Deutschland spricht gern über Widerstandsfähigkeit. Netze sollen Angriffe verkraften, Verwaltungen nach Krisen weiterarbeiten, Gesellschaften Desinformation abweisen. Dieses Vokabular beginnt jedoch zu spät. Es setzt den Treffer voraus. Ein Stromnetz muss ausfallen, ein Rechnerverbund verschlüsselt, eine Falschmeldung verbreitet sich, bevor seine Belastbarkeit sichtbar wird. Cyberagentur-Geschäftsführer Professor Christian Hummert stellt diesem Denken einen Begriff voran: Vigilanz. Der Staat soll Gefahren erkennen, ihre Entwicklung verstehen und handeln, bevor aus Vorbereitung Wirkung wird.
Wie lassen sich emergente disruptive Technologien erkennen und für die Cybersicherheit nutzbar machen? Die @Cyberagentur sucht Forschungsreferenten (m/w/d) in Halle (Saale). Aufgaben: Forschungsideen identifizieren, Projekte und Innovationswettbewerbe planen sowie Netzwerke mit Wissenschaft und Sicherheitsakteuren aufbauen. Voll- oder Teilzeit, zwei Jahre befristet, bis 60 % mobil.
Mehr: https://t1p.de/c19cd
#Cybersicherheit #Cybersicherheitsjobs #Forschung #ITSecurity
Hummerts Buchbeitrag „Von Resilienz zu Vigilanz. Über die Verantwortung von Maschinen“ im Band „Risikoanalyse Künstliche Intelligenz“, herausgegeben von Maximilian Wanderwitz, entwirft dafür ein vierstufiges Modell. Auf Vigilanz folgen Widerstand, Erholung und Anpassung. Sein Tiefeninterview für die AFCEA-Studie zur deutschen Sicherheitsarchitektur, die am 7. und 8. Oktober beim Bonner IT-Dialog im Hotel Maritim präsentiert wird, übersetzt dieses Modell in die institutionelle Wirklichkeit. Dort erscheinen Drohnen über kritischen Anlagen, Angreifer platzieren sich unbemerkt in digitalen Netzen, ausländische Akteure bearbeiten das Vertrauen in demokratische Institutionen. Behörden besitzen Wissen und technische Fähigkeiten. Ihr Zusammenspiel bleibt lückenhaft. Sicherheit scheitert so bereits zwischen Wahrnehmung und Eingriff.
Der Angriff beginnt lange vor dem Alarm
Hybride Angriffe meiden die klare Schwelle zwischen Frieden und Krieg. Sie nutzen Mehrdeutigkeit als Waffe. Eine Drohne kann filmen, testen oder eine spätere Operation vorbereiten. Schadsoftware kann Daten stehlen, Systeme auskundschaften oder jahrelang auf ein Signal warten. Desinformation kann Überzeugungen verschieben, Institutionen delegitimieren und Krisen verstärken. Jeder einzelne Vorgang erlaubt harmlose Erklärungen. Erst das Muster offenbart die Absicht.
Hummert nennt für die digitale Vorpositionierung ein anschauliches Bild: eine vergrabene Sprengladung an einer Pipeline, die auf den Tag ihres Einsatzes wartet. Im Cyberraum bleiben solche Ladungen unsichtbar. Angreifer dringen in Versorgungsnetze, Verwaltungen oder Kommunikationssysteme ein und schaffen Zugriffsmöglichkeiten. Der Schaden entsteht später. Eine Sicherheitsordnung, die erst auf den Ausfall reagiert, überlässt dem Gegner Zeitpunkt und Takt.
Auch Desinformation entfaltet ihre Wirkung vor dem offenen Krisenfall. Hummerts Buchbeitrag verweist auf den fortdauernden Einfluss einer Falschinformation, selbst nachdem ihre Unwahrheit geklärt wurde. Der erste Eindruck wirkt nach der Korrektur fort. Prävention erhält damit eine demokratische Bedeutung. Eine Gesellschaft muss Manipulationsmuster erkennen, Quellen prüfen und fremde Einflussnahme sichtbar machen, bevor die Erzählung politische Wirklichkeit formt.
Widerstandsfähigkeit setzt zu spät an
Der geläufige Resilienzbegriff umfasst drei Fähigkeiten: Ein System hält einem Angriff stand, erholt sich und verändert seine Struktur für kommende Angriffe. Hummert ergänzt eine vorgelagerte Fähigkeit. Vigilanz erkennt Gefahr, bereitet Abwehr vor und kann den Angriff vereiteln. Im Cyberraum könnte ein Betreiber Netze vorsorglich neu ordnen, Schutzkapazitäten hochfahren oder gefährdete Systeme zeitweise trennen. Der erste Treffer verliert seinen Automatismus.
