Digitale Stürme: Der rechtliche Rahmen von Cyber-Bedrohungen für maritime Infrastruktur und Schiffe

Die maritime Landschaft der Gegenwart durchläuft einen systemischen Wandel von mechanischer Abhängigkeit hin zu digitaler Integration. Da Schiffe sich zu hochkomplexen cyber-physischen Systemen entwickeln und Hafeninfrastrukturen zu vernetzten Knotenpunkten eines globalen Logistiknetzes werden, erfahren die traditionellen Parameter der maritimen Sicherheit eine grundlegende Neubewertung. Das Aufkommen cyberbedingter Eingriffe – vom Spoofing von Daten des Automatischen Identifikationssystems (AIS) bis zur ferngesteuerten Manipulation industrieller Steuerungssysteme (ICS) an Bord von Ultra Large Container Vessels (ULCVs) – stellt die etablierte *lex maritima* vor tiefgreifende Herausforderungen. Diese Analyse zielt darauf ab, zu bewerten, inwieweit das Seerechtsübereinkommen der Vereinten Nationen (UNCLOS) und die damit verbundene internationale Rechtsprechung geeignet sind, den immateriellen und dennoch existenziellen Bedrohungen durch Cyber-Angreifer zu begegnen.

Der regulatorische Rahmen und die Mandate der IMO

Die Internationale Seeschifffahrtsorganisation (IMO) hat anerkannt, dass die Sicherheit des menschlichen Lebens auf See (SOLAS) heute untrennbar mit der Cyber-Resilienz verbunden ist. Mit der Resolution MSC.428(98) verpflichtete die IMO dazu, das Cyber-Risikomanagement in bestehende Sicherheitsmanagementsysteme (SMS) gemäß dem International Safety Management (ISM) Code zu integrieren. Aus juristischer Perspektive fehlt diesen administrativen Vorgaben jedoch häufig jene Durchsetzungskraft, die vertragsbasierten Verpflichtungen eigen ist. Die Rechtswissenschaft ringt weiterhin um die Frage, ob das Versäumnis, robuste Cybersicherheitsmaßnahmen aufrechtzuerhalten, einen Verstoß gegen die Gewährleistung der Seetüchtigkeit darstellt – ein Eckpfeiler des Seerechts, der sich über Jahrhunderte hinweg auf die physische Unversehrtheit des Schiffsrumpfes und die Kompetenz der Besatzung konzentriert hat.

Wie gestaltet sich die rechtliche Verantwortlichkeit für maritime Cyberangriffe?

Die Bestimmung der rechtlichen Verantwortlichkeit für einen maritimen Cyberangriff erfordert eine Auseinandersetzung mit den Artikeln zur Staatenverantwortlichkeit für völkerrechtswidriges Handeln (ARSIWA). Gemäß Artikel 4 ist das Verhalten jedes Staatsorgans dem Staat zuzurechnen. Cyberoperationen bewegen sich jedoch häufig in einer Grauzone, in der nichtstaatliche Akteure, die möglicherweise von einem souveränen Staat unterstützt oder geduldet werden, Störungen gegen die Handelsschifffahrt ausführen. Das Grundsatzurteil des Internationalen Gerichtshofs (IGH) in der Rechtssache Nicaragua gegen die Vereinigten Staaten etablierte den Test der effektiven Kontrolle, der eine hohe Schwelle für die Zurechnung der Handlungen privater Personen zu einem Staat festlegt. Im Kontext eines Cyberangriffs auf das Terminalbetriebssystem eines Hafens bleibt es eine erhebliche beweisrechtliche Hürde nachzuweisen, dass ein Staat die effektive Kontrolle über die spezifischen digitalen Datenpakete ausübte, die von einer Hackergruppe versendet wurden.

Darüber hinaus legt der Grundsatz der due diligence, wie er im Corfu-Kanal-Fall (Vereinigtes Königreich gegen Albanien) formuliert wurde, nahe, dass jeder Staat verpflichtet ist, nicht wissentlich zuzulassen, dass sein Hoheitsgebiet für Handlungen genutzt wird, die den Rechten anderer Staaten zuwiderlaufen. Ist sich ein Küstenstaat bewusst, dass seine digitale Infrastruktur dazu genutzt wird, Signale globaler Navigationssatellitensysteme (GNSS) innerhalb seiner Ausschließlichen Wirtschaftszone (AWZ) zu stören, greift jedoch nicht ein, kann er völkerrechtlich verantwortlich werden, unabhängig davon, ob er den Angriff angeordnet hat. Die Schwierigkeit liegt in der zeitlichen Dimension der Cyberkriegsführung; anders als bei den Seeminen im Corfu-Kanal erfolgen digitale Eingriffe mit Lichtgeschwindigkeit, wodurch das Erfordernis der Kenntnis häufig funktional überholt ist, noch bevor Abhilfe geschaffen werden kann.

