Das Weiße Haus öffnet den Weg für offensive Cyberoperationen durch private Unternehmen

Das neue Programm gegen ausländische Cyberkriminalität

Ein am Mittwoch unterzeichnetes US-Präsidentenmemorandum beauftragt das National Coordination Center (NCC) mit der Einrichtung eines Programms, in dessen Rahmen private Cysecurity-Unternehmen an offensiven Operationen gegen ausländische Cyberkriminelle beteiligt werden sollen.

Die Nachricht wurde am 13. August 2026 veröffentlicht. Die Initiative richtet sich gegen Gruppen, die Ransomware, Phishing, Finanzbetrug, Sextortion, Identitätsbetrug sowie über sogenannte Compounds organisierte Romance- und Finanzbetrügereien betreiben.

Die US-Regierung behält die Kontrolle über die Aktivitäten. Unternehmen erhalten daher keine allgemeine Befugnis, eigenständig gegen kriminelle Infrastrukturen vorzugehen. Sie dürfen vielmehr im Rahmen von Missionen tätig werden, die von den Bundesbehörden festgelegt und genehmigt wurden.

Das Weiße Haus erklärt, US-Verbraucher hätten im Jahr 2025 Verluste von mehr als 20,8 Milliarden US-Dollar durch Cyberkriminalität gemeldet. Ziel sei es, Fachwissen aus dem privaten Sektor zu nutzen, das laut Memorandum bei der Identifizierung und Zerschlagung krimineller Online-Netzwerke bislang nicht ausreichend eingesetzt worden sei.

Unklar ist, ob bereits Unternehmen ihre Teilnahme zugesagt haben oder ob erste Operationen angelaufen sind. Namen autorisierter Unternehmen, beteiligte Softwareprodukte, Malware, IP-Adressen, Domains oder andere technische Indikatoren wurden nicht genannt.

Genehmigungen und föderale Kontrolle

Jede Operation muss im Voraus von Beamten des Department of Justice (DOJ) und des Department of Homeland Security (DHS) genehmigt werden. Das Memorandum sieht vor, dass jedes operative „Paket“ geprüft und schriftlich freigegeben wird.

Vor Beginn erhält das Unternehmen formelle Anweisungen zu den Grenzen und Zielen der Aktivität. Die Aufsicht übernehmen vom DOJ und DHS benannte Executive Directors, während das NCC für die Koordinierung des Programms zuständig ist.

Die Bundesbehörden haben zwei Monate Zeit, um operative Verfahren, Mindeststandards für die Teilnahme, Kriterien zur Auswahl von Zielen und Vorgaben für die Berichterstattung der Unternehmen an die Regierung festzulegen.

Zu den Anforderungen dürften gehören:

• nachweisbare technische Kompetenz;
• dokumentierte Erfahrung mit Cyberoperationen;
• Sicherheit der Betriebsstätten;
• Sicherheitsüberprüfungen des Personals;
• unternehmerische Zuverlässigkeit;
• weitere organisatorische und operative Garantien.

Die Unternehmen müssen Verträge mit dem DOJ oder DHS unterzeichnen und der Bundesregierung sämtliche Vertragsbeziehungen offenlegen. Außerdem werden sie jährlichen Bewertungen unterzogen, um ihre Zulassung zu behalten. Sie müssen regelmäßige Berichte einreichen und mit Bundes-, Landes-, Kommunal-, Stammes- und Territorialbehörden zusammenarbeiten.

Das Programm könnte zudem den Zugang zu staatlichen Informationen über Bedrohungen ermöglichen, die bei der Planung von Operationen hilfreich sind. Dies könnte die Wirksamkeit der Missionen erhöhen, macht Kontrollen zum Umgang mit Verschlusssachen und sensiblen Informationen jedoch noch wichtiger.

Operative Grenzen und der Umgang mit Fehlern

Das Memorandum schließt Operationen aus, die zum Verlust von Menschenleben führen oder nach internationalem Recht die Schwelle zur „Anwendung von Gewalt“ oder zu einem „bewaffneten Angriff“ erreichen könnten.

Vorgesehen sind außerdem Verfahren für Fehlidentifizierungen und die Überschreitung genehmigter Grenzen. Sollte ein Unternehmen versehentlich eine US-Person, ein in den Vereinigten Staaten befindliches Informationssystem oder ein von einem US-Staatsbürger kontrolliertes System treffen, müsste es die Operation unverzüglich abbrechen.

Darüber hinaus müsste es Maßnahmen zur Schadensminimierung ergreifen, das NCC informieren und die für eine spätere Benachrichtigung des Department of Justice erforderlichen Informationen bereitstellen.

Die Unternehmen wären außerdem verpflichtet, der Regierung Folgendes zu melden:

• bevorstehende Angriffe auf kritische Infrastrukturen der Vereinigten Staaten;
• Verschwörungen oder Aktivitäten, die möglicherweise Todesopfer fordern könnten.