Diese Erweiterung verändert sicherheitspolitische Prioritäten. Schutzbudgets fließen häufig in gehärtete Anlagen, Ersatztechnik und Wiederanlaufpläne. Vigilanz verlangt zusätzlich Sensoren, gemeinsame Lageauswertung, Frühwarnung, Übungen und klare Eingriffsrechte. Der Erfolg zeigt sich im ausgebliebenen Schaden. Das erschwert politische Vermittlung, weil verhinderte Krisen keine Bilder liefern. Gerade deshalb braucht Prävention messbare Ziele: verkürzte Meldezeiten, bekannte Zuständigkeiten, getestete Rückkanäle und Entscheidungen innerhalb definierter Fristen.
Vigilanz ergänzt die Widerstandsfähigkeit. Jede Früherkennung kann irren. Vollständige Wachsamkeit würde in Misstrauen und Dauerverdacht kippen. Das Vierphasenmodell behandelt Prävention als erste Sicherungsebene und Resilienz als Rückhalt nach einem übersehenen oder unvermeidbaren Angriff. Sicherheitspolitik gewinnt dadurch zeitliche Tiefe: Sie arbeitet vor, während und nach der Störung.
Orchestrierung entscheidet über staatliche Macht
Im Interview verdichtet Hummert die deutsche Lage auf ein Führungsproblem. Technologien, Fachleute und Organisationen existieren. Die Verbindung zwischen ihnen fehlt. Beim Zivilschutz reicht die Kette von kommunalen Feuerwehren über das Technische Hilfswerk und die Länder bis zum Bund. Auf Bundesebene prägt der militärische Operationsplan die Verteidigung. Ein gleichwertiges ziviles Gefüge mit eingeübten Übergängen fehlt nach Hummerts Analyse.
Das Blackout-Szenario legt die Folgen offen. Fällt in einer Stadt über mehrere Tage der Strom aus, geraten Zahlung, Versorgung und öffentliche Ordnung unter Druck. Kommunale Polizei und Hilfsorganisationen erreichen ihre Grenzen. In der Nähe stationierte Bundeswehreinheiten verfügen womöglich über Personal und Gerät. Der rechtmäßige Zugriff auf diese Fähigkeiten braucht Anträge, Zuständigkeiten und Führung. Ungeklärte Übergänge verbrauchen Zeit, während die Lage eskaliert.
Ähnlich zeigt sich das Problem bei Drohnenüberflügen. Eine örtliche Polizeidienststelle trägt Verantwortung, ihre Abwehrmittel und Lageübersicht bleiben häufig begrenzt. Die Bundeswehr besitzt Fähigkeiten, ihr Einsatz im Innern folgt engen Regeln. Der Staat beobachtet damit eine Gefahr, während seine Mittel getrennt bleiben. Technik ohne Orchestrierung erzeugt dokumentierte Ohnmacht.
Die vorhandenen Behörden brauchen verbindliche Verbindungen. Hummerts eigene Cyberagentur weist auf ein geeignetes Prinzip. Als gemeinsame Einrichtung des Innen- und Verteidigungsressorts bringt sie Polizei, Nachrichtendienste und Bundeswehr in Arbeitszusammenhänge, die institutionell selten entstehen. Solche Knoten brauchen Mandate, gesicherte Datenwege und verbindliche Verfahren. Die Architektur zählt mehr als das Organigramm.
Die Maschine sieht, der Mensch haftet
Ein ressortübergreifendes Lagebild stößt schnell an die Grenzen menschlicher Aufmerksamkeit. Kritische Infrastrukturen, Satelliten, Funknetze, Kameras und digitale Angriffserkennung erzeugen Datenmengen, die kein Stab vollständig lesen kann. Maschinelles Lernen filtert, priorisiert und verbindet Hinweise. Es macht viele Muster sichtbar und schafft zugleich ein neues Verantwortungsproblem.
Jeder Filter entscheidet, was ein Mensch zu sehen bekommt. Stuft ein System ein Signal falsch ein, verschwindet die Gefahr aus dem Lagebild. Die Maschine prägt damit den Raum politischer Entscheidung. Verantwortung und Amtseid bleiben menschliche Aufgaben. Hummerts Buchbeitrag beschreibt zudem den Automatisierungsbias: Menschen vertrauen technischen Urteilen, weil Berechnung neutral wirkt. Daten und Modelle tragen jedoch frühere Entscheidungen, Auswahlfehler und Interessen weiter.
