Schweizer Cybersicherheit und die Illusion einer neuen digitalen Epidemie

Als bekannt wurde, dass die Software, die die Pensionskassen von Migros, der Schweizer Post, der Eidgenossenschaft und der Stadt Zürich bedient, kompromittiert worden war, schien es, als stünden die Schweizer Institutionen vor einer beispiellosen digitalen Belagerung. Fügt man die jüngsten Sicherheitsvorfälle bei der Mediengruppe SRG und dem Online-Marktplatz Ricardo hinzu, schreibt sich die Erzählung von selbst: eine wohlhabende Nation, die von hochensophistizierten Cyberkriminellen angegriffen wird. Doch der plötzliche Anstieg der Schlagzeilen verrät viel weniger über eine neu aggressive Hacker-Unterwelt und viel mehr über die bequeme Naivität, die es heimischen Firmen zuvor ermöglichte, ihre operativen Fehler stillschweigend zu behandeln.

Die Sichtbarkeit dieser Verstöße geht direkt auf regulatorischen Druck zurück. Seit dem 1. April 2025 sind Betreiber kritischer Infrastrukturen in der Schweiz gesetzlich verpflichtet, spezifische Cybervorfälle, insbesondere solche mit gestohlenen Daten, dem Bundesamt für Cybersicherheit (BACS) zu melden. Die Zahlen belegen die unmittelbare Auswirkung des Mandats. Im Monat vor der neuen Regel meldeten lediglich sieben Unternehmen einen Vorfall. Bis September stieg diese monatliche Zahl auf 63. Zwischen April und Ende September verzeichnete das BACS 164 Meldungen, wobei der Finanzsektor die Berichtsstatistiken anführte.

Die Androhung finanzieller Strafen hat die Sorgfaltspflicht der Unternehmen merklich geschärft. Infrastrukturbetreiber, die der Meldepflicht nicht nachkommen, müssen mit Geldbußen von bis zu 100.000 Schweizer Franken rechnen. Über den gesetzlichen Zwang hinaus ist ein Wandel in der Unternehmensstrategie zu beobachten. Wo das Management einst Stillschweigen aus tiefer Verlegenheit über Sicherheitsmängel bevorzugte, ist proaktive Kommunikation zum neuen Standard geworden. Neben angesehenen Kollegen auf der Opferliste zu erscheinen, ist offenbar weitaus weniger schädlich für das Unternehmensprestige, als nachträglich beim Verschweigen eines Verstoßes ertappt zu werden.

Unternehmensführer verweisen häufig auf fortschrittliche künstliche Intelligenz, um ihre Missgeschicke zu erklären, und projizieren das Bild hilfloser Ziele, die futuristischen Werkzeugen gegenüberstehen. Während KI Softwarecode analysieren kann, um Schwachstellen schneller als menschliche Programmierer zu identifizieren, erfordert der Einsatz spezialisierter bösartiger KI-Modelle erheblichen Zeitaufwand, technisches Können und teure Rechenleistung. Die Realität, mit der sich Schweizer Verwaltungsräte konfrontiert sehen, ist weitaus banaler. Die meisten erfolgreichen Eindringungen beruhen nicht auf hochmodernen Softwareagenten. Stattdessen gelingt es Angreifern routinemäßig, grundlegende Lücken in der Cyberhygiene auszunutzen, indem sie vorgefertigte Phishing-Kits, die für ein paar hundert Dollar pro Monat gemietet werden, verwenden, um Systeme zu durchdringen, die bekannte Schwachstellen jahrelang ungepatcht gelassen haben.

Verfasst von Martina Kirchner martina.kirchner@alpineweekly.com