100'000 Schwachstellen und ein neues Bundesamt

Im Forum Fribourg finden die diesjährigen Swiss Cyber Security Days (SCSD) statt. Die vierte Ausgabe steht unter dem Motto "Cyber – die fünfte Dimension". "Heute ist jeder mit jedem verbunden, wie in einem globalen Dorf", sagte Nationalrätin und SCSD-Präsidentin Doris Fiala zu Beginn der Veranstaltung. Nach Erde, Wasser, Luft und Weltraum stelle Cyber somit eine neue, fünfte Dimension dar. Die Wichtigkeit dieser Cyber-Dimension zeige sich aktuell etwa im Krieg in der Ukraine, der auch digital ausgetragen wird.

In puncto Cybersecurity hat die Schweiz Nachholbedarf. Diesen Eindruck vermittelt zumindest das globale Cybersecurity-Ranking der Internationalen Fernmeldeunion (ITU), welches in mehreren Vorträgen erwähnt wurde. Darin rangiert die Schweiz auf Platz 42,

zwischen Nordmazedonien und Ghana. Schmerzlich sei, dass alle Nachbarländer besser abschneiden als die Schweiz, bemerkte Fiala. Dass Handlungsbedarf bestehe, habe der Bundesrat erkannt.

Doris Fiala, Nationalrätin und SCSD-Präsidentin. (Source: zVg)

Neue Strategie, neues Bundesamt

Wie sich der Bund in Puncto Cybersecurity engagiert, erklärte Bundesrat Ueli Maurer in einer Videobotschaft. Man sei gemeinsam unterwegs, sagte der Finanzminister, stellte aber auch klar: "Aus Sicht des Bundes spielen wir hier nur eine sekundäre Rolle", und der Bund wolle die Wirtschaft unterstützen. In der Folge zählte Maurer einige Beispiele der Zusammenarbeit von Bund und Wirtschaft auf. Das aktuellste ist der erst vor wenigen Tagen gegründete Verein für mehr Cyberresilienz des Schweizer Finanzplatzes, der vom Nationalen Zentrum für Cybersicherheit (NCSC) unterstützt wird, wie Sie hier lesen können.

Und das Thema soll für Bundesbern noch wichtiger werden: "Wir beabsichtigen, ein Bundesamt für Cybersicherheit zu formen", gab Maurer bekannt. Dieses solle die Rolle einer zentralen Ansprechstelle übernehmen.

Mehr ins Detail ging danach Florian Schütz, Delegierter des Bundes für Cybersicherheit, auch bekannt als "Mr. Cyber". Er zeigte auf, was sich im Rahmen der Nationalen Cybersecurity-Strategie in den letzten Jahren bereits getan hat. Erst kürzlich habe das von ihm geleitete NCSC beispielsweise die Website ergänzt: Neu gibt es spezifische Informationen für Behörden, und detailliertere Statistiken zu eingegangenen Meldungen. Dank letzteren sollen sich Unternehmen ein Bild der aktuellen Bedrohungslage machen und sich vorbereiten können.

In seinem Ausblick zeigte Schütz einen ersten Entwurf der Cyber-Strategie für die kommenden Jahre. Zu deren Zielen gehören unter anderem Selbstbefähigung, Ahndung der Täter, internationale Zusammenarbeit sowie Sicherheit und Verfügbarkeit kritischer Infrastrukturen sicherstellen.

Florian Schütz, Delegierter des Bundes für Cybersicherheit. (Source: zVg)

Künftig wolle er die Awareness-Aktivitäten ausweiten, verriet Schütz. Hier will er einen ersten Fokus auf Familienbetriebe legen. Auch Personen, die ihre Dienste auf Service-Plattformen anbieten, möchte er ansprechen. Seine Vision sei eine "Plattform, wo sie sich informieren können, um Ihre Risiken abzuschätzen, in ihrer spezifischen Rolle". Ob diese Vision erreicht werde, wisse er noch nicht, räumte Schütz ein.

Die alte Botschaft, neu formuliert

Ein traditioneller Teil der SCSD bildet die Analyse der Cyberbedrohung in der Schweiz. Präsentiert wird diese von Marc Peter, Leiter des Kompetenzzentrums Digitale Transformation an der FHNW und Nicolas Mayencourt, Leiter der Programm-Kommission der SCSD. Die gute Nachricht: Nachdem ihr Scan letztes Jahr mehr als 113'000 Verwundbarkeiten zu Tage förderte, waren es diesmal nur noch 106'000, erklärte Mayencourt – jedoch noch immer deutlich zu viele. Zudem nehmen die durch Cyberangriffe entstandenen Schäden ein immer grösseres, manchmal existenzbedrohendes Ausmass an.

Die Sensibilisierung in der Bevölkerung für Cyberrisiken habe zwar zugenommen, räumt Mayencourt ein, aber: "Wir alle haben das Gefühl, es betrifft uns nicht, und es kann uns nicht treffen", sagt er im Interview, und beruft sich dabei auf eine unlängst durchgeführte Studie.

Nicolas Mayencourt, Leiter der Programm-Kommission der SCSD. (Source: zVg)

Mayencourts Botschaft ist nicht neu: "Hören wir auf, naiv zu sein", sagte er. Allerdings wurde er diesmal noch einmal deutlicher: "Wir sind alle das Problem. Wir sind aber auch alle die Lösung. Und darum: Let's make it happen!"

Die gute Cyber-Strategie

Ebenfalls eine Keynote hielt Chris Inglis, National Cyber Director der USA und persönlicher Berater des US-Präsidenten Joe Biden. "Die Schweiz ist Nummer 1 in Innovation", lobte er und fügte an: "Sie sind im Moment vielleicht nicht Nummer 1 in Cyber, aber ich denke, Sie sind dabei, dies zu ändern." Cybersicherheit sei eine internationale Angelegenheit, und erfordere eine gemeinsame Antwort. Gefragt, welche Cybergefahr er als die grösste einstufe, sagte Inglis: "Was mich nachts wach hält, ist in erster Linie keine der Bedrohungen, die wir haben, auch wenn es davon viele gibt. Es ist die vorsätzliche Uneinsichtigkeit, die ich bei so vielen sehe". Jedes Unternehmen habe die Wahl, sich zwischen "gut" und "nicht gut" zu entscheiden.

Nicolas Mayencourt (l.) und Chris Inglis am Panel. (Source: zVg)

In seinem Vortrag zeichnete Inglis auf, was eine gute Cyberstrategie ausmacht. Diese müsse sich nicht nur mit Technologie befassen, sondern auch die Themenfelder Menschen und Regeln ansprechen. Weiter hob er drei Prinzipien einer guten Cyberstrategie hervor:

• Resilience by Design: Sicherheit sollte nicht mehr eine Antwort auf Probleme sein, sondern von Anfang an mitgedacht werden.

• Verteidigung als gemeinsame Aufgabe: Ein System zu verteidigen , sei ein "menschliches Unterfangen". Hier sollten Ressourcen geteilt und Erkenntnisse kombiniert werden.

• Aktionen und Konsequenzen: Dabei gehe es nicht nur darum, die Bösen zu bestrafen, hob Inglis hervor. Wer sich im Cyberspace gut verhalte, verdiene auch die Unterstützung seiner Branche oder der Regierung.

Inglis schloss mit einem positiven Gedanken: "Wir können die massiven Rechenkapazitäten des World Wide Web nutzen, um gute Dinge zu tun. Ich will aufhören, mich vom Gedanken an Gefahren leiten zu lassen. Ich behalte sie im Auge, aber ich will darüber nachdenken, wo ich hin will."

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den wöchentlichen Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.