Das Bundesamt für Informatik (BIT) hat keinen spezifischen Ransomware-Schutz in seinem Backupsystem implementiert. Das gefällt der Eidgenössischen Finanzkontrolle (EFK) ganz und gar nicht. Der Schutz vor der bekannten Bedrohung müsse dringend verbessert werden, so die EFK. Im Prüfungsjargon heisst das: "Empfehlung Priorität 1" – zeitnah geeignete Massnahmen implementieren.

Gegenüber inside-it.ch erklärt das BIT: Die empfohlenen Massnahmen würden die bereits bestehenden Schutzmassnahmen auf allen vorgelagerten Stufen wie Netzwerk und Server erweitern. "Damit verstärkt das BIT den bereits auf hohem Niveau bestehenden Schutz der Informationen weiter", so das Bundesamt.

Generell zeigt sich die EFK dann auch zufrieden mit dem "Backup und Revocery" des BIT: Die Sicherheit sei angemessen. "Netbackup" sei georedundant in den Rechenzentren "Primus" und "Campus" im RZ-Verbund des Bundes aufgebaut. Bei den täglich generierten 40'000 bis 60'000 Backups liege die Fehlerquote unter einem Prozent, zudem seien die Sicherheitsmassnahmen wie Verschlüsselung, Monitoring und Prüfung der Synchronisation der Daten angemessen, urteilt die EFK.

Aber eben: Ransomware. Das BIT erarbeitet ein Backup- und Restore-Konzept, das Ransomware in besonderem Masse berücksichtigt. Zudem wird im Bericht festgehalten: Schon heute erkenne die Software Anomalien mittels Künstlicher Intelligenz, um Vorwarnungen bei einem Ransomware-Befall liefern zu können. Auch ein Malware-Scanner komme zum Einsatz, bevor Daten ins Backup überspielt werden.

Derzeit wird im BIT eine Gesamtlösung nach Standards des National Institute of Standards and Technology (NIST) erarbeitet. Dieses soll einen Ransomware-Befall frühzeitig erkennen und bei Bedarf auch wieder auf einen sauberen Stand zurückfahren können. Wieso kommt das erst jetzt? Ransomware ist schon seit Jahren ein grosses Thema. Bereits 2021 verdoppelten sich die Meldungen beim NCSC, das Thema fand Eingang in den breiten Diskurs.

Aufgefallen ist der EFK die Situation beim BIT in einer sogenannten Querschnittsprüfung, bei der auch ein Audit des "Netbackups" durchgeführt wurde. Es wurde geprüft, weil es ein wichtiges Element des Business Continuity Management (BCM) des Bundes ist. Dieses soll dafür sorgen, dass nach einer Naturkatastrophe, einem Anschlag oder einem Cyberangriff der Geschäftsbetrieb aufrechterhalten werden kann.