Wandel der US-Cyberpolitik: Offensive statt Defensive

Das Weiße Haus veröffentlichte zwei bedeutende Cyber-Policy-Dokumente am selben Tag – eine bewusste Entscheidung. Die Executive Order konzentriert sich auf die operative Koordination zur Bekämpfung transnationaler Cyberkriminalität. Die Cyber Strategy for America setzt die übergeordnete strategische Richtung anhand von sechs Säulen. Gemeinsam signalisieren sie eine deutliche Verschiebung der föderalen Cyberstrategie: weg von compliance-getriebener Verteidigung hin zu offensiv ausgerichteter Störung, mit einer Regulierungsphilosophie, die auf Vereinfachung statt auf zusätzliche Schichten setzt.

Wichtige Erkenntnisse

1. Am 6. März 2026 unterzeichnete Präsident Trump eine Executive Order mit dem Titel „Bekämpfung von Cyberkriminalität, Betrug und ausbeuterischen Machenschaften gegen amerikanische Bürger“ und veröffentlichte gleichzeitig die Cyber Strategy for America. Die Order weist die Einrichtung einer operativen Einheit im National Coordination Center an, die Erkennung, Störung und Zerschlagung von cybergestützter, transnationaler Kriminalität koordiniert.
2. Die Executive Order schreibt eine 60-tägige behördenübergreifende Überprüfung bestehender Rahmenwerke vor, einen 120-Tage-Aktionsplan gegen verantwortliche kriminelle Organisationen, die priorisierte Strafverfolgung von Cyberbetrug, ein vorgeschlagenes Victims Restoration Program zur Entschädigung von Opfern aus beschlagnahmten Vermögenswerten sowie internationale Maßnahmen, die ausländische Regierungen, die Cyberkriminalität „tolerieren“, mit Sanktionen, Visabeschränkungen und Handelsstrafen belegen.
3. Die Cyber Strategy definiert sechs Säulen, darunter offensive Cyber-Operationen, vereinfachte Regulierung zur „Reduzierung des Compliance-Aufwands“, Modernisierung föderaler Netzwerke mit KI-gestützten Abwehrmechanismen und Absicherung des KI-Technologie-Stacks. Die Strategie betont ausdrücklich, dass Cyberabwehr „nicht auf eine teure Checkliste reduziert werden sollte“.
4. National Cyber Director Sean Cairncross deutete mögliche Überarbeitungen der SEC-Vorgaben zur Cybersecurity-Offenlegung und eine Prüfung der ausstehenden CISA-CIRCIA-Meldepflichten an. Dies signalisiert, dass die Regierung die aktuellen Meldepflichten als potenziell „übermäßig belastend“ betrachtet. Unternehmen sollten diese Überprüfungen aufmerksam verfolgen, da sie die Compliance-Anforderungen neu gestalten könnten.
5. Die Executive Order auferlegt privaten Unternehmen keine direkten Pflichten, betont jedoch die Bedeutung von Public-Private-Partnerships und die Nutzung kommerzieller Cybersecurity-Fähigkeiten. Unternehmen aus den Bereichen Cybersecurity, Technologie und kritische Infrastruktur müssen mit Anfragen zu Indikatoren für Kompromittierungen, Bedrohungsinformationen und Ressourcen für die Bundeskoordination rechnen.

Für Unternehmen, die Cybersecurity-Programme steuern, sind die Auswirkungen unmittelbar und praxisnah. Manche Compliance-Anforderungen könnten sinken. Die Erwartungen des Bundes an das Teilen von Threat Intelligence steigen. Und der Privatsektor wird explizit eingeladen – und erwartet –, bei der Bekämpfung transnationaler Cyberbedrohungen über die klassische Incident Response hinaus mitzuwirken.

Die Executive Order: Was sie bewirkt

Die Executive Order adressiert verschiedene cybergestützte Straftaten, darunter Ransomware, Malware, Phishing, Finanzbetrug und Erpressung. Sie benennt transnationale kriminelle Organisationen als Hauptakteure und stellt fest, dass ausländische Regime Cyberkriminalität häufig offen oder stillschweigend staatlich unterstützen.

Operative Einheit im National Coordination Center. Die Order verlangt die Einrichtung einer operativen Einheit, die föderale Maßnahmen zur Erkennung, Störung, Zerschlagung und Abschreckung cybergestützter, transnationaler Kriminalität gegen US-Bürger, Unternehmen, kritische Infrastrukturen und öffentliche Dienste koordiniert. Die Einheit soll den Informationsaustausch und die schnelle Reaktion innerhalb der Bundesregierung verbessern – und insbesondere auch den Privatsektor in die Bekämpfung transnationaler krimineller Organisationen einbinden.