Die Aktivitäten müssen der US-Verfassung, dem Bundesrecht und den jeweils geltenden internationalen Verpflichtungen entsprechen. Offen bleibt jedoch, wie Fälle behandelt werden, in denen eine transnationale kriminelle Gruppe mit Nachrichtendiensten, militärischen Strukturen oder ausländischen Regierungen verbunden ist.

Diese Grauzone ist zentral. Eine Operation gegen eine scheinbar kriminelle Organisation könnte diplomatische oder militärische Folgen haben, wenn deren Infrastruktur von einem Staat unterstützt, geschützt oder kontrolliert wird.

Finanzielle Garantien und die Verantwortung der Unternehmen

Die teilnehmenden Unternehmen müssen erhebliche vertragliche Auflagen akzeptieren. Vorgesehen ist eine Garantie oder ein auf einem Treuhandkonto hinterlegter Betrag von mindestens 1 Million US-Dollar, der bei einem Verstoß gegen die Vereinbarungen verfallen könnte.

Dieselbe Schwelle wird auch als Mindeststrafe für den Verstoß gegen einen beliebigen Teil des Vertrags beschrieben. Der veröffentlichte Text klärt nicht alle Einzelheiten des Mechanismus, doch das Grundprinzip ist eindeutig: Das Unternehmen muss bei einer Missachtung der operativen Regeln ein unmittelbares finanzielles Risiko tragen.

Andere Haftungsfragen bleiben unklarer. Cybersecurity-Experten haben auf den Mangel an ausdrücklichen rechtlichen Schutzvorkehrungen und auf fehlende Einzelheiten zu den Verfahren hingewiesen, die bei Schäden oder einem Fehlangriff einzuhalten wären.

Auch die persönliche Sicherheit der Einsatzkräfte ist ein konkretes Problem. Beteiligte Unternehmen könnten ebenso wie ihre Mitarbeiter und Führungskräfte zum Ziel von Vergeltungsmaßnahmen werden. Das Risiko könnte steigen, wenn Operationen gegen Gruppen durchgeführt werden, die direkt oder indirekt von ausländischen Regierungen unterstützt werden.

Jason Kikta, CTO von Automox und ehemaliger Führungskraft der Cyber National Mission Force, kritisierte den möglichen Anreiz, abrechenbare offensive Aktivitäten zu produzieren. Chris Wysopal, Mitgründer von Veracode, bezeichnete den Plan dagegen als bedeutende Veränderung der US-amerikanischen Cyberpolitik und als erhebliche Ausweitung der privaten Rolle bei offensiven Operationen.

Eine neue Abgrenzung für die private Cybersicherheitsbranche

Das Memorandum verändert die traditionelle Grenze zwischen kommerziellen Abwehrmaßnahmen und staatlich geführten Cyberoperationen. Bisher konnten Sicherheitsunternehmen kriminelle Infrastrukturen analysieren, Indikatoren sammeln, mit Behörden zusammenarbeiten und zur Reaktion auf Sicherheitsvorfälle beitragen.

Das neue Modell soll sie nun auch dazu berechtigen, gegen kriminelle Netzwerke vorzugehen – unter Beibehaltung der staatlichen Kontrolle durch die Bundesregierung. Die Vereinigten Staaten könnten dadurch zusätzliche Kapazitäten erhalten, um Ransomware, Betrug und Infrastrukturen zu unterbrechen, die sich gegen Bürger und Unternehmen richten.

Zu den Risiken zählen jedoch Fehlattributionen, Kollateralschäden, internationale Eskalationen und die unbeabsichtigte Einbeziehung US-amerikanischer Systeme. Hinzu kommt die unklare Haftung, wenn eine genehmigte Aktion unvorhergesehene Folgen hat.

Bennie Thompson, demokratischer Abgeordneter aus Mississippi und führendes Mitglied des Ausschusses für Homeland Security, äußerte Bedenken hinsichtlich der rechtlichen Implikationen und unbeabsichtigter Folgen. Thompson zufolge sind die Aufsichtsverfahren noch unklar; die Regierung sollte das Thema gemeinsam mit dem Kongress behandeln.

Die Initiative knüpft an eine im März erlassene Executive Order an, mit der die Bundesbehörden zu einem aggressiveren Vorgehen gegen Cyberkriminalität aufgefordert wurden. Ebenfalls im März hatte National Cyber Director Sean Cairncross bereits eine mögliche offensive Rolle des privaten Sektors angedeutet.

Das Programm ist daher noch keine öffentlich dokumentierte operative Kampagne. Es definiert vor allem einen institutionellen Rahmen, der bestimmte Unternehmen zu autorisierten Ausführenden offensiver Missionen machen könnte – unter föderaler Aufsicht, bei noch ungeklärten Verantwortlichkeiten und Risiken.