Interview mit Marcel Zumbühl
18.11.2020, 06:27 Uhr
«Wichtig ist der Dialog mit dem ethischen Hacker»
Seit Kurzem lässt die Schweizerische Post sich von ethischen Hackern im Rahmen eines Bug-Bounty-Programms angreifen. Was das für die IT-Security des gelben Riesen bringt, erklärt Post-CISO Marcel Zumbühl im Interview.
Marcel Zumbühl engagiert ethische Hacker, um die Sicherheit der Systeme weiter zu erhöhen
(Quelle: Jens Stark/NMGZ)
Die Schweizerische Post ist eine der grössten Arbeitgeberinnen in der Schweiz. Entsprechend bedeutend ist die Informatik-Infrastruktur des gelben Riesen. Um deren Schutz laufend zu verbessern, entwickeln die IT-Security-Experten ständig neue Methoden. Frisch im Repertoire ist seit Kurzem ein Bug-Bounty-Programm, in dessen Rahmen sich die Post von sogenannten ethischen Hackern angreifen lässt. Hierüber und über die aktuellen Bedrohungen sprach Computerworld mit Marcel Zumbühl, Chief Information Security Officer (CISO) der Schweizerischen Post.
Computerworld: Die Corona-Krise wurde bekanntlich von Hackern und Cyberkriminellen ausgenutzt. Welche Erfahrungen haben Sie mit Lockdown und Home Office gemacht?
Marcel Zumbühl: Die Situation, dass unsere Mitarbeitenden auch aus dem Home Office arbeiten, ist nichts Ungewöhnliches für uns. Speziell war diesen Frühsommer hauptsächlich die Anzahl Angestellte, die sich von zu Hause aus einloggten. Dabei haben wir einerseits darauf geachtet, dass unsere Daten gut geschützt bleiben. Andererseits haben wir die Mitarbeitenden sensibilisiert und ihnen mitgeteilt, welche Tools sie am besten verwenden und – genauso wichtig: welche lieber nicht –, um im Home Office sicher zu bleiben. So haben wir beispielsweise vorgeschlagen, auf Zoom zu verzichten und stattdessen auf bereits etablierte Kommunikationslösungen wie Skype und Teams zu setzen.
CW: Welche speziellen Sicherheitsvorkehrungen haben Sie während dieser Zeit getroffen?
Zumbühl: Wir haben keine speziellen Vorkehrungen treffen müssen. Schon vor der Krise war es wichtig, dass die Geräte der Mitarbeitenden sicher genutzt werden können, sei es im Büro, unterwegs oder von zu Hause aus.
CW: Sie mussten also keine Anpassungen vornehmen?
Zumbühl: Nein, höchstens in Sachen Kapazität mussten wir nachjustieren, sodass auch 12 000 Angestellte sich sicher von extern einloggen konnten.
CW: Gemäss IT-Sicherheitsexperten haben Hacker aber sehr wohl versucht, die Situation auszunutzen. Haben Sie mehr Aktivitäten festgestellt, wurde Ihr Unternehmen mehr angegriffen?
Zumbühl: Ich kann Sie beruhigen. Letzteres ist nicht geschehen. Allerdings haben wir schon beobachten können, dass während der Krise das Thema E-Commerce in den Vordergrund gerückt ist und somit Postunternehmen weltweit in den Fokus der Hacker gerieten. Besonders sind Phishing-Versuche mit bekannten Markennamen im Logistikumfeld vermehrt zu beobachten gewesen. Die Gefahr bestand somit, dass Anwender auf angeblich vertrauenswürdige Links klicken. Umso wichtiger war es von unserer Seite, Kunden und Öffentlichkeit zu sensibilisieren, bei solchen Mails kritisch zu bleiben.
CW: Welche Angriffsstrategien der Cyberkriminellen beobachten Sie derzeit besonders?
Zumbühl: Phishing ist sicher ein grosser Trend, den wir bei den aktiven Angriffen beobachten. Daneben sieht man auch immer mehr Erpressungsversuche wie auch Versuche, Identitäten von Kunden oder Mitarbeitenden zu stehlen.
Zur Person
Marcel Zumbühl
arbeitet seit August 2018 als Chief Information Security Officer (CISO) bei der Post und ist zuständig für die Informationssicherheit im Konzern.
Der 50-Jährige hat einen Masterabschluss in Informatik mit Nebenfach BWL. Nach seinem Studium an der Uni Bern arbeitete er sowohl im In- als auch im Ausland für verschiedene Unternehmen wie Accenture, Swisscom oder Credit Suisse. Seit 2009 ist Zumbühl darüber hinaus als Gastdozent für Risikomanagement sowie Risikokommunikation an der ETH Zürich tätig und seit Sommer 2020 amtiert er als Co-Präsident des Branchenverbands Information Security Society Switzerland (ISSS).