60-Tage-Überprüfung, 120-Tage-Aktionsplan. Die Order beauftragt die Ministerien für Außenpolitik, Finanzen, Verteidigung, Justiz und Heimatschutz, innerhalb von 60 Tagen eine Überprüfung bestehender operativer, technischer, diplomatischer und regulatorischer Rahmenwerke durchzuführen. Innerhalb von 120 Tagen müssen sie einen Aktionsplan vorlegen, der verantwortliche kriminelle Organisationen identifiziert und Lösungen zur Prävention, Störung, Untersuchung und Zerschlagung vorschlägt.

Victims Restoration Program. Der Justizminister hat 90 Tage Zeit, eine Empfehlung zur Einrichtung eines Programms vorzulegen, das Opfern von Cyberkriminalität Entschädigungen aus beschlagnahmten, eingezogenen oder zurückgeholten Vermögenswerten der verantwortlichen Organisationen gewährt. Das ist eine bemerkenswerte Entwicklung – die direkte Verknüpfung von Vermögenseinziehung und Opferentschädigung im Cyberbereich.

Internationale Konsequenzen bei Cyberkriminalitäts-Toleranz. Der Außenminister soll mit ausländischen Regierungen in Kontakt treten und sicherstellen, dass Länder, die ausbeuterische Cyberaktivitäten tolerieren, Konsequenzen wie Einschränkungen bei Hilfsleistungen, gezielte Sanktionen, Visabeschränkungen, Handelsstrafen und – wo angemessen – die Ausweisung von Diplomaten erhalten, die an solchen Machenschaften beteiligt sind. Diese Formulierung ist die bislang schärfste diplomatische Positionierung der Regierung in Sachen Cyberkriminalität.

Die Cyber Strategy: Sechs Säulen mit Deregulierungs-Tendenz

Die Cyber Strategy for America definiert sechs übergeordnete Säulen als Leitplanken der Cyberpolitik der Regierung. Sie liefert wenig operative Details, aber starke Signale, wohin die Regierung steuern will.

Das wichtigste Signal für den Privatsektor ist die explizite Warnung vor Überregulierung. Das Dokument stellt klar, dass Cyberabwehr „nicht auf eine teure Checkliste reduziert werden sollte, die Vorbereitung, Handeln und Reaktion verzögert“. Die Regierung verpflichtet sich, Cyberregulierung zu verschlanken, um „Compliance-Aufwände zu reduzieren, Haftungsfragen zu adressieren und Regulierer und Industrie weltweit besser aufeinander abzustimmen“.

National Cyber Director Sean Cairncross bekräftigte diese Richtung in seinen Ausführungen vom 9. März und erklärte, die Regierung wolle Meldepflichten, die „für die Industrie sinnvoll“ und „nicht übermäßig belastend“ seien. Er nannte explizit die SEC-Vorgaben zur Cybersecurity-Offenlegung als Prüfgegenstand und kündigte an, dass das Weiße Haus die ausstehenden CISA-Anforderungen nach dem Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) daraufhin überprüfen werde, ob sie der Absicht des Kongresses entsprechen.

Weitere Säulen setzen auf offensive Cyber-Operationen gegen Gegner, Modernisierung föderaler Netzwerke mit KI-gestützten Abwehrmechanismen, Absicherung des KI-Technologie-Stacks, Personalentwicklung und verstärkte internationale Zusammenarbeit. Die offensive Ausrichtung und der KI-Fokus setzen Trends der Vorgängerregierung fort, aber die Deregulierungs-Tendenz ist ein klarer Bruch.

Was das für Unternehmen bedeutet

Die Executive Order schreibt privaten Unternehmen keine direkten Pflichten vor. Doch die Kombination aus Order und Strategie verändert das Umfeld in mehreren Punkten, auf die sich Unternehmen einstellen sollten.

Erhöhte Anfragen des Bundes zu Threat Intelligence erwarten. Die operative Einheit soll den Privatsektor einbinden. Das bedeutet: Unternehmen – insbesondere aus Cybersecurity, Technologie und kritischer Infrastruktur – müssen mit Anfragen zu Indikatoren für Kompromittierungen, Taktiken und Techniken von Angreifern sowie Informationen zu transnationalen kriminellen Aktivitäten rechnen. Director Cairncross betonte, dass CEOs des Privatsektors „echte Ressourcen“ für die Bundeskoordination bereitstellen sollen. Prüfen Sie jetzt Ihre Verträge und Richtlinien zum Informationsaustausch mit Behörden.

Entwicklung der Meldepflichten beobachten. Die Hinweise der Regierung zu den SEC-Offenlegungspflichten und CIRCIA lassen auf mögliche Anpassungen schließen, die die Meldepflichten reduzieren könnten. Änderungen brauchen jedoch Zeit, bestehende Regeln gelten weiter. Unternehmen sollten ihre aktuellen Compliance-Programme fortführen und die Entwicklungen genau verfolgen. Die 60-Tage-Überprüfung und der 120-Tage-Aktionsplan geben künftig klarere Orientierung zu regulatorischen Änderungen.

