Cyber Security Month: Die Realität hält sich nicht ans Skript

Der Oktober ist europaweit der Cyber Security Month. Auch in der Schweiz soll dieser Aktionsmonat das Bewusstsein für digitale Risiken schärfen. Das Bundesamt für Cybersicherheit stellte dieses Jahr das «Oversharing» in den Mittelpunkt: den allzu sorglosen Umgang mit persönlichen oder vertraulichen Informationen, insbesondere auch bei der Nutzung künstlicher Intelligenz.

Passend zum Aktionsmonat hat der Bundesrat Ende September ein eigenständiges Cybersicherheitsgesetz angekündigt. Es soll die heute auf verschiedene Erlasse verteilten Anforderungen an digitale Produkte, schützenswerte Daten sowie Hosting- und Cloudanbieter in einer gemeinsamen Vorlage zusammenführen. Die Stossrichtung stimmt: Sensibilisierung soll das Bewusstsein schärfen, ein kohärenter regulatorischer Rahmen soll klare Verantwortlichkeiten schaffen. 

Nur hält sich die Realität selten an das politische Drehbuch.

Zuerst wurde bekannt, dass Cyberkriminelle einen Softwarelieferanten der Pensionskasse Publica angegriffen hatten. Die Pensionskasse selbst war nicht das direkte Ziel. Dennoch könnten Namen, AHV-Nummern, Lohninformationen, Vorsorgeguthaben und weitere sensible Angaben abgeflossen sein. Das ist mehr als ein einzelner IT-Vorfall. Es zeigt die politische und wirtschaftliche Tragweite digitaler Abhängigkeiten. In einer vernetzten Wirtschaft entscheidet nicht nur der Schutz der eigenen Systeme, sondern die Widerstandsfähigkeit der gesamten Lieferkette.

Wenig später folgte mit PHP2Shell die nächste Erinnerung daran, wie abhängig Staat, Wirtschaft und Gesellschaft von wenigen, weitverbreiteten digitalen Grundlagen sind. Zwei kritische Schwachstellen in PHP ermöglichten es Angreifern, auf verwundbaren Servern ohne Anmeldung Schadcode auszuführen. Weil PHP im Hintergrund unzähliger Websites, Onlineshops und Anwendungen arbeitet, konnte eine Schwachstelle in einem technischen Baustein potenziell Millionen digitaler Angebote treffen. In der Schweiz nahmen Behörden und Hochschulen Angebote vorsorglich vom Netz. Das Bundesamt für Cybersicherheit rief dazu auf, nicht nur öffentliche Websites, sondern auch interne Anwendungen und Produkte mit integrierten PHP-Komponenten zu überprüfen und Sicherheitsupdates unverzüglich einzuspielen. Der Fall macht deutlich: Digitale Infrastruktur ist längst systemrelevant, auch wenn man sie im Alltag kaum sieht.

Beide Fälle führen zur gleichen Erkenntnis: Cybersicherheit ist Teamsport. Unternehmen, Mitarbeitende, Technologieanbieter, Dienstleister und Staat spielen in derselben Mannschaft. Entscheidend ist nicht der Glanz des stärksten Spielers, sondern die Widerstandsfähigkeit des schwächsten. Ein veraltetes System, ein ungeschützter Zugang oder ein unzureichend abgesicherter Dienstleister kann das ganze Team in Bedrängnis bringen.

Deshalb braucht es klare Verantwortlichkeiten. Unternehmen müssen ihre Systeme und Abhängigkeiten kennen, ihre Lieferketten im Blick behalten und auf den Ernstfall vorbereitet sein. Cybersicherheit gehört auf die Chefetage, geht aber zugleich alle Mitarbeitenden an. Das gilt umso mehr im Zeitalter der KI: Sie eröffnet enorme Chancen, beschleunigt aber auch Angriffe, macht Täuschungsversuche raffinierter und den bewussten Umgang mit Daten noch wichtiger.

Der Staat wiederum muss klare, verlässliche und international anschlussfähige Spielregeln setzen. Er kann den Akteuren ihre Verantwortung aber nicht abnehmen. Denn weder ein Aktionsmonat noch ein Gesetz schafft für sich allein mehr Sicherheit. Ein guter Spielplan hilft. Umsetzen muss ihn das ganze Team.

Swico unterstützt deshalb das Ziel des Bundesrates, die Cyberresilienz der Schweiz zu stärken. Wir begrüssen insbesondere die Absicht, die Anforderungen in einer kohärenten und harmonisierten Gesetzesvorlage zusammenzuführen. Ein klarer Rahmen ist besser als ein regulatorischer Flickenteppich aus parallelen Pflichten, mehrfachen Meldungen und unterschiedlichen Prüfverfahren.

Ordnungspolitisch ist für uns ebenso klar: Neue Vorgaben müssen wirksam, verhältnismässig, risikobasiert und international abgestimmt sein. Für Swico gilt deshalb: ein Vorfall, eine Meldung; ein Produkt, eine Prüfung; ein Unternehmen, ein Pflichtenheft. Wer europäische Anforderungen erfüllt, soll nicht zusätzlich einen Schweizer Hindernislauf absolvieren müssen. Mehr Regeln bedeuten nicht automatisch mehr Sicherheit. Und Compliance ist noch keine Cyberabwehr.

Der Bundesrat hat angekündigt, die administrative Belastung tief zu halten und zusätzliche Compliance-Belastungen zu vermeiden. Wir nehmen ihn beim Wort.

Die Schweiz braucht mehr Cyberresilienz, nicht mehr Cyberbürokratie.