Die Regierungen der Bundesstaaten übernehmen nationale Aufgaben im Bereich der Cybersicherheit

Die Regierungen der US-Bundesstaaten haben begonnen, im Bereich der Durchsetzung der Cybersicherheit Aufgaben zu übernehmen, die traditionell von Bundesbehörden wahrgenommen wurden.

Die Generalstaatsanwälte der Bundesstaaten Kentucky, Nebraska, Arkansas, Illinois und New York haben Klage gegen die mit China verknüpfte E-Commerce-App Temu eingereicht und beschuldigen sie des Sammelns von Daten, des Einsatzes von Schadsoftware und des unerlaubten Datentransfers nach China. Diese Fälle signalisieren eine deutliche Verlagerung der Verantwortung von Bundesbehörden auf die Ebene der Bundesstaaten.

Warum ergreifen die Staaten Maßnahmen?

Unter der derzeitigen Regierung haben die Bundesbehörden - einschließlich der Federal Trade Commission und der Verbraucherschutzabteilung des Justizministeriums - ihre Durchsetzungsaktivitäten, insbesondere im Bereich des Verbraucherschutzes und der Cybersicherheit, zurückgefahren. Dadurch ist eine Lücke entstanden, die die Generalstaatsanwälte der Bundesstaaten nun durch rechtliche Schritte im Rahmen der staatlichen Gesetze über unlautere und betrügerische Praktiken sowie der Datenschutzgesetze zu schließen versuchen.

Exekutivanordnungen und öffentliche Mandate

In einer Durchführungsverordnung vom März 2025 werden die Bundesstaaten und lokalen Regierungen aufgefordert, mehr Verantwortung bei der Planung der Widerstandsfähigkeit und der Verfolgung von Cyberkriminalität zu übernehmen. Die Staatsanwaltschaften der Bundesstaaten haben sich bei ihren Ermittlungen, auch im Zusammenhang mit Temu, auf diese Anordnung berufen.

Wichtigste Entwicklungen

• Temu Rechtsstreitigkeiten: Kentucky, Nebraska, Arkansas, Illinois und New York reichten im Juli 2025 im Rahmen von Verbraucherschutz- und Cybersicherheitsgesetzen Klagen ein, in denen sie ein spywareähnliches Verhalten der Temu-App und die unbefugte Veröffentlichung sensibler persönlicher Daten vorwarfen.
  
• New Yorker Cyber-Meldegesetz: Gouverneur Hochul erließ ein Gesetz, das lokale Regierungen und öffentliche Einrichtungen verpflichtet, Cyberangriffe innerhalb von 72 Stunden und Lösegeldzahlungen innerhalb von 24 Stunden zu melden. Darüber hinaus sind für alle Staatsbediensteten obligatorische Cybersicherheitsschulungen vorgeschrieben.
  
• Bildung eines Konsortiums: Acht Staatsanwälte (u. a. aus Kalifornien, Colorado, Connecticut, Delaware, Indiana, New Jersey und Oregon) haben das Consortium of Privacy Regulators (Konsortium der Datenschutzaufsichtsbehörden) gegründet, um den Informationsaustausch und die Durchsetzungsmaßnahmen über die Grenzen der einzelnen Gerichtsbarkeiten hinweg zu koordinieren.
  

Auswirkungen der staatlichen Cyber-Durchsetzung

Vorteile

• Lokales Wissen und Beweglichkeit: Die Behörden der Bundesstaaten können schnell und gezielt auf lokale Schäden reagieren und die Durchsetzung auf die jeweilige Bevölkerung abstimmen.
  
• Rechtliche Flexibilität: Die Gesetze der Bundesstaaten räumen den Generalstaatsanwälten oft weitreichende Befugnisse im Rahmen der Gesetze über unlautere Geschäftspraktiken ein, die sich nicht nur auf Bundesgesetze beschränken und kreative Durchsetzungstheorien ermöglichen.
  

Herausforderungen

• Ressourcenbeschränkungen: Viele Bundesstaaten haben keinen Zugang zu geheimen Informationen über Bedrohungen und zu Cyber-Forensik auf nationaler Ebene, was Zweifel an ihrer Fähigkeit aufkommen lässt, Cyber-Ermittlungen auf bundesstaatlicher Ebene effektiv durchzuführen.
  
• Hürden für die Koordination: Ohne einen soliden Koordinierungsrahmen besteht bei Maßnahmen der Bundesstaaten die Gefahr von Doppelarbeit, ungleicher Durchsetzung und Überschneidungen der Zuständigkeiten. Koalitionsbemühungen wie das Konsortium tragen dazu bei, dies abzumildern.
  

Was dies für die Beteiligten bedeutet

• Die Verbraucher könnten von einer wachsameren Durchsetzung und einer schnelleren Reaktion auf digitale Bedrohungen wie Spyware oder Hackerangriffe profitieren.
  
• Unternehmen sollten sich auf eine strengere Prüfung durch die staatlichen Aufsichtsbehörden einstellen, insbesondere in Bezug auf ihre Datenschutz- und Cybersicherheitspraktiken.
  
• Politische Entscheidungsträger müssen eine Angleichung der Bemühungen von Bund und Ländern in Erwägung ziehen, um eine einheitliche Durchsetzung, den Austausch von Erkenntnissen und die Bereitstellung angemessener Ressourcen in den verschiedenen Gerichtsbarkeiten zu gewährleisten.
  

Jüngste Gerichtsverfahren, neue Cyber-Meldegesetze (z. B. in New York) und die Zusammenarbeit mehrerer Bundesstaaten stellen einen Wendepunkt dar: Die US-Bundesstaaten übernehmen jetzt eine wichtige Rolle im Bereich der Cybersicherheit. Ob sie über ausreichende Ressourcen oder Überwachungsinfrastrukturen verfügen, bleibt fraglich, aber der Trend spiegelt eine klare Verschiebung in der nationalen Durchsetzungslandschaft wider.