Pascal Lamia ist der operative Leiter des Nationale Zentrums für Cybersicherheit (NCSC) in Bern. Im 1. Teil des Interviews äusserte er sich zur Entwicklung der Lage, dem Krieg in der Ukraine und zu einer Meldepflicht für Cybervorfälle. Nun tauchen wir tiefer in die Bedrohungslage ein und besprechen, was das NCSC im Falle eines erfolgreichen Cyberangriffs unternimmt.

Wir beobachten eine gründliche Vorbereitung der Banden. Diese wissen genau, dass die Schweiz gut funktionierende KMU hat, und sie kennen ihre Opfer gut. Sie schauen etwa die Geschäftszahlen an, um die Höhe der Lösegeldforderung zu bestimmen. Auch sind sie oft darüber informiert, wenn Firmen eine Cyberversicherung haben, die bezahlen würde. Für die Banden sind Ziele generell attraktiv, bei denen sie mit Lösegeld rechnen können.

Auch das NCSC rät von einer Lösegeldzahlung ab. Man sollte den Forderungen der Kriminellen nicht nachkommen, sondern vorher die notwendigen Massnahmen treffen, wie Backups erstellen, regelmässige Updates vornehmen und auch das Business Continuity Management ist genau festzulegen. Aber ich kann verstehen, wenn eine Firma bei einem Betriebsunterbruch und drohendem Konkurs das Lösegeld bezahlt. Man sollte allerdings mindestens die Strafverfolgung einschalten und das NCSC informieren.

Der Versorgungsbereich – etwa im Energiesektor – hat die operativen Systeme gut abgeschottet. Parallel dazu laufen aber Büroautomationsumgebungen und deren Server, auf denen die Betreiber kritischer Infrastruktur gleich verwundbar sind wie andere Unternehmen. Das birgt Probleme: Auch wenn die operativen Systeme laufen, müssen die Leistungen je nach dem auch unterbrochen werden, wenn diese nicht verrechnet werden können. Das war etwa beim verheerenden Angriff auf Colonial Pipeline der Fall, in dessen Folge im Frühling 2021 Teile der USA mit Benzinknappheit zu kämpfen hatten.

Aus meiner Sicht gibt es im Gesundheitssektor Nachholbedarf: von den Spitälern über die Labore bis zu den Arztpraxen. Hier arbeitet man mit besonders sensiblen Daten, da kann ein Vorfall gravierende Folgen haben. So ist die Bevölkerung rasch verunsichert und besorgt, wenn etwa Krankengeschichten geleakt werden. Vor allem aber wird es zum grossen Problem, wenn Ärzte nicht mehr mit elektronischen Daten arbeiten können, um ihre Patienten zu versorgen und die Behandlung zu dokumentieren.

Ja, in Düsseldorf mussten sogar Patienten verlegt werden. Zudem mussten Eingriffe abgesagt werden, weil Operationspläne nicht mehr vorhanden waren.

Unser primärer Fokus ist Prävention: Die Früherkennung von Bedrohungen, was aber immer schwieriger wird. Bei Vorfällen bieten wir dann Unterstützung für die Opfer, ohne die Privatwirtschaft zu konkurrenzieren. Wir analysieren zum Beispiel einen Vorfall und sorgen für den Kontakt zur zuständigen Kantonspolizei, ziehen uns aber zurück, wenn eine Firma den Fall selbständig oder mit professioneller externer Hilfe weiterführen kann. Man kann das mit einem Brand vergleichen: Die Feuerwehr löscht zwar das Feuer, aber den Wiederaufbau des Hauses übernimmt eine private Firma.

Wenn wir eine Meldung erhalten, leisten wir manchmal remote per Telefon erste Unterstützung. Meist ist es aber besser, vor Ort zu sein und technische Sofortmassnahme einzuleiten sowie Netzwerk-Daten zu analysieren. Darauf basierend geben wir dann Empfehlungen ab: Wenn noch nicht das gesamte System betroffen ist, gilt es, die IT-Infrastruktur komplett vom Internet abzuschotten, um alle Daten zu analysieren. Danach muss eine Firma aber selbst ihre Server neu aufzusetzen oder die betroffenen Clients identifizieren. Falls sie das nicht kann, muss sie mit dem Hersteller Kontakt aufnehmen. Meist bestehen dafür Verträge, grössere KMU besitzen zudem oft Vereinbarungen mit Sicherheitsfirmen, die Hilfe leisten können.

Wir instruieren die externen Partner meistens und empfehlen weitere Schritte, danach ziehen wir uns zurück. Als Leiter der operativen Cybersicherheit im NCSC nehme ich öfters nach einigen Tagen nochmals Kontakt mit der betreffenden Geschäftsleitung auf und zeige die Lage auf. Firmen sind fast immer froh um die Ratschläge. Als neutrale Stelle zeigen wir ihnen auch auf, dass mit den oftmals hohen Kosten nur für die Bewältigung des Vorfalls noch nicht alles getan ist, sondern dass danach weitere Arbeiten und Kosten anstehen, um eine saubere Basis zu schaffen und die Grundsicherheit wiederherzustellen.

Wenn man Lösegeld bezahlt, um weiterarbeiten zu können, stecken die Angreifer garantiert noch irgendwo im System. Säubert man nicht genau, dann ist das wie ein Jahresabonnement für die Kriminellen. Oftmals sind sie auch über verwundbare Server ins System eingedrungen. Diese Schwachstellen kennen auch andere Hackergruppen. Wenn diese vom erfolgreichen Angriff erfahren, versuchen sie es beim selben Unternehmen.

Man muss auf Stufe Geschäftsleitung aktiv werden. Diese sollte sich bewusst sein, welche Informationen und Daten ihre Firma hält. Und sie sollte sich fragen: Was passiert, wenn Daten weg sind oder gar geleakt werden? Auch wenn es Kosten verursacht, sollte eine Firma ihre IT-Sicherheit nicht selbst zurechtbauen, wenn sie das Know-how nicht besitzt. In einem solchen Fall kann man einen externen Dienstleister beiziehen. Denn wenn etwas passiert, wird es teuer, selbst wenn man die kaum messbaren Image-Schäden nicht in die Rechnung einbezieht.