Die Bedrohungslage in der Schweiz ist nach wie vor geprägt von der ungebremsten und sehr dynamischen Entwicklung der organisierten Kriminalität im Internet und der schnell fortschreitenden Digitalisierung in Wirtschaft und Gesellschaft. Letztere führt zu einer grösseren Vielfalt der Angriffsmöglichkeiten und zu mehr zur Verfügung stehenden Zielen, woraus sich letztlich ein stetig wachsender Multiplikationsfaktor für die Kriminellen ergibt. Zudem wird die ICT-Infrastruktur kontinuierlich wichtiger für unser Zusammenleben, aber auch für die Wertschöpfung in der Wirtschaft. Damit steigen auch die die potenziellen Schäden bei Angriffen ständig, was die Geschäftsmodelle auf der dunklen Seite des Internets noch lukrativer macht.

Deshalb ist es nicht verwunderlich, dass der geschätzte Schaden durch Internetkriminalität in den Industrieländern jenen durch Verbrechen in der realen Welt in den vergangenen zwei Jahren überholt hat. Die Vernetzung unseres gesamten Lebens im Internet und der flächendeckende Einsatz mehr oder weniger unsicherer Geräte in allen Lebensbereichen schaffen ein Schlaraffenland für Betrüger.

Generell stellen wir fest, dass auch in der Schweiz nach wie vor gezielte Angriffe auf Banken und deren Kunden sowie Erpressung (Ransomware) bei Kriminellen hoch im Kurs stehen. Diese beliebten Geschäftsmodelle werden aktuell aber vom Einsatz von sogenannten «Kryptominern» überholt, welche fremde Computer-Leistung missbrauchen, um digitale Währungen zu «schürfen».

Wir rechnen aktuell nicht damit, dass sich die grundlegende Entwicklung in absehbarer Zeit fundamental verändert, weil uns die oben erwähnten treibenden Faktoren der Entwicklung der organisierten Cyberkriminalität und der Digitalisierung auch weiterhin erhalten bleiben. Wir werden aber sicher immer wieder neue Geschäftsmodelle und Angriffsvarianten sehen.

Asymmetrie zugunsten der Angreifer

Die Internetkriminalität ist als Geschäftsmodell so interessant, weil die Angreifer gegenüber den Verteidigern und der Strafverfolgung im virtuellen Raum grosse Vorteile geniessen:

• Sie müssen in einer hochkomplexen Welt nur einen unaufmerksamen Menschen oder eine technische Schwachstelle finden. Ein Unternehmen in seiner ganzen Komplexität abzusichern wird im Gegenzug zunehmend aufwändiger und nie vollständig möglich sein.
   
• Sie suchen sich ihre Ziele weltweit aus, ohne vor Ort präsent sein zu müssen. So können sie ihre Angriffsmodelle mit minimalem Aufwand milliardenfach multiplizieren, während jeder Angriff individuell abgewehrt werden muss.
   
• Sie arbeiten in virtuellen, optimierten und dynamischen Wertschöpfungsketten weltweit zusammen. Dies, ohne sich um irgendwelche Regeln zu kümmern. Die Strafverfolgung über Rechtsräume hinweg ist hingegen höchst aufwändig, langsam und teuer. Und wird ein Täter gefasst, dann kommt es oft aufgrund veralteter Rechtsgrundlagen und fehlendem Fachwissen bei Richtern nicht einmal zu einer Verurteilung.

Erneuerte Nationale Cybersecurity-Strategie – eine Chance für die Schweiz!

Am 18. April 2018 hat der Bundesrat die neue «Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken» (NCS) genehmigt. Diese definiert den strategischen Rahmen für den Zeitraum 2018-2022. Sie baut auf der von 2012-2017 umgesetzten ersten NCS auf und entwickelt diese weiter. Dabei berücksichtigt sie die Verwundbarkeiten der Schweiz, die seit 2012 deutlich veränderte und intensivierte Bedrohungslage inklusive deren absehbarer Entwicklung und definiert zusätzliche Massnahmen. Neben Bund und Kantonen und den aus Sicht unseres Landes und der Gesellschaft lebenswichtigen kritischen Infrastrukturen stehen neu auch explizit die kleinen und mittleren Unternehmen (KMU) und die Bürgerinnen und Bürger im Fokus der NCS. Sie integriert alle wichtigen Aktionsfelder und Kompetenzzentren in einen Gesamtrahmen.

