich Menschenleben gefährden oder nach internationalem Recht als Gewaltanwendung beziehungsweise bewaffneter Angriff gelten könnte, ist Schluss mit „einfach mal ausprobieren“.
Trumpius nennt das vermutlich:
„Maximum Cyber, minimum Weltkrieg.“
Die Privatwirtschaft bekommt den Adler
Trumpius schwärmt in seinem Memorandum von der amerikanischen Privatwirtschaft.
Sie sei innovativ.
Sie sei technologisch überlegen.
Sie sei schnell.
Sie sei mächtig.
Kurz gesagt: Sie sei beinahe so hervorragend wie Trumpius selbst – eine Auszeichnung, die im Imperium normalerweise nur goldene Gebäude und sehr große Spiegel erhalten.
Bislang seien diese Fähigkeiten im Kampf gegen internationale Cyberkriminelle nicht ausreichend genutzt worden. Das soll sich ändern.
Ausgewählte US-Unternehmen können künftig als Participating Companies, also gewissermaßen als Societates Cyberneticae Auxiliares, unter staatlicher Kontrolle Cyberüberwachungs- und Cyberwirkungsoperationen durchführen.
Aber nur nach strenger Prüfung.
Technische Kompetenz?
Pflicht.
Erfahrung?
Pflicht.
Sicherheit der Einrichtungen?
Pflicht.
Zuverlässiges Personal?
Pflicht.
Ein Praktikant, der das Administratorpasswort auf einen gelben Klebezettel schreibt?
Vermutlich Karriereende.
Interessant ist außerdem, dass sowohl große Konzerne als auch kleinere spezialisierte Firmen teilnehmen können sollen. Die Großen bringen Kapazität, die Kleinen Wendigkeit.
Oder wie Trumpius Caesar es formulieren könnte:
„Wir brauchen die gigantischen Cyber-Elefanten – aber manchmal braucht man eben auch einen sehr wütenden digitalen Dackel.“
Eine Million Dollar gegen digitalen Unfug
Besonders majestätisch wird es beim Thema Geld.
Das Justiz- und das Heimatschutzministerium dürfen von teilnehmenden Unternehmen verlangen, eine Sicherheit oder ein Treuhandguthaben von mindestens einer Million Dollar vorzuhalten. Bei Vertragsverstößen kann dieses Geld verfallen.
Das ist im Grunde die kaiserliche Version von:
„Du darfst mit dem Cyber-Katapult spielen. Aber vorher hinterlegst du eine Million Sesterzen für den Fall, dass du Konstantinopel statt der Räuberhöhle triffst.“
Eine erstaunlich vernünftige Regel.
Fast verdächtig vernünftig.
Heimliches Schleichen ausdrücklich vorgesehen
Das Memorandum definiert auch sogenannte Cyber Surveillance Operations.
Dabei geht es um verdeckte Zugriffe auf Informationssysteme zur Informations- oder Nachrichtengewinnung. Das Ziel besteht ausdrücklich darin, möglichst unentdeckt zu bleiben. Auch nicht autorisierte Zugriffe können darunter fallen, sofern sie innerhalb des staatlich kontrollierten Programms und seiner gesetzlichen Befugnisse stattfinden.
Mit anderen Worten:
Die Cyber-Legionäre sollen nicht anklopfen.
Sie sollen digital durchs Kellerfenster steigen, sich umsehen, Informationen sammeln und möglichst verschwinden, bevor irgendwo ein Administrator fragt:
„Warum läuft hier eigentlich seit Dienstag ein Prozess namens definitely_not_america.exe?“
Daneben gibt es die mächtigere Kategorie der Cyber Effects Operations.
Diese können Systeme manipulieren, stören, blockieren, beeinträchtigen oder zerstören.
Das ist dann weniger Spion im Keller und mehr:
Legio X Cybernetica bringt den digitalen Rammbock mit.
Aber wehe, der falsche Server wird getroffen
Hier zieht Trumpius bemerkenswert deutliche Grenzen.