Auditierbarkeit bildet deshalb eine staatliche Kernanforderung. Behörden müssen nachweisen können, welche Daten ein System nutzte, welche Regeln oder Modelle wirkten und wie eine Empfehlung entstand. Bei zeitkritischen Einsätzen muss die Prüfung bereits während der Entscheidung wirken. Das System muss Unsicherheit anzeigen, Alternativen offenlegen, Widerspruch ermöglichen und menschliche Verantwortung benennen.
Geschwindigkeit verengt die Freiheit der Entscheidung
Der militärische Entscheidungszyklus aus Beobachten, Einordnen, Entscheiden und Handeln belohnt Geschwindigkeit. Wer den Zyklus schneller durchläuft, zwingt dem Gegner seinen Takt auf. Lernende Systeme beschleunigen jede Phase. Hummert zieht daraus eine unbequeme Folgerung: Eine Konfliktpartei mit vielen menschlichen Prüfschritten kann gegenüber einem hochautomatisierten Gegner Zeit verlieren.
Diese Logik treibt autonome Aufklärung, Zielauswahl und Drohnenabwehr. Zugleich gefährdet sie die menschliche Entscheidungssouveränität. Ein Mensch, der binnen Sekunden eine fertige Empfehlung bestätigt, übt nur formell Kontrolle aus. Echte Führung braucht Zeit, Verständnis und eine reale Möglichkeit zum Widerspruch. Menschliche Kontrolle muss wirksam bleiben.
Hummert sucht daher nach Technologien, die menschliche Vigilanz zurückholen. Gehirn-Computer-Schnittstellen bilden in seinem Buch einen möglichen Weg, große Informationsmengen schneller zu erfassen. Für die Sicherheitspolitik liegt die nähere Aufgabe jedoch bei verständlichen Oberflächen, trainierten Stäben und begrenzten Automatisierungsgraden. Die technische Geschwindigkeit muss zur politischen Verantwortungsfähigkeit passen. Ein System, das schneller entscheidet, als sein verantwortlicher Nutzer verstehen kann, löst die Befehlskette auf.
Wachsamkeit braucht demokratische Grenzen
Der Begriff Vigilanz trägt eine Ambivalenz. Wachsamkeit kann Bürger zu handelnden Subjekten machen. Sie erkennen ungewöhnliche Vorgänge, melden Gefahren und kontrollieren staatliches Fehlverhalten. Hummert beschreibt diese verteilte Aufmerksamkeit als demokratische Form von Sicherheit. Sie unterscheidet sich von zentraler Überwachung, die Bürger vor allem als Objekte erfasst.
Die Grenze verläuft zum Vigilantismus. Bürgerwehren, digitale Denunziation und private Strafaktionen beschädigen das Gewaltmonopol. Auch staatliche Früherkennung kann entgleisen, sobald sie jeden Bürger als mögliches Risiko behandelt. Vigilanz braucht daher gesetzliche Zwecke, begrenzte Datennutzung, unabhängige Kontrolle und wirksamen Rechtsschutz. Ein wachsamer Staat muss zugleich beobachtbar bleiben.
Diese Bedingung gilt besonders für Desinformation. Eine demokratische Regierung darf materielle Tatsachen schützen, ausländische Kampagnen offenlegen und koordinierte Manipulation untersuchen. Politische Wahrheit bleibt Ergebnis des öffentlichen Streits, parlamentarischer Verfahren und gerichtlicher Prüfung. Sprachmodelle berechnen Wahrscheinlichkeiten aus Daten. Wer die Erzeugung und Prüfung politischer Aussagen vollständig an Maschinen überträgt, überlässt statistischen Mehrheiten die Grenze zwischen wahr, falsch, erlaubt und verboten.
Forschungssicherheit gehört zur Verteidigung
Vigilanz beginnt bereits im Labor. Hummert warnt im Interview vor Sicherheitsforschung in offenen Räumen, ungeschützter Informationstechnik und Projekten ohne überprüftes Personal. Hochschulen und junge Unternehmen entwickeln Systeme mit militärischem Nutzen, während Schutzkonzepte der Forschung zurückbleiben. Nach seiner Angabe entstanden binnen eines Jahres 139 gemeinsame Veröffentlichungen deutscher Forschungseinrichtungen mit einer chinesischen Organisation, die an der Modernisierung des dortigen Atomwaffenarsenals arbeitet.
