Cyberangriffe gegen Unternehmen werden immer häufiger. Allerdings ist die Fähigkeit, sich davor zu schützen, ein seltenes Gut. Erläuterungen.
Laut einer Einschätzung von Microsoft Schweiz fehlen hierzulande mehr als 40'000 Fachleute für Cybersicherheit, um auf den Bedarf der Unternehmen und Institutionen zu reagieren. Allerdings sind viele Expertinnen und Experten der Ansicht, dass die Schweiz alle Voraussetzungen erfüllt, um in diesem Bereich zur Weltspitze zu gehören: fachlich spezialisierte Universitäten und ein auf Neutralität beruhendes politisches System. Eine Analyse von Solange Ghernaouti, Leiterin des Kompetenzzentrums Swiss Cybersecurity Advisory & Research Group und Professorin an der Universität Lausanne.
Wie viele Cyberangriffe werden pro Jahr auf Schweizer Unternehmen verübt?
Solange Ghernaouti: Es ist schwer, darauf eine exakte Antwort zu geben. Für die Woche vom 31. August 2020 wurden dem Nationalen Zentrum für Cybersicherheit (NCSC) beispielsweise 228 Fälle gemeldet, was aber nur einen Teil der Realität widerspiegelt. Nicht alle Fälle werden entdeckt, gemeldet oder angezeigt. Angriffe mit dem Ziel von Fehlinformationen und Spionage werden nicht mitgezählt.
Welche Arten von Angriffen kommen am häufigsten vor?
Ghernaouti: Als Zielscheibe kommen alle Informationssysteme, vernetzte Geräte und Institutionen in Frage. Das kann zu Funktionsstörungen, Sabotage, Verlusten von Marktanteilen oder geistigem Eigentum führen und die Existenz von Organisationen oder auch die Sicherheit des Landes gefährden. Einige Angriffe schaden der Verfügbarkeit und der Integrität der digitalen Infrastruktur, der Vertraulichkeit von Daten oder sie ermöglichen jegliche Formen von Betrug. Cyberkriminelle kennen sich sehr gut damit aus, den Diebstahl von Daten oder der Identität von Personen für Erpressung und Lösegeldforderungen zu nutzen. Es gibt auch Angriffe im Auftrag von Konkurrenten, die sich auf einen organisierten Markt der Cyberkriminalität und entsprechend versierte Akteure stützen.
Laut einer Studie fehlen in der Schweiz 40'000 Fachleute. Wie lässt sich das erklären?
Ghernaouti: Studien belegen den Mangel an IT-Fachleuten in allen Bereichen, von der Cybersicherheit bis zur künstlichen Intelligenz. Die Digitalisierung und die entsprechende Technik schreiten schneller voran als die Schulungskapazitäten und die Reaktionsfähigkeit der Institutionen. Ein Informationssystem abzusichern und zu verteidigen, besteht darin, vor solchen Vorfällen und Krisen zu schützen, vorzubeugen und darauf mit einem strategischen Ansatz und spezifischen Massnahmen zu reagieren. Man muss die Robustheit und Resilienz der gesamten Infrastruktur an Hard- und Software stärken, wozu auch Bereiche zählen, die für das Funktionieren der Firma lebenswichtig sind.
Wie lässt sich die Resilienz dieser Infrastrukturen verbessern? Kann das neue Kompetenzzentrum NCSC, das Anfang 2019 vom Bund gegründet wurde, das erreichen?
Ghernaouti: Das neue Zentrum NCSC, das auf einer bereits zuvor bestehenden Struktur (MELANI) basiert, benötigt entsprechende Mittel, um den Bedarf in wichtigen Bereichen zu decken. Das gilt zum Beispiel für die Verteidigung der nationalen Interessen, die Sicherheit öffentlicher und privater Organisationen und den Schutz der Bevölkerung. Eine nationale Strategie zur Bewältigung der Cyberrisiken erfordert kurz- und langfristig einen angepassten Gesetzesrahmen, die Kohärenz von Organisation und Aktionsplan, ausreichende finanzielle Mittel sowie Fachkräfte, die den Herausforderungen gewachsen sind. Cybersicherheit stützt sich auf multidisziplinäre Kompetenzen sowie auf die Komplementarität und Kohärenz der Massnahmen.
Könnte die Schweiz dem Beispiel Israels folgen, das diese Branche subventioniert?
Ghernaouti: Modelle zu kopieren, die sich auf die Verteidigung der Interessen anderer Länder richten, eignet sich nicht unbedingt, aber man kann sich davon inspirieren lassen. Es ist wichtig, in Bildung und Forschung zu investieren und die Industrie zu fördern. Nachteilig ist es hingegen, wenn man beispielsweise vielversprechende Start-ups unterstützt und dann zusieht, wie sie aufgekauft werden, um den Interessen ausländischer Akteure zu dienen. Das eigentliche Problem besteht aber in der zunehmenden Verwundbarkeit der Gesellschaft im Zuge der Digitalisierung. Sofern es eine Flucht nach vorn zur "vollständigen Digitalisierung" gibt und Cybersicherheit, im allgemeinen Sinne, eine Option ist, wird es immer mehr Angriffe geben und der Bedarf an Experten, welche die entstandenen Schäden beheben sollen, wird zunehmen. Es ist falsch zu denken, dass Produkte der künstlichen Intelligenz, die von ausländischen Unternehmen gesteuert werden, eine Lösung sein können, um hier Abhilfe zu schaffen.
Über welche anderen Mittel verfügt die Schweiz, um sich abzuheben und diese Branche voranzubringen?
Ghernaouti: Investitionen in die Risikokontrolle sowie die Weiterentwicklung des Digitalsektors hin zu einem robusteren, sparsameren und umweltfreundlicheren Wirtschaftszweig durch den Aufbau einer vorbildlichen digitalen Ökonomie und Ökologie können als Leitlinien dienen. Die Schweiz hat alle Trümpfe in der Hand, um weltweit führend darin zu sein, den Digitalsektor robuster, resilienter und sparsamer zu machen. Bei der Beurteilung und Zertifizierung in diesem Bereich könnte sie ebenfalls einen Spitzenplatz einnehmen und ein unverzichtbarer Akteur des internationalen Dialogs werden.
