Reden, reden, reden – an Konferenzen, mit Regierungen weltweit, mit Kundinnen und Kunden. Das ist eine der Hauptaufgabe von Oded Vanunu, der sich Head of Products Vulnerability Research nennen darf und seit über 20 Jahren für Check Point arbeitet, einem israelischen Anbieter von Sicherheitslösungen.

Sie treten an Konferenzen auf und sprechen über die Bedrohungslage im Cyberspace. Kürzlich sprachen Sie vor dem österreichischen Militär. Was sind die Hauptunterschiede zwischen einem physischen Angriff und einem Cyberangriff auf ein Land? Gute Frage – das wurde ich noch nie gefragt. Die Wahrscheinlichkeit eines Cyberangriffs ist viel höher und ebenso die möglichen Gefahren für Bürgerinnen und Bürger.

Wenn die Unterschiede so gross sind: Halten Sie das traditionelle Militär überhaupt für fähig, eine leistungsfähige Cyberabwehr aufzustellen? In Israel stellten wir uns diese Frage vor über 10 Jahren auch. Ist das Militär die richtige Organisation, um zivile Infrastrukturen im Cyberspace zu verteidigen? Und wir kamen zum Schluss, dass das nicht der Fall ist. Stattdessen gründete das Land eine nationale Cyberdefence-Einheit, die unabhängig vom Militär ist.

In der Schweiz läuft aktuell eine ähnliche Debatte. Unsere Cyberdefence-Einheit, das NCSC, wird ausgebaut und bald soll entschieden werden, ob sie zum Militär-, Justiz- oder Finanzdepartement gehört. In Israel haben wir es als Stabsstelle beim Ministerpräsidium platziert, um dem Anliegen Priorität zu geben.

Nun, wir haben halt keine Ministerpräsidentin oder einen Ministerpräsidenten… Das ist besser… Aber ich denke, dass das Militärdepartement nicht die beste Lösung ist, weil das Militär seine eigenen Aufträge und Ziele hat. Das Finanz- oder Justizdepartement sind unabhängiger und müssen weniger diplomatische Regeln befolgen.

Wo ist ein Land am verletzlichsten? Ist es die kritische Infrastruktur? Nein, erstaunlicherweise ist es mit grossem Abstand der Bildungs- und Wissenschaftsbereich. Weit dahinter an zweiter und dritter Stelle folgen Behörden und das Militär.

Universitäten als Einfallstor Nummer 1? Das erstaunt. Diese haben oft nicht das Budget für IT-Security. Ausserdem können sie ihren Studentinnen und Forschern gegenüber kaum verargumentieren, dass gewisse Verbindungen geblockt werden müssen. Sie sind damit das schwächste Glied in der Kette und ihre Server können nach einem Hack genutzt werden, um Malware weiterzuverbreiten.

Das primäre Ziel von Cyberkriminellen bleibt aber, möglichst viel Geld zu machen. Korrekt. Sie suchen ihre Ziele mit ausgeklügelten Datenanalysen und versuchen schon vorher herauszufinden, wie viel Geld sie bei einem allfälligen Erfolg erpressen können. Cyberkriminelle sind erstaunlich gut organisiert, mit Geschäftsleitungen bestehend aus CEO, CFO oder CIO. Und sie sind oft mächtiger als ganze Länder, um auf den Vergleich mit physischen Angriffen zurückzukommen.

Stimmt das Klischee, dass Cyberkriminelle immer noch oft in Osteuropa sitzen? Es ist gut dokumentiert, dass Osteuropa immer noch das Heim der meisten Cyberkriminellen ist, vornehmlich Russland. Aber auch in Iran und Nordkorea gibts viele.

Wie Sie sagten, ist Geld die Hauptmotivation von Cyberkriminellen. Wenn Firmen das Lösegeld zahlen, alimentieren sie das Geschäftsmodell. Was raten Sie? Ganz ehrlich: Wenn eine Firma ihre Assets verloren hat und diese nicht wiederherstellen kann, muss sie abwägen: Was kostet es mich, nicht weiter produzieren zu können oder was kostet mich das Lösegeld?

Welche Trends im Bereich Cybersecurity bereiten Ihnen aktuell die grösste Sorge? Blockchain-Security. Im Jahr 2021 wurden über 14 Milliarden Dollar aus dem Web3 und Blockchains gestohlen – Tendenz steigend. Auch im Metaverse wird Security zum Thema werden. Die virtuelle Welt wird Teil des Lebens unserer Kinder und Teenager und muss entsprechend gesichert werden.

Sie arbeiten seit über 20 Jahren für Check Point. Zu Beginn ihrer Karriere hätten Sie sich auch für die dunkle Seite entscheiden und viel mehr Geld verdienen können. Das stimmt, aber der Entscheid ist mir nicht schwergefallen. Meine Eltern haben bei ihrer Erziehung vieles richtig gemacht.