SubmittedText

1. Sind die letzten bekannten Hacks auf Gemeinden, Kantone, Bund und deren Zulieferer schwerwiegend? Wie sind diese einzuordnen?

2.Täuscht das Bild oder hat die Intensität und Frequenz von erfolgreichen Angriffen zugenommen?

3. Unlängst wurde von unserem Mr Cyber Herr Florian Schütz und dem NCSC dem Bund und den Kantonen ein gutes Zeugnis in Sachen CyberSchutz ausgestellt. Wie ist dies im Licht der Ereignisse der letzten Tage,

Wochen und Monate zu verstehen?

4. Gibt es einen Zusammenhang mit der Rede von Selenski oder demKriegsgeschehen?

5. Befinden wir uns schon in einem Cyberkrieg und merken es nicht?

6. Wie werden die vorliegenden Fälle bearbeitet, was können wir daraus lernen?

7. Wissen wir was für Schäden das verursacht? Pekuniär wie aber auch im Falle des XPLAIN Hacks, respektive dem Abfluss operativer Daten von Sicherheitsbehörden was dies für unsere Sicherheitsarchitektur und Zukunft bedeutet?

FederalCouncilResponseText

Zu 1) Bei den im Mai und Juni 2023 bekannt gewordenen Cyberangriffen muss zwischen Angriffen auf die Verfügbarkeit von Websites des Bundes und der Kantone und dem Ransomware-Angriff auf die Firma Xplain unterschieden werden. Die Angriffe auf die Verfügbarkeit von Websites waren zwar wegen dem von den Angreifern selbst postulierten Zusammenhang zum Krieg gegen die Ukraine und wegen der hohen Zahl betroffener Websites aussergewöhnlich. Sie konnten aber in kurzer Zeit eingedämmt werden und haben zu keinem Zeitpunkt die Sicherheit der Schweiz gefährdet. Es bestand nie die Gefahr, dass vertrauliche oder geheime Informationen des Bundes oder der Kantone gestohlen oder offengelegt werden könnten. Sie sind daher nicht als schwerwiegend zu bezeichnen. Der Angriff auf die Firma Xplain hingegen hat zum Diebstahl und zur Veröffentlichung solcher Daten geführt und ist darum als deutlich gravierender einzuschätzen.

Zu 2) Die Frequenz von Cyberangriffen auf Unternehmen und Behörden in der Schweiz hat 2023 wieder zugenommen, nachdem sie 2022 abgenommen hat. Diese Trends sind international zu beobachten und betreffen nicht nur die Schweiz. Es handelt sich aber nicht um eine Eskalation der Häufigkeit der Angriffe.

Zu 3 und 6) Angriffe auf die Verfügbarkeit von Websites können als digitaler Vandalismus betrachtet werden. Solche Angriffe beeinträchtigen die Cybersicherheit des Bundes nur geringfügig, weshalb das Risiko solcher Angriffe als tragbar eingeschätzt wurde. Das NCSC wird eine Analyse der erfolgten Angriffe vornehmen und Massnahmen gegen solche Angriffe prüfen.

Der Angriff auf Xplain betraf zwar nicht die IKT-Infrastruktur des Bundes und der Kantone, zeigt aber deutlich auf, dass die Cybersicherheit im Lieferantenmanagement verbessert werden muss. Bund und Kantone müssen stärker darauf achten, dass die Sicherheitsstandards des Bundes auch bei Zulieferern eingehalten werden. Das Informationssicherheitsgesetz, welches voraussichtlich am 1. Januar 2024 in Kraft treten wird, bietet dafür die gesetzliche Grundlage. Es legt die Sicherheitsverfahren bei Einsatz von Informatikmitteln fest (Art. 16) und stärkt über das Verfahren der Betriebssicherheitsprüfung (Art. 49-73) die Möglichkeiten des Bundes, die Informationssicherheit von Betrieben, welchen er sicherheitsempfindliche Aufträge erteilt, zu prüfen.

Zu 4) Die Angriffe auf die Verfügbarkeit stehen – gemäss den Angaben der Angreifer – in einem direkten politischen Zusammenhang mit dem Krieg gegen die Ukraine. Auch auf die Rede des ukrainischen Präsidenten Selenski vom 15. Juni 2023 vor dem Schweizer Parlament wurde dabei verwiesen. Die Äusserungen der Angreifer deuten darauf hin, dass sie primär einen propagandistischen Effekt beabsichtigen und den Eindruck erwecken wollen, dass die Schweiz in einem Cyberkrieg sei.

Zu 5) Nein. Der Bundesrat nimmt die Bedrohung durch Cyberangriffe sehr ernst. Die Angriffe als Cyberkrieg zu klassifizieren, überhöht ihre Gefahr und unterstützt damit die Absicht der Angreifer, Verunsicherung zu streuen.

Zu 7) Der Schaden des Xplain-Vorfalls lässt sich aktuell nicht beziffern, da die Arbeiten zum Ersatz oder der Wiederherstellung der betroffenen Systeme noch nicht abgeschlossen sind. Direkt nach Bekanntwerden des Angriffs haben die betroffenen Verwaltungseinheiten Sofortmassnahmen umgesetzt, um die operative Sicherheit zu gewährleisten. Veröffentlichte Zugangsdaten und Passwörter wurden beispielsweise umgehend blockiert. Die vom Bundesrat angeordnete Administrativuntersuchung soll unter anderem aufzeigen, welche Massnahmen zu ergreifen sind, um die aktuellen Sicherheitsrisiken im Zusammenhang mit externen Leistungserbringern zu beseitigen.

Die Angriffe auf die Verfügbarkeit von Websites haben nicht zu einem Datenverlust geführt. Der durch sie verursachte Schaden ist gering.