Zu nennen sind aus meiner Sicht vor allem die Melde- und Analysestelle Informationssicherung des Bundes (MELANI) als ziviles Kompetenzzentrum auf Bundesebene, die Aktivitäten im VBS (Aufbau eines Cyberdefence-Ökosystems, Tätigkeiten des Bundesamtes für Bevölkerungsschut, die Strafverfolgung auf nationaler und kantonaler Ebene, welche den Aufbau gemeinsamer Kompetenzzentren vorantreiben muss, sowie das Aussendepartement (EDA), welches Schweizer Interessen in internationalen Initiativen aktiv vertritt und gute Dienste anbietet. Mit der in Genf im Aufbau begriffenen Cybersecurity-Initiative des World Economic Forum (WEF) wäre es wertvoll, auch die von Microsoft initiierte Initiative einer «Digital Geneva Convention» (DGC) nach Genf zu holen.

Für die Umsetzung der gelungenen neuen NCS wird es darum gehen, im Bund und in den Kantonen nicht weiter Ressourcen zu verteilen, sondern diese in Kompetenzzentren zu bündeln. Diese Kompetenzzentren müssen möglichst gut aufeinander abgestimmt und vernetzt sein – und dies nicht nur in der Verwaltung, sondern auch mit der Wirtschaft sowie mit Lehre und Forschung. Dass man mit Public Privat Partnerships (PPP) deutlich effektiver sein kann als mit sehr hohem Mitteleinsatz, zeigt sich an der erfolgreichen Arbeit des Bundesamtes für Wirtschaftliche Landesversorgung (BWL), welches weitgehend auf das Milizprinzip abstellt. Es zeigt sich auch an unserem weltweit führenden Setup im Bereich Domain Abuse Bekämpfung. Dabei handelt es sich um eine sehr enge Zusammenarbeit des Regulators (BAKOM) mit dem Betreiber (SWITCH), dem Cybersecurity Kompetenzzentrum des Bundes MELANI und der Strafverfolgung (fedpol). Dieses Erfolgsrezept lässt sich auch in anderen Bereichen anwenden.

Grundsätzlich haben wir in der Schweiz alles, was es braucht, um im Bereich Cybersecurity zu den führenden Nationen zu gehören und damit auch einen Standortfaktor für den Wirtschaftsstandort zu schaffen:

• Die Schweiz hat nach wie vor eine hohe Reputation als stabile, vertrauenswürdige, rechtssichere Nation.
   
• Unsere Hochschulen sind im Bereich Forschung und Lehre international sehr gut positioniert, auch in den Bereichen ICT-Security und Datenschutz.
   
• Wir haben sehr gut ausgebildete Spezialisten, wenn auch noch zu wenige.
   
• Wir haben eine Tradition der Zusammenarbeit und diese wird national und international im Bereich Cybersecurity ein immer wichtigerer Erfolgsfaktor.
   
• Die Sicherheitsexperten der Stiftung SWITCH haben ihr internationales Beziehungsnetz über 20 Jahre systematisch aufgebaut und gepflegt.

Wichtig ist jetzt, dass die gute Strategie NCS 2018-2022 schnell in eine ambitiöse Implementationsplanung umgesetzt wird und dass der Bundesrat sich einigt, wer sich aus dem Gremium für das Thema engagiert und die Führung übernimmt. Es ist dringend notwendig, dass im Bund endlich die für eine schnelle Umsetzung und den erfolgreichen Betrieb notwendigen Mittel bereitgestellt werden. Sicherheit im Internet ist nicht gratis zu haben und das Thema wurde in den letzten Jahren vernachlässigt. Aus den Resultaten der NCS 2012-2017 haben wir gelernt, dass die Cybersecurity eine starke Führung benötigt und dass die Mittel in wenige starke Kompetenzzentren zu konzentrieren sind, anstatt sie über möglichst viele Bundesämter zu verteilen. Das gilt insbesondere in der Strafverfolgung, wo sich vor allem die Kantone durchringen müssen, ihre Cybercrime-Bekämpfung in nicht mehr als drei gemeinsam betriebene Kompetenzzentren zusammenzulegen. Auch für die Sensibilisierung der Bevölkerung müssen wir nicht auf der grünen Wiese starten. Mit der Swiss Internet Security Alliance (SISA) steht eine Organisation bereit, die bereits heute diesen Fokus hat und die eine gute Basis für weitergehende Initiativen bietet.

Zusammenarbeit von Kompetenzzentren ist nicht nur national, sondern auch international ein immer wichtigerer Erfolgsfaktor. Neben der Strafverfolgung, die sich auf die grossen und schweren Fälle konzentrieren muss, wird die operative Zusammenarbeit auf hoher Vertrauensebene darüber entscheiden, ob wir den Cyberkriminellen erfolgreich die Stirn bieten können. Die beste Basis dafür haben die Computer Emergency Response Teams (CERT), auch CSIRT genannt, weil sie diese Vertrauensbasis und Zusammenarbeit während mehr als 20 Jahren in Organisationen wie FIRST und TF-CSIRT systematisch aufgebaut haben.

Packen wir die Herausforderungen gemeinsam an.