Deregulierungs-Rhetorik nicht als Freifahrtschein für weniger Sicherheit missverstehen. Die Kritik an „teuren Checklisten“ richtet sich gegen regulatorische Belastung, nicht gegen Investitionen in Sicherheit. Dieselbe Regierung, die Compliance verschlanken will, fordert offensive Cyber-Operationen, KI-gestützte Bundesabwehr und Ressourcen vom Privatsektor. Wer vereinfachte Regulierung mit geringeren Sicherheitsanforderungen gleichsetzt, interpretiert das Signal falsch.

Internationale Aktivitäten unter neuen diplomatischen Vorzeichen. Die Order sieht Sanktionen, Visabeschränkungen und Handelsstrafen gegen Länder vor, die Cyberkriminalität dulden. Das kann Unternehmen mit Aktivitäten in betroffenen Jurisdiktionen treffen. Beobachten Sie den 120-Tage-Aktionsplan auf länderspezifische Einstufungen, die Lieferketten und Datenflüsse beeinflussen könnten.

Was Kiteworks-Kunden wissen sollten

Die Schnittstelle dieser Executive Order und Strategie mit dem Kiteworks Private Data Network ist klar: Unabhängig davon, ob bestimmte Compliance-Anforderungen vereinfacht werden, bleibt die zugrundeliegende Sicherheitsarchitektur zum Schutz sensibler Daten essenziell – und Unternehmen, die sie nutzen, sind für jede regulatorische Entwicklung gewappnet.

Audit-fähige Nachweise – unabhängig von regulatorischen Veränderungen. Das konsolidierte Audit-Log von Kiteworks erfasst jede Datenbewegung in Echtzeit ohne Drosselung. Egal, ob die SEC-Offenlegungspflichten überarbeitet, CIRCIA-Anforderungen angepasst oder neue Meldepflichten aus dem 120-Tage-Aktionsplan entstehen: Unternehmen mit vollständigen, unveränderlichen Audit-Trails können auf jede Compliance-Anforderung reagieren. Vorgefertigte Compliance-Dashboards für HIPAA, DSGVO, CMMC und andere Frameworks sorgen dafür, dass Sie nicht bei jeder Regeländerung die Nachweiserstellung neu aufsetzen müssen.

Bereitschaft zum Teilen von Threat Intelligence. Die Betonung der privaten Beteiligung an der Bekämpfung transnationaler Cyberkriminalität verlangt von Unternehmen, ihre eigene Datensicherheitslage klar zu kennen. Die Echtzeit-SIEM-Feeds, Anomalieerkennung und umfassende Protokollierung von Kiteworks stellen sicher, dass Unternehmen bei Anfragen von Behörden zu Kompromittierungsindikatoren oder Vorfällen schnell und präzise reagieren können – ohne mühsam fragmentierte Logs rekonstruieren zu müssen.

Sicherheitsarchitektur, die Compliance-Zyklen überdauert. Die Kritik der Regierung an „teuren Checklisten“ bestätigt den Ansatz von Kiteworks: Sicherheit als Produktfunktion, nicht als Konfigurationsaufgabe des Kunden. Eine gehärtete virtuelle Appliance mit integrierten Firewalls, WAF, Intrusion Detection, doppelter Verschlüsselung und zero-trust-Zugriffskontrollen liefert Defense-in-Depth, die jedem regulatorischen Rahmen genügt – heute und in Zukunft. Das ist der Unterschied zwischen compliance-getriebener und architekturgetriebener Sicherheit.

Grenzüberschreitende Daten-Governance bei diplomatischer Unsicherheit. Die internationalen Bestimmungen der Executive Order können Datenflüsse in Jurisdiktionen betreffen, die als cyberkriminalitäts-tolerant eingestuft werden. Die jurisdiktionssensitiven Kontrollen von Kiteworks – Geofencing, Verschlüsselungsschlüssel-Verwahrung im Land und konfigurierbare IP-Kontrollen – ermöglichen es Unternehmen, sich an diplomatische und regulatorische Veränderungen anzupassen, ohne die Dateninfrastruktur neu aufbauen zu müssen.

Das regulatorische Pendel schwingt – aber die Bedrohungen warten nicht

Diese Executive Order und Strategie markieren einen grundlegenden Wandel in der föderalen Cyberpolitik: mehr Offensive, weniger regulatorischer Overhead, mehr Beteiligung des Privatsektors, mehr diplomatischer Druck auf cyberkriminalitäts-tolerante Staaten. Für Compliance-Teams bedeutet das: Manche Meldepflichten könnten gelockert werden. Für Security-Teams steigen die Erwartungen an Fähigkeiten und Zusammenarbeit mit dem Bund.

Am besten aufgestellt sind Unternehmen, deren Sicherheitsarchitektur nicht von bestimmten Vorgaben abhängt. Wenn Ihre Architektur zero-trust-Zugriff durchsetzt, Daten auf allen Ebenen verschlüsselt, jede Interaktion protokolliert und jederzeit audit-fähige Nachweise liefert, werden regulatorische Änderungen zu operativen Anpassungen – und nicht zu existenziellen Risiken. Das ist das Ziel. Bauen Sie die Architektur. Die Regulierung folgt.