Wie geht das SRÜ mit Cyberbedrohungen für die Schiffsnavigation um?

Das SRÜ, oft als Verfassung der Meere bezeichnet, wurde in einer Ära der analogen Navigation entworfen. Folglich erwähnt es Cyberaktivitäten nicht ausdrücklich. Dennoch bieten die Bestimmungen des Übereinkommens zur friedlichen Durchfahrt (Artikel 19) und zu den Pflichten des Flaggenstaats (Artikel 94) einen grundlegenden, wenn auch strapazierten Rahmen. Nach Artikel 19 Absatz 2 gilt eine Durchfahrt als Beeinträchtigung des Friedens, der guten Ordnung oder der Sicherheit des Küstenstaats, wenn das Schiff eine vorsätzliche und schwere Verschmutzungshandlung begeht, eine Handlung vornimmt, die darauf abzielt, Kommunikationssysteme zu stören, oder eine sonstige Tätigkeit ausübt, die nicht unmittelbar mit der Durchfahrt zusammenhängt.

Während Artikel 19 in erster Linie darauf ausgelegt ist, das Verhalten des Schiffes selbst zu regeln, befasst sich eine aufkommende juristische Debatte mit der Frage, ob ein Schiff, dessen Navigationssysteme von einem Dritten kompromittiert wurden, weiterhin als in friedlicher Durchfahrt befindlich gelten kann. Wenn das AIS eines Schiffes manipuliert wird, um eine falsche Position anzuzeigen, und dadurch in einer stark befahrenen Meerenge ein Kollisionsrisiko entsteht, verliert das Schiff dann sein Recht auf friedliche Durchfahrt? Die vorherrschende Auffassung besagt, dass die Friedlichkeit durch die Absicht und das Verhalten des Schiffes bestimmt wird, nicht durch dessen technische Fehlfunktionen. Versäumt es der Flaggenstaat jedoch, seine Hoheitsgewalt und Kontrolle in verwaltungsmäßigen, technischen und sozialen Angelegenheiten über das Schiff auszuüben (wie in Artikel 94 gefordert), kann der Küstenstaat geltend machen, dass die Anwesenheit des Schiffes eine Bedrohung für die Sicherheit der Seefahrt darstellt, was ein Eingreifen rechtfertigt.

Vergleich der juristischen Anwendung auf maritime Bedrohungen

Kann ein Cyberangriff nach dem Völkerrecht als Piraterie gelten?

Die Definition der Piraterie in Artikel 101 des SRÜ setzt drei strenge Voraussetzungen voraus: eine rechtswidrige Gewalttat, Freiheitsberaubung oder Plünderung; begangen zu privaten Zwecken; durch die Besatzung oder die Passagiere eines Privatschiffs oder Privatflugzeugs; auf Hoher See. Die Anwendung dieses Artikels auf Cyberangriffe ist problematisch. Den meisten Cybereinbrüchen fehlt die physische Gewalt, die traditionell mit dem hostis humani generis verbunden wird. Wenn ein Hacker aus einer Wohnung an Land die Antriebssoftware eines Schiffes ferngesteuert verschlüsselt und ein Bitcoin-Lösegeld fordert, ist das Zwei-Schiffe-Erfordernis (der Angriff muss von einem Schiff gegen ein anderes geführt werden) nicht erfüllt.

Der Vorfall der Achille Lauro und die anschließenden Auslegungen durch den Ständigen Schiedshof (PCA) legen nahe, dass sich das Piraterierecht einer Ausdehnung widersetzt. Während einige Rechtswissenschaftler für eine funktionale Auslegung plädieren – bei der digitale Gewalt der physischen Gewalt gleichgestellt wird –, besteht weiterhin Konsens darüber, dass Ransomware-Angriffe auf Schiffe besser als maritimer Terrorismus oder grenzüberschreitende organisierte Kriminalität einzustufen sind und unter das Übereinkommen zur Bekämpfung widerrechtlicher Handlungen gegen die Sicherheit der Seeschifffahrt (SUA-Übereinkommen) fallen. Der Fokus des SUA-Übereinkommens auf Handlungen, die geeignet sind, die sichere Fahrt eines Schiffes zu gefährden, bietet eine flexiblere Grundlage für die Strafverfolgung von Cyber-Tätern, da es nicht die Präsenz eines zweiten Piratenschiffs erfordert.

Wer haftet für Schäden, die durch ein cyberentführtes Schiff verursacht werden?