Wenn ein teilnehmendes Unternehmen während einer Operation bemerkt, dass versehentlich eine US-Person, ein Informationssystem innerhalb der Vereinigten Staaten oder ein System unter Kontrolle einer US-Person betroffen ist, muss die Operation beendet werden.
Sofort.
Anschließend greifen Minimierungsverfahren, und das NCC sowie das Justizministerium müssen informiert werden.
Man kann sich die Meldung bereits vorstellen:
INCIDENTUM CYBERNETICUM MMXXVI-0042
Ziel: Transnationaler Cyber-Barbar.
Tatsächlich getroffen: Buchhaltungsserver eines Reifenhändlers in Ohio.
Maßnahme: Operation beendet.
Kommentar des Imperators: „Not good. Very not good.“
Auch bevorstehende Cyberangriffe gegen kritische US-Infrastruktur müssen unverzüglich gemeldet werden. Ebenso Operationen, bei denen plötzlich ein sogenanntes Critical Outcome droht.
Trumpius will schließlich Cyberkriminelle bekämpfen und nicht versehentlich den Dritten Punischen Cloudkrieg auslösen.
60 Tage bis zur Cyber-Verfassung
Innerhalb von 60 Tagen müssen die beiden Programmchefs gemeinsam mit dem Homeland Security Council detaillierte Betriebsverfahren entwickeln.
Und detailliert bedeutet hier wirklich detailliert.
Teilnahmekriterien, Vertragsbeziehungen, Zielauswahl, Berichte, Genehmigungsverfahren, rechtliche Prüfungen, Zuständigkeiten und standardisierte Operationspakete sollen festgelegt werden.
Kein Cyber-Feldzug ohne Papierkrieg.
Damit erfüllt sich eine der ältesten Regeln jeder Großmacht:
Bevor das Imperium einen Server ausschaltet, muss zunächst Microsoft Word besiegt werden.
Jedes Operationspaket muss von den Programmchefs geprüft und schriftlich genehmigt werden, bevor eine teilnehmende Firma handeln darf.
Das könnte Cyberkriminellen möglicherweise sogar eine völlig neue Verteidigungsstrategie eröffnen:
extrem komplizierte Verwaltungsverfahren.
Und selbstverständlich gibt es einen geheimen Anhang
Natürlich besitzt das Memorandum auch einen klassifizierten Anhang.
Denn kein ordentliches kaiserliches Dokument ist vollständig, solange irgendwo noch Seiten existieren, die niemand lesen darf.
Darin werden unter anderem Teile des operativen Ablaufs und der Abstimmung zwischen Strafverfolgern, Außenministerium, Schatzministerium, Kriegsministerium und Nachrichtendiensten geregelt.
Was genau dort steht?
Geheim.
Vermutlich.
Vielleicht lautet Seite eins auch einfach:
„Bitte diesen Anhang geheim halten.“
Wir werden es nie erfahren.
Sonst wäre er schließlich kein geheimer Anhang.
Nach 180 Tagen kommt der Bericht
Nach spätestens 180 Tagen müssen die Verantwortlichen erstmals Bericht über den Zustand des Programms erstatten. Danach folgt diese Berichterstattung jährlich.
Damit beweist Trumpius Caesar endgültig, dass selbst die spektakulärste Cyberoffensive am Ende vor ihrem mächtigsten Gegner niederknien muss:
dem Jahresbericht.
Und so erhebt sich im Jahre MMXXVI eine neue Legion im amerikanischen Imperium.
Keine Schilde.
Keine Schwerter.
Keine Katapulte.
Stattdessen Firewalls, Zero-Days, Analysten, Juristen, Geheimdienstinformationen und vermutlich erschreckend große Mengen Kaffee.
Über ihnen thront Donaldus Trumpius Caesar Cyber Maximus, hebt den goldenen Zeigefinger Richtung Internet und verkündet sinngemäß:
„Cyber-Barbaren! Ihr habt Amerika gehackt. Jetzt kommt Amerika zurück. Mit Anwälten, Verträgen, einer Million Dollar Kaution – und Leuten, die wissen, was sudo bedeutet.“
Ave Trumpius.
Morituri te pingimus.
