«Die Schweiz steht nicht im Fokus der Angreifer»

Kritische Infrastrukturen wie die Strom- und Wasserversorgung geraten immer häufiger ins Visier von Cyber-Kriminellen, ja Cyber-Terroristen. Um sich gegen die zunehmende Gefahr zu wappnen, hat der Bundesrat unlängst eine «Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken» (NCS) samt einem konkreten Umsetzungsplan beschlossen.

Teil der Massnahmen ist die Etablierung einer Public Private Partnership (PPP), die als Kompetenznetzwerk Bundesstellen wie der Melani (Melde- und Analysestelle Informationssicherung) private Firmen aus dem IT-Security-Umfeld zur Seite stellt.

Wie sich die NCS und die frisch gegründeten «Swiss Cyber Experts» in der Praxis schlagen, berichten Pascal Lamia von der Melani und Tobias Ellenberger von Oneconsultgegenüber Computerworld.

Pascal Lamia: Das ist ganz klar eine Tendenz, die auch wir sehen. Tatsächlich geraten kritische Infrastrukturen vermehrt in den Fokus von Angreifern. Zwei Vorgehensweisen fallen dabei ins Auge: Hacker, die einmal testen wollen, was möglich ist. Es treten aber auch Fälle auf, wie in der Ostukraine, bei denen es darum geht, die Infrastrukturen zu manipulieren oder ganz abzustellen. Ich kann aber beruhigen: Die Schweiz steht zurzeit nicht sehr stark im Fokus der Angreifer, und eine vergleichbare Attacke ist bei uns noch nicht vorgekommen.

Lamia: Wir sind ein neutrales Land, das bei Konflikten eher vermittelt und daher als Angriffsziel nicht sehr interessant ist. Nichtsdestotrotz schauen wir uns alle Angriffe sehr genau an, um Betreiber von kritischen Infrastrukturen – gerade auch im Energiesektor – vorwarnen zu können. Oft erhalten wir jedoch auch Anfragen von den Betreibern selber, die sich Sorgen machen und wissen möchten, ob auch sie gefährdet sind. Diese Verhaltensweise ist sehr positiv, denn sie zeigt uns, dass die Betreiber sich Gedanken machen, ob Angriffe bei ihnen möglich sind und dass sie bereit sind, aus dem Ergebnis Schlussfolgerungen zu ziehen.

Lamia: Meines Erachtens sind wir gut auf­gestellt. So verfügen wir über ein Alarmierungsdispositiv und können die Betroffenen schnell informieren. Schliesslich gehören die Betreiber kritischer Infrastrukturen zum sogenannten geschlossenen Kundenkreis der Melani. Diese haben Zugang zu technischen und nachrichtendienstlichen Informationen, die der Öffentlichkeit nicht zugänglich sind und die sie auch sonst nicht so einfach erhalten würden. Und Melani ist in der Lage, die Betroffenen sehr schnell, falls nötig innert Minuten, zu warnen.

Lamia: Wir haben mit der «Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken» (NCS) ein auf die Schweiz bezogenes Modell implementiert, das bei uns sehr gut funktioniert, in Deutschland und Österreich jedoch nicht umsetzbar wäre. Unser Public-Private-Partnership-Modell (PPP), das bereits 2004 eingeführt wurde, basiert auf einem Vertrauensverhältnis. Das heisst, wir mussten zuerst das Vertrauen schaffen zwischen dem Staat und der Wirtschaft, was nicht einfach ist. Denn: Warum sollte eine Firma etwas freiwillig an Melani melden, wenn sie ja weiss, dass dies eine staatliche Stelle ist, die beispielsweise die Informationen an den Regulator weitergeben könnte?

Lamia: Ganz klar nein! Das tun wir nicht, wir behalten die Informationen bei uns und machen eine eigene Einschätzung über die Stärke und Relevanz des gemeldeten Angriffs. Danach geben wir Empfehlungen ab, wie die Betroffenen mit dem Vorfall am besten um­gehen sollten. Im Rahmen der NCS haben wir uns auch ganz klar gegen eine neue zusätzliche zent­rale Stelle beim Bund ausgesprochen, wie dies ursprünglich geplant war, als das Ganze noch Cyber-Defense-Strategie hiess. Stattdessen setzen wir auf die bereits bestehenden Organisa­tionen wie beispielsweise Melani oder Kobik sowie auf die Eigenverantwortung sowohl der Privatwirtschaft gegenüber dem Staat als auch des Staats gegenüber der Privatwirtschaft. Und hierzu gehört, dass Bundesstellen wie Melani und Kobik weiter Bestand haben sollen, wo nötig ausgebaut werden und eng zusammenarbeiten. Es wäre falsch, in der Schweiz mit ihrer föde­ralistischen Struktur in Sachen Cyber-Strategie zentralistisch vorzugehen und dem Staat zu grosse Befugnis zu geben, sodass dieser vorschreiben könnte, was die Privatwirtschaft tun und lassen soll. Ich glaube, ein solches System würde in der Schweiz nicht funktionieren.