JD Work/Richard Harknett: Troubled vision: Understanding recent Israeli-Iranian offensive cyber exchanges. Washington D.C.: The Atlantic Council, Juli 2020

Sönke Marahrens

doi:10.1515/sirius-2020-4022

Article Publicly Available

JD Work/Richard Harknett: Troubled vision: Understanding recent Israeli-Iranian offensive cyber exchanges. Washington D.C.: The Atlantic Council, Juli 2020

Sönke Marahrens

Published/Copyright: November 27, 2020

Published by

Become an author with De Gruyter Brill

Author Information Explore this Subject

From the journal SIRIUS – Zeitschrift für Strategische Analysen Volume 4 Issue 4

Reviewed Publication:

Work JD Harknett Richard Troubled vision: Understanding recent Israeli-Iranian offensive cyber exchanges Washington D.C. The Atlantic Council Juli 2020

Der Issue Brief von JD Work und Richard Harknet ist sowohl faktisch als auch methodisch eine sehr lesenswerte Studie. Die Verfasser stellen dezidiert die Dynamiken der Auseinandersetzung eines begrenzten Cyberschlagabtauschs zwischen Israel und dem Iran aus dem Frühjahr 2020 dar und zeigen auf, dass die verfügbaren Methoden für die Analyse und Bewertung von Cyberattacken noch nicht ausreichend scharf genug sind.

Zur Analyse und zum Verständnis des Cyberschlagabtauschs bieten die Autoren zwei Perspektiven an: zum einen könnten die Cyberaktivitäten als Versuch gewertet werden, Abschreckung durch Cyberoperationen zu etablieren, zum anderen als das Ringen um die Initiative oder einen relativen Sicherheitsvorteil in einem bestehenden Cyberumfeld zu erreichen, bzw. zu bewahren.

Unter der Annahme (die Studie stützt sich nur auf offene Daten ab), dass es tatsächlich eine Cyberauseinandersetzung zwischen den beiden Ländern gab, bzw. gibt, werden zwei verschiedene Endstadien diskutiert: 1. der Versuch, sich gegenseitig rote Linien aufzuzeigen. So wurde in Israel durch einen Cyberangriff eine kritische Wasserinfrastruktur mit dem Ziel angegriffen, auch letale Effekte zu erzielen, während im Gegenzug im Iran eine Hafenanlage angegriffen wurde, die dem Export von Rüstungsgütern dient. 2. der Versuch, sich einen relativen Sicherheitsvorteil im Cyberspace zu verschaffen.

Für die Motivation des vermeintlichen Erstschlags durch den Iran werden vor dem Hintergrund der zeitlichen Nähe zum symbolträchtigen iranischen Feiertag Qods Day zwei Hypothesen formuliert. So könnte die Attacke erstens den Versuch dargestellt haben, durch eine offensive Operation Stärke gegenüber der eigenen Bevölkerung und der Region zu zeigen. Die Attacke könnte aber zweitens auch das Ergebnis interner Querelen gewesen sein, infolgedessen die iranische Cyberabteilung ihren Kritikern ihre Effizienz demonstrieren wollte.

Der israelische Cyberangriff auf den iranischen Hafen Shahid Rajeaei, über den 85 % der iranischen Importe umgeschlagen werden, wird als Antwort auf einen konzertierten iranischen Angriff auf mehrere israelische zivile und militärische IT-Systeme gewertet. Dabei hätten die Israelis zwei Optionen gehabt: einen offensiven Cybereffekt als gleichwertigen Gegenschlag oder als Bestandteil einer größeren Destabilisierungskampagne.

Die Autoren schlagen zur Verifizierung zwei unterschiedliche Perspektiven vor: entweder geht es darum, Abschreckung neu zu fassen oder es geht darum, den „Cyberspace als ein neues strategisches Umfeld“ zu begreifen. Abschreckung wird hier an die israelische Warnung geknüpft, dass killing Israelis eine rote Linie bedeuten würde. Wenn das aber so ist, dann ist es unverständlich, warum ein Hafen mit Cybermitteln angegriffen wird, da dieser Angriff zum einen eine israelische Cyberfähigkeit offenlegt und zum anderen mit einem loud shout (Jason Healey) versehen werden müsste, um die eigene Urheberschaft offenzulegen. Von daher gehen die Verfasser davon aus, dass Israel und der Iran den Cyberspace mittlerweile als interconnected structure verstehen, die ein eigenes strategisches Umfeld schaffe. Diese „hochfluide Kontaktfläche“ mache es notwendig, permanent mit einander zu agieren und − aufgrund der Halbwertzeit von Cyberlücken − dann und dort zuzuschlagen, wo und wann es möglich ist und nicht darauf zu warten, wann es opportun wäre, um damit Initiative, Beharrlichkeit und Widerstandsfähigkeit aufzuzeigen.

