Nur begrenzte Gefahr durch Cyber-Attacken

Ob Betriebsspionage oder Hacking-Angriffe, Cyber-Kriminalität ist Realität geworden. Aber wie real sind eigentlich Hollywood-Szenarien, in denen in ganze Städte lahmgelegt oder Behörden ausspioniert werden? "Was in Hollywood real ist, wäre theoretisch machbar. Aber nicht in der Schweiz." So eröffnet Candid Wüest, Threat Researcher bei Symantec, die heutige Medienveranstaltung zu Cyber-Risiken. Symantec registriert mehr als 100 gezielte Attacken pro Tag. Und dies sind nur solche, die auch entdeckt und gemeldet werden. Doch wie angreifbar sind die Schweizer Stromversorgung, das Verkehrsnetz oder der Finanzplatz? Um diese Frage zu beantworten, hat Symantec Myriam Dunn Cavelty geladen. Sie ist Dozentin für Sicherheitspolitik und Leiterin der Forschungsgruppe "Risk & Resilience" am Zentrum für Security Studies (CSS) der ETH Zürich. 

Koordination auf Bundesebene

In der Schweiz hat es bis anhin keine Sabotageangriffe auf kritische Infrastrukturen gegeben. Was für Auswirkungen diese jedoch haben könnten, zeigt der Stromausfall der SBB von 2005. Damals hat eine Überlastung zu einem vierstündigen totalen Stromausfall geführt. Die SBB schätzt dessen Kosten auf etwa drei Millionen Franken.

Um Infrastrukturen zu schützen, muss zunächst festgelegt werden, wer die Verantwortung dafür trägt. In den USA, wie auch in anderen Ländern, ist es das Militär. In der Schweiz sind es zwei Strategien auf Bundesebene, die sich darum kümmern. Zum einen ist es der Schutz Kritischer Infrastrukturen welcher die "Verfügbarkeit von unverzichtbaren Gütern und Dienstleistungen" sichern soll. Im Frühjahr 2012 ist dazu das Bundesamt für Bevölkerungsschutz (BABS) beauftragt worden. Dazu kommt die Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken des Informatiksteuerungsorgans des Bundes (ISB). Diese nationalen Strategien sollen sektorenübergreifend für den Schutz kritischer Strukturen arbeiten. Die Stromversorgung, die Telekommunikation sowie das Strassennetz gelten unter anderem als besonders kritisch.  

Ein Problem sieht Caveltry darin, dass in der Schweiz, wie generell in Industrienationen, ein Grossteil dieser Infrastrukturen nicht Eigentum des Bundes ist. Somit sei auch viel Eigenverantwortung im Spiel. Ausserdem müsse immer abgewogen werden, wie viel Risiko ein Betrieb in Kauf nehmen kann oder möchte. Ein Problem bestehe laut Wüest beispielsweise in der Industrie, denn hier könne die IT-Sicherheit mit der Produktion in Konflikt stehen. Oft liege der Fokus auf einer geringen Ausfallszeit und eine Wartung der Sicherheitssysteme könne mit grossen Kosten einhergehen. 

Wo steht die Schweiz?

Auf die Frage ob denn in der Schweiz Handlungsbedarf bestehe, was den Schutz von kritischen Infrastrukturen anbelangt, meinen beide Referenten, dass die Schweiz auf einem gutem Weg sei. Durch die Eigenverantwortung der Betriebe in Zusammenarbeit mit nationalen Strategien seien die Grundsteine gesetzt. Jetzt gehe es vor allem darum, gewisse Standardprozesse zu etablieren. Caveltry weist darauf hin, dass ein gewisses Restrisiko immer vorhanden sei, und das es auch um die Frage gehe, wie damit umgegangen wird. "Wir müssen nicht gleich in Panik ausbrechen, falls einmal der Strom ausfällt", fügt sie augenzwinkernd hinzu. Wüest schliesst, dass uns trotz der realen Cyber-Kriminalität wohl kein Hollywoodszenario bevorsteht.