«Die spezifischen Lösungen der Gemeinden sind ein Vorteil»

«Die IT hatte vor Jahren problemlos Platz im Keller und hätte es auch heute noch. Nur ist es technisch gesehen einfacher, die Sicherheit der Infrastruktur zu gewährleisten, wenn die Server in einem Rechenzentrum stehen. Wenn ich da nur ans Back-up denke, das noch lange auf Band gespielt wurde. Zusätzlich zum Hauptsystem laufen diverse Fachapplikationen in verschiedenen Cloudlösungen.

Als wir vom Schweizerischen Gemeindeverband (SGV) angefragt worden sind, ob Münchwilen seine IT als Pilotgemeinde in der Deutschschweiz auf deren Sicherheit hin testen lassen würde, war ich zuerst einmal überrascht, dass es für Gemeinden eine solche Initiative gibt. Das Label cyber-safe.ch kannte ich damals noch nicht. Als leidenschaftlicher Softwareentwickler und gelernter Informatiker ist bei mir für dieses Thema aber natürlich eine gewisse Sensibilität vorhanden. Da ich die IT unserer Gemeinde in den nächsten Jahren harmonisieren möchte, war diese Zertifizierung eine gute Gelegenheit, um dies anzupacken. Bedenken hatte ich dabei nie, so ein Pilot ist immer auch ein Lernprozess für alle Beteiligten.

«Die Cybersicherheit ist die Polizei und die Feuerwehr im virtuellen Raum.»

Bruno Tüscher, Gemeindeammann von Münchwilen (AG)

Diese Sensibilität braucht es grundsätzlich in allen Gemeinden, grossen wie kleinen. Denn die Grösse einer Gemeinde spielt beim Thema Cybersicherheit eine untergeordnete Rolle. Treffen kann es jede, und daher sollte man sich auch damit beschäftigen. Die Cybersicherheit ist die Polizei und die Feuerwehr im virtuellen Raum! Direkt profitieren kann ein Hacker von den Daten einer Gemeinde eher nicht, indirekt schon. Die Daten können fürs Social Engineering weiterverwendet werden, und so kann ein gutes Bild über einzelne Bürger erstellt werden. Mit den Daten könnte beispielsweise ein einfach wirkender, aber vermögender Bürger erpresst werden, mit den Steuerdaten einer Unternehmung die Konkurrenz ausgeschaltet werden, um nur zwei Beispiele zu nennen.

Münchwilen hat nun also den Labelling-Prozess durchlaufen, und er hat genau das aufgezeigt, was ich erwartet habe: Der Mensch ist die grösste Schwachstelle in diesem System. Heutige Firewalls und Monitoringsysteme können die grosse Mehrheit der Angriffe erkennen, abfangen und abwehren. Wenn nun aber ein Mensch, der bereits hinter diesen Systemen sitzt, unbewusst etwas ins System einschleust, dann haben die Angreifer eine einfache Aufgabe. Daher ist es sehr wichtig, das Bewusstsein innerhalb der Belegschaft für dieses Thema zu schärfen. Dies wurde einerseits mit einer Phishingkampagne bewerkstelligt, und andererseits wird an den zweijährlich stattfindenden Sicherheitskursen der Gemeinde darauf hingewiesen werden.

Wie aufwendig solche Sicherheitsmassnahmen für die Gemeinde Münchwilen sind, kann nicht direkt in Franken ausgedrückt werden. Wir kaufen die IT bei einem Dienstleister ein. Teil davon ist auch die technische Sicherheit der Systeme.

Im Zusammenhang mit den Hackerangriffen auf zwei Westschweizer Gemeinden wurde zum Teil gefordert, dass die Kantone die IT-Sicherheit für die Gemeinden gewährleisten sollten. Aber: Jede Gemeinde arbeitet mit anderen IT-Dienstleistern zusammen und betreibt unabhängig vom Kanton die unterschiedlichsten IT-Lösungen. Daher ist es für den Kanton praktisch unmöglich, diese Aufgabe für die Gemeinden zu übernehmen. Ich bin auch nicht der Meinung, dass die Schweiz mit einer Swiss Cloud besser geschützt wäre. Je mehr Daten an einem Ort sind, desto interessanter wird es, diesen Ort anzugreifen, und desto höher ist auch die Datendichte. Daher sehe ich die spezifischen Lösungen der einzelnen Gemeinden eher als Vorteil – verteilte Systeme, die niemals alles beinhalten.