Die iranische Cyberattacke sei dabei kein erster Versuch gewesen. Es gab bereits ähnliche Vorläufer durch iranische und palästinensische Hackergruppen, sowohl in der Golfregion als auch gegen Israel. Zudem ließen sich Ursprünge in einer russischen Cyberattacke gegen die Ukraine nachweisen. Die iranischen Cyberkräfte haben mittlerweile eine eigene Organisation, die weltweite Cyberangriffe analysiert und für den eigenen Gebrauch re-designed und/oder re–engnieererd. Damit muss der iranische Cyberangriff als gezielter Bestandteil eines Wettbewerbs zwischen dem Iran und Israel gewertet werden. Die israelische Antwort gegen einen Hafen kann dann als Versuch gesehen werden, den Angriffsvektor zu verschieben, um den Iran zu zwingen, sich mehr mit seinen eigenen Schwächen auseinanderzusetzen. Die Konsequenzen dieser gegenseitigen Aktivitäten lassen sich auf zwei Arten interpretieren: es könnte sich eine „Gegenabschreckungdynamik“ entwickeln oder beide Akteure sind sich der Dynamik bewusst und versuchen, nur für sich Sicherheit zu erreichen, nutzen dabei aber einen learning through action-Ansatz, um nicht überrascht zu werden.

Für beide Optionen gilt als Annahme das Vorhandensein einer strategischen Rivalität. Es gibt allerdings auch andere, weniger komplexe, Erklärungsmodelle. Zum einen gibt es Belege, dass der initiierende iranische Angriff nur auf operativen Rivalität zwischen der iranischen Marine und den Cyberkräften basierte, die beide bei Versuchen versagt haben, der iranischen Führung neue Fähigkeiten vorzuführen. Zum anderen könnte der israelische Angriff auf den Hafen auch keine direkte Reaktion gewesen sein, sondern nur Bestandteil einer bereits länger andauernden Operation Israels mit dem Ziel, die nukleare Rüstung des Iran zu unterbinden. Auch hier für lassen sich Belege finden. Damit lässt sich zwar schließen, das Cyberoperationen Bestandteil staatlichen Handelns sind, aber es kann nicht unterschieden werden, ob sie nur ein neues Mittel oder bereits eine eigene strategische Domäne sind.

Die Autoren weisen auf drei analytische Prinzipien hin, die in der Cyberauseinandersetzung zwischen Israel und Iran berücksichtigt werden sollten.

Die Annahme, eine Cyberauseinandersetzung beruhe auf einem strategischen Kalkül, ist naheliegend, aber nicht zwingend geboten.
Der Erfolg von Cyberauseinandersetzungen kann schwer nachgewiesen werden; es könnte auch sein, dass beide Parteien nur mehr oder weniger erfolgreich experimentiert haben.
Narrative über bestimmte Cyberattacken müssen nicht korrekt sein; sie können auch dazu dienen Einzeloperationen anderer größerer Operationen zu verschleiern.

Damit ergibt sich als Schlussfolgerung, dass Cybersicherheitsforscher, Analysten und Politiker noch viel Arbeit vor sich haben, um Cyberattacken und die Cyberdomäne vollständig zu verstehen. Bestehende Analyserahmen können dabei helfen, müssen aber aufgrund der cyberspezifischen Besonderheiten stets hinterfragt werden.

https://www.atlanticcouncil.org/in-depth-research-reports/issue-brief/troubled-vision-understanding-israeli-iranian-offensive-cyber-exchanges/

Published Online: 2020-11-27

Published in Print: 2020-11-25

Articles in the same Issue

https://doi.org/10.1515/sirius-2020-4022