Kommt es infolge eines Cyberangriffs – etwa durch die Manipulation eines Electronic Chart Display and Information System (ECDIS) – zu einer Kollision, verlagert sich die Haftungsfrage in den Bereich des Privatrechts, konkret der lex mercatoria und der Haager-Visby-Regeln. Artikel III Absatz 1 der Haager-Visby-Regeln verpflichtet den Beförderer, die gebotene Sorgfalt walten zu lassen, um das Schiff seetüchtig zu machen. Versäumt es ein Reeder, kritische Sicherheitsupdates einzuspielen, oder lässt er die Nutzung nicht autorisierter USB-Sticks in den Brückensystemen zu, kann das Schiff ab Beginn der Reise als unseetüchtig gelten.

Das Übereinkommen über den Zusammenstoß von Schiffen von 1910 sowie der Grundsatz der Verschuldenshaftung erschweren jedoch den Regressprozess. Kann sich der Eigentümer eines aus der Ferne gekaperten Schiffes auf die Verteidigung der Zwangs Lotsenpflicht oder auf höhere Gewalt berufen? Die Rechtsprechung im Fall Ölplattformen (Iran gegen Vereinigte Staaten) legt nahe, dass ein Kausalzusammenhang zwischen der Handlung und dem Schaden von entscheidender Bedeutung ist. Gelingt es dem Reeder nachzuweisen, dass der Cyberangriff derart ausgefeilt war, dass ihn kein vernünftiger Sorgfaltsmaßstab hätte verhindern können, kann die Haftung gemildert werden. Daraus ergibt sich ein dynamischer Sorgfaltsmaßstab, der sich mit dem technologischen Stand der Technik weiterentwickelt und maritime Betreiber kontinuierlich dazu verpflichtet, der digitalen Bedrohungslage einen Schritt voraus zu bleiben.

„Die digitale Verwundbarkeit eines Schiffes ist längst kein randständiges technisches Problem mehr, sondern ein Kernelement seines rechtlichen Status. Ein Schiff, das seine digitale Perimeter nicht verteidigen kann, gilt rechtlich möglicherweise als unseetüchtig und als Gefahr für die internationale Gemeinschaft.“

Cyberoperationen und die Schwelle zur Anwendung von Gewalt

Eine zentrale Frage besteht darin, wann eine Cyberoperation gegen maritime Infrastruktur die Schwelle zu einem bewaffneten Angriff überschreitet und damit das Recht auf Selbstverteidigung nach Artikel 51 der Charta der Vereinten Nationen auslöst. Das Tallinn Manual 2.0 spiegelt, obwohl rechtlich nicht bindend, einen sich herausbildenden Konsens wider: Eine Cyberoperation stellt eine Gewaltanwendung dar, wenn ihr Ausmaß und ihre Auswirkungen mit denen einer nicht cyberbasierten Operation vergleichbar sind, die als Gewaltanwendung eingestuft würde. Führt beispielsweise ein Cyberangriff auf das automatisierte Kransystem eines Hafens dazu, dass die Kräne einstürzen, und verursacht dies erhebliche Verluste an Menschenleben sowie materielle Zerstörung, wird die rechtliche Unterscheidung zwischen einer Rakete und einer Codezeile bedeutungslos. Die Mehrzahl der maritimen Cybervorfälle – wie Datenlecks oder vorübergehende Dienstunterbrechungen – bleibt jedoch unterhalb dieser Schwelle, was eine erhebliche Lücke im rechtlichen Rahmen für Eskalation und Abschreckung hinterlässt.

Fazit

Die Integration der Cybersicherheit in das Seerecht erfordert mehr als die bloße Anpassung bestehender Übereinkommen; sie verlangt eine grundlegende Neubewertung des Verhältnisses zwischen Souveränität, Technologie und Hoher See. Zwar bleibt das Seerechtsübereinkommen der Vereinten Nationen (UNCLOS) das zentrale Instrument der maritimen Governance, doch sein Schweigen zu digitalen Bedrohungen macht einen proaktiven Auslegungsansatz durch Institutionen wie den Internationalen Seegerichtshof (ITLOS) erforderlich. Die Weiterentwicklung des Rechts muss auf einen einheitlichen Standard digitaler Sorgfaltspflicht hinauslaufen, bei dem sowohl Flaggen- als auch Küstenstaaten strengen Anforderungen an die Cyberhygiene unterworfen werden. Angesichts der nahenden Ära des autonomen Schiffs muss die Rechtsgemeinschaft sicherstellen, dass die Rechtsstaatlichkeit nicht von der steigenden Flut digitaler Unsicherheit verschlungen wird.