Es ist davon auszugehen, dass die Kosten in Zukunft ansteigen werden. Es nützt jedoch nichts, möglichst viel Geld dafür auszugeben. Die Hacker werden immer einen Schritt voraus sein. Man kann dies ein bisschen mit Einbrechern vergleichen: Wenn vor jeder Haustüre, jedem Fenster und weiteren Zugängen ein Polizist stehen würde, dann könnte dies verhindert werden – zahlbar wäre es jedoch nicht.

Wie sich die Gemeinde Münchwilen im Fall einer Lösegeldforderung, vielleicht sogar in einer Kryptowährung, verhalten würde? Das haben wir intern noch nicht diskutiert. Ich habe jedoch die Erstellung eines Notfallplans zu diesem Thema auf meiner Pendenzenliste. Darin enthalten sein wird die interne und externe Kommunikation und somit auch das Verhalten im Falle einer Lösegeldforderung. Ich kann mir jedoch kaum vorstellen, dass wir einer solchen Forderung nachkommen könnten. Die Möglichkeit einer Versicherung gegen Cyberattacken war bei uns im Gemeinderat bereits schon einmal ein Thema. Da aber nicht abschliessend geklärt werden konnte, wer sich versichern muss (Gemeinde, IT-Dienstleister, Betreiber Rechenzentrum, …) und in welchem Fall dann auch eine Zahlung erfolgen würde, haben wir uns damals dagegen entschieden. In der Zwischenzeit hat sich an der Versicherungsfront einiges getan, und wir werden uns bei einer nächsten Gelegenheit erneut damit befassen.»

Beat Stettler, Professor an der Ostschweizer Fachhochschule OST, Spezialist für Computernetze und Internettechnologien, spricht über Youtube-Erklärvideos, Cyberattacken, die im Internet für 50 Dollar gekauft werden können, und evaluiert die Risiken für Gemeinden.

Beat Stettler: In der Schweiz gibt es sehr viele Unternehmen, die sehr viel in ihre Sicherheit investieren, beispielsweise Banken und Versicherungen. Andere Unternehmen, etwa aus dem Industriebereich oder KMU, haben gar nicht die nötigen Mittel und das Personal dazu und auch nicht unbedingt den gleichen Fokus auf die Sicherheit gerichtet. Darum sind viele von ihnen in breitem Masse ungeschützt.

Stettler: Bei den Gemeinden muss man unterscheiden. Es gibt Gemeinden, die ihre IT an einen grossen IT-Anbieter ausgelagert haben. Diese grossen Anbieter haben Securityspezialisten und die nötigen Mittel, um die IT zu schützen. Und es gibt kleinere Gemeinden, die vielleicht mit einem knappen Dutzend lokalen Computern arbeiten und bei denen jemand verwaltungsintern für die IT zuständig ist. Sind keine Schutzmechanismen implementiert worden, ist das Risiko gross, dass diese Gemeinden genauso ungeschützt sind wie Private.

Stettler: Ja, insofern Informationen über die Bürgerinnen und Bürger für weitere, gezielte Angriffe genutzt werden könnten. Wer Namen, Vornamen, Geburtsdatum und AHV-Nummer einer Person kennt und vielleicht auch weiss, was diese Person verdient, ob sie arbeitslos ist oder Sozialleistungen bezieht, hat zusätzliche Angriffspunkte. Je mehr Hacker über mögliche Opfer wissen, desto mehr Möglichkeiten für illegale Aktivitäten eröffnen sich ihnen.

Stettler: Ja, Elektrizitätswerke von Gemeinden oder die Wasserversorgung könnten solche Ziele sein. Grössere Gemeinden haben die nötigen Schutzvorkehrungen ergriffen, kleinere nicht unbedingt die nötigen Ressourcen dafür. Denn ihr Aufwand, um das gleiche Mass an Schutz zu erzielen, ist ja nicht kleiner als bei den grösseren.