Die Zahl verweist auf eine strategische Leerstelle. Forschungsfreiheit braucht Kenntnis über Partner, Geldflüsse, Datenzugriffe und den möglichen Gebrauch von Ergebnissen. Andere europäische Staaten haben dafür eigene Strukturen aufgebaut. Deutschland benötigt verbindliche Beratung, Sicherheitsstandards und Anlaufstellen für Hochschulen und Unternehmen. Abschottung würde wissenschaftliche Leistungsfähigkeit beschädigen. Sorglose Offenheit verschenkt Wissen, das später gegen deutsche und europäische Interessen wirken kann. Forschungssicherheit muss beides verbinden: Kooperation und informierte Begrenzung.
Auch die Milliarden für Verteidigung und kritische Infrastruktur verlangen Richtung. Hummert versteht das Sondervermögen als seltene Gelegenheit, künftige Fähigkeiten aufzubauen. Beschaffung muss Zukunftsbedarf finanzieren. Sie braucht Szenarien, technologische Zeitpläne und überprüfbare Wirkungsziele. Wer Drohnen, Funkgeräte oder künstliche Intelligenz kauft, muss Personal, Netze, Wartung, Daten und Einsatzrecht zugleich planen. Ein Gerät ohne Einbindung bleibt Inventar.
Eine Verwaltung, die handeln darf
Vigilanz verlangt rechtliche Klarheit vor der Krise. Im Interview schildert Hummert einen Cybervorfall, bei dem deutsche Behörden abgeflossene Bundestagsdaten auf einem russischen System fanden und Zugang besaßen. Die gesetzliche Grundlage für eine Löschung fehlte. Dieser Fall bündelt das Dilemma aktiver Cyberabwehr. Der Staat erkennt den Schaden, kennt einen möglichen Eingriff und bleibt gebunden. Rechtsstaatliche Begrenzung schützt Freiheit. Unklare Regeln erzeugen Lähmung.
Der Gesetzgeber muss daher Befugnisse, Schwellen und Kontrolle vorab bestimmen. Welche Behörde darf bei einem laufenden Angriff in fremde Systeme eingreifen? Wer bestätigt die Zuordnung des Angreifers? Welche Folgen für unbeteiligte Dritte sind vertretbar? Wer dokumentiert und prüft den Einsatz? Solche Fragen gehören in das Parlament, lange bevor ein Krisenstab unter Zeitdruck entscheidet.
Zur rechtlichen Klarheit kommt eine Verwaltungskultur, die begründetes Risiko zulässt. Hummert beschreibt Vergaben, die sich durch Absicherung verlängern, und Beschäftigte, die aus Angst vor persönlicher Haftung zögern. Fehlerfreiheit als Verwaltungsziel führt bei neuartigen Bedrohungen zur Untätigkeit. Verantwortliche brauchen begrenzte Erprobungsräume, dokumentierte Annahmen und Schutz für vertretbare Entscheidungen. Lernen verlangt Konsequenz bei Fahrlässigkeit und Freiheit bei verantworteten Versuchen.
Der wachsame Staat bleibt ein Rechtsstaat
Hummerts Interview und sein Buchbeitrag führen zu einem Sicherheitsbegriff, der Technik, Institutionen und Demokratie verbindet. Der Staat muss früher sehen, schneller ordnen und rechtzeitig handeln. Gleichzeitig muss jeder Eingriff einer benannten Verantwortung folgen. Künstliche Intelligenz kann Muster erkennen, Angriffe anzeigen und Entscheidungszeit gewinnen. Schuld und politische Legitimität bleiben bei Menschen und Institutionen.
Für Deutschland entsteht daraus ein Arbeitsprogramm: ein ziviles und militärisches Lageverständnis mit gesicherten Übergängen, klare Befugnisse für hybride Lagen, auditierbare künstliche Intelligenz, geschützte Forschung und Beschaffung entlang künftiger Szenarien. Übungen müssen Doppelverplanungen von Reservisten und ehrenamtlichen Helfern sichtbar machen. Rückkanäle müssen Meldungen in Entscheidungen verwandeln. Parlamente müssen die Eingriffsschwellen festlegen.
Vigilanz wahrt den demokratischen Normalzustand. Sie bezeichnet die Fähigkeit einer freien Ordnung, Gefahren früh zu erkennen und ihre eigenen Grenzen auch unter Druck zu wahren. Ein solcher Staat handelt vor dem ersten Treffer. Er sieht, versteht und entscheidet, solange Zeit für Verantwortung bleibt.