"Gerade zentrale Datenbanken stellen ein besonderes Klumpenrisiko dar"

Herr Henauer, sehen Sie neue Arten von Cyberangriffen auf uns zukommen?

Bezüglich der Angriffstechniken kann man heute sagen, dass der Eintrittspunkt in über 90 Prozent der Fälle über Malware erfolgt. Diese bleibt dann im System drin, und die Angreifer können dies so lange ausnutzen, bis sie allenfalls entdeckt werden. Viel mehr tut sich dagegen im Markt der Cyberkriminellen. Es nehmen immer mehr Akteure daran teil. Gerade zentrale Datenbanken stellen ein besonderes Klumpenrisiko dar. In den letzten Monaten und Jahren sind einige Fälle bekannt geworden, bei denen ganze Kundendatensätze ausgehebelt worden sind. Es ist nur sehr schwer absehbar, was für Folgewirkungen solche Vorfälle haben.

Was meinen Sie konkret mit Klumpenrisiko?

In der Wahrnehmung der Vorfälle geht häufig vergessen, dass die Kriminellen dann nicht nur einfach im Besitz von Daten sind, diese dann schnell auf dem Markt verkaufen und damit die kriminelle Tat vollendet ist. Nein, sie können diese auch aufbewahren und zu einem späteren Zeitpunkt an andere Abnehmer verkaufen. Oder aber Daten, auf die die Kriminellen in infizierten Netzwerken Zugriff haben, bekommen einen Wert und werden dann nachträglich noch gesammelt. Dabei spielt es eine Rolle, dass nicht nur privatwirtschaftliche Akteure an Informationen interessiert sind. Es gibt auch Staaten, die Verbindungen zu einschlägigen Szenen haben. Bei einem Angriff auf E-Banking-Konten ist die Nationalität der Personen auf den ersten Blick nicht unbedingt die wertvollste Information. Hier kommen Staaten als mögliche zusätzliche Käufergruppe ins Spiel.

Im Fokus von Cyberangreifern ist klassischerweise die Finanzbranche. Haben Sie hier neue Erkenntnisse?

In der Finanzbranche erleben wir derzeit vor allem im Umfeld von Kreditkarten und damit verbundenen Diensten wie dem 3-D-Secure- Verfahren ein Comeback von Phishing-Attacken. Der Grund dafür liegt auf der Hand: Ohne die dazugehörigen Nutzerdaten sind die gestohlenen Kreditkartendaten schwieriger zu verwenden. Deshalb kann man davon ausgehen, dass sich mehrere Akteure in der Szene Gedanken dazu machen, wie sie an diese Daten kommen können.

Finden Sie, dass es eine Meldepflicht für Cyberangriffe geben sollte?

Es ist Sache der Regulierungsbehörden in ihren Bereichen abzuklären, ob man das will. Ich stelle mir hier jedoch die Frage, was zum Beispiel eine Statistik zu gemeldeten Virenangriffen konkret bringen würde. Solche Angriffe geschehen ja meist nach ähnlichen Mustern. Deshalb ist es sinnvoll, qualitative Informationen über Angriffstechniken zu sammeln und auf neue Angriffsarten aufmerksam zu machen. Genau das macht Melani. Wir haben keine Scheuklappen und arbeiten branchenübergreifend. Zudem sind wir ein sogenannter Honest-Broker. Das heisst, wir sind auf die grundsätzlichen Probleme fokussiert und machen keinen Unterschied zwischen Unternehmen innerhalb der gleichen Branche.

Woran müssen Unternehmen denn konkret arbeiten, wenn sie sich besser schützen wollen?

Das Thema Cyberrisiken ist sehr umfassend. Das führt dazu, dass einzelne Geschäftsleitungen die strategische Verantwortung lieber an den Staat delegieren würden. Sie sind der Ansicht, dass sie alleine ohnehin nichts unternehmen können. Das ist ein gefährlicher Fehlschluss. Eine Cybertruppe auf Bundesebene wird auch in Zukunft kein Risikomanagement für Unternehmen übernehmen oder den Cyberspace umfassend verteidigen können. Deshalb müssen Unternehmen verstehen, dass Cyberrisiken Teil ihres eigenen Risikomanagements sind. In der Vergangenheit besonders gut verstanden haben das beispielsweise Telekommunikations unternehmen und Banken. Sie haben es früh verstanden, sich gegen die neuen Gefahren zu wappnen. Sie haben reagiert, die Zusammenarbeit vertieft und sind heute auf dem neusten Stand. Hier spielt sicher auch eine typische Schweizer Eigenschaft eine wichtige Rolle: Wir sprechen miteinander.

Etwas weniger gut sieht es bei KMUs aus, die zusehends von Angreifern ins Visier genommen werden.

Melani ist nicht für KMUs zuständig, dafür haben wir ganz einfach zu wenige personelle Ressourcen und keinen Auftrag. Melani wird im Rahmen der Cyberstrategie noch verstärkt den Unternehmen Informationen zur Verfügung stellen, damit sie informierter Entscheidungen fällen können. Und wenn trotzdem ein Angriff passiert, können wir bei der Aufarbeitung helfen. Zudem können Delikte, die über oder mit dem Internet verübt werden, schon heute verfolgt werden. Die Strafverfolgung macht ihre Hausaufgaben und zeitigt auch Erfolge. Man darf nicht vergessen, dass dieser Lernprozess Zeit braucht. Erst 80 Jahre nach dem ersten Auto auf der Strasse reifte die Erkenntnis, dass die obligatorische Gurtenpflicht nötig ist.