Stettler: Mit einem Angriff auf ein Elektrizitätswerk ist nicht unbedingt Geld zu verdienen, aber Hacker könnten natürlich drohen, das Werk abzustellen. Würde man dies auf die Ebene eines Landes ausweiten, wäre sicher eines der ersten denkbaren Szenarien eines Cyberkriegs, dass sämtliche Kraftwerke abgestellt werden. Denn wenn kein Strom mehr zur Verfügung steht, ist ein Land rasch gelähmt. Damit will ich nicht sagen, dass dies ein Szenario ist, das der Schweiz droht. Aber in Kriegsgebieten ist das ein wichtiger Angriffsvektor, der genutzt wird. Im Grunde geht es um lebenswichtige Bereiche, auch eine Trinkwasserversorgung gehört dazu.

Ein viel häufigeres Szenario ist allerdings die Erpressung, indem Daten zuerst verschlüsselt und dann nur noch gegen die Zahlung einer hohen «Lösegeldsumme» entschlüsselt werden können. Zahlt der Kunde nicht, drohen die Erpresser häufig damit, die sensiblen Personendaten im Internet zu veröffentlichen.

«Cyberkriminalität ist heute eine Industrie, mit der Geld verdient werden kann.»

Beat Stettler, Professor an der Ostschweizer Fachhochschule OST, Spezialist für Computernetze und Internettechnologien

Stettler: Ja, es gibt auch Hacker, die sich gerne in Szene setzen, indem sie eine IT angreifen und damit an die Öffentlichkeit gehen. Das führt dann nicht unbedingt zu einem finanziellen Schaden, sondern zu einem Reputationsschaden, der durchaus auch sehr unangenehm sein kann.

Stettler: Vor einiger Zeit geriet die Stadt Lugano in die Schlagzeilen, weil sie Touristen einen kostenloses WLAN-Zugang zur Verfügung stellte, damit vor allem die ausländischen Gäste keine Roaminggebühren bezahlen müssen. Es wurde kein Contentfilter eingerichtet, und dummerweise wurde die Website von Schülern aus Lugano dafür missbraucht, um auf unanständigen Seiten zu surfen. Das hat die Presse aufgegriffen und daraus eine Story gemacht.

Stettler: Ja, und diese müssen genau aus diesem Grund ebenfalls geschützt sein. Dafür gibt es spezialisierte Anbieter, die diesen Schutz auch für kleine Gemeinden übernehmen.

Stettler: Das ist tatsächlich einfach. Es gibt Youtube-Erklärvideos, oder man kann sich im Internet für 50 Dollar eine Attacke kaufen, um damit dem ungeliebten Nachbarn zu schaden. Cyberkriminalität ist heute eine Industrie, mit der Geld verdient werden kann.

Stettler: Die Möglichkeiten sind natürlich beschränkt. Man kann, um beim Beispiel zu bleiben, den Webserver des ungeliebten Nachbarn stören, sodass er nicht mehr erreichbar ist. Aber wenn man an echte Kreditkartendaten herankommen will, braucht es dafür schon etwas mehr. Die Schutzmassnahmen müssen also im Verhältnis zum möglichen Schaden stehen. Übertragen auf die Gemeinden heisst dies, dass sie sich überlegen müssen, welche Assets sie schützen wollen beziehungsweise müssen, unter anderem Personendaten und ihre Systeme. Dann gilt es, die dafür nötigen Mittel bereitzustellen, um diesen Schutz zu gewährleisten. Anbieter, die Gemeinden dabei unterstützen, gibt es viele. Aber es gibt wohl kein allgemeingültiges Rezept für alle Gemeinden.

Stettler: Nein, es ist gerade umgekehrt. Mit der steigenden Digitalisierung steigt auch die Zahl der möglichen Angriffsvektoren. Bürgerinnen und Bürger verlangen heute von den Behörden, dass sie gewisse Dienstleistungen digital anbieten. Doch das Beispiel E-Voting hat gezeigt, wie schwierig es sein kann, solche Dienstleistungen zu schützen. Auch wer umzieht oder mit der Gemeinde im E-Mail-Verkehr steht, hat heute Angriffsflächen, die es früher nicht gab. Da ging man auf die Gemeindeverwaltung und musste seinen Ausweis zeigen.

Stettler: Bei Smart-City-Angeboten ist es nicht selten so, dass man einmal etwas ausprobiert und sich erst nachher Gedanken zur Sicherheit macht. Ein Anbieter von intelligenten Strassenlampen ist schliesslich auf Lampen und nicht auf IT-Sicherheit spezialisiert. Vielleicht sollte man sich die Frage nach der Sicherheit bereits etwas früher stellen. Aber das gilt nicht speziell für die Schweiz, sondern ganz generell.