Ende 2011 hat der Bundesrat auf Antrag des Informatiksteuerungsorgans Bund eine Weisung zur Sicherheit der Informatik- und Kommunikationstechnik erlassen. Dabei soll bis Ende 2013 bundesweit und fl\u00e4chendeckend die Zwei-Faktor-Authentifizierung (2FA) eingef\u00fchrt werden. Alle Mitarbeiterinnen und Mitarbeiter sollten also mit neuen Sicherheitskarten und alle Computer mit den entsprechenden Leseger\u00e4ten ausger\u00fcstet werden.
Hiermit frage ich den Bundesrat:
1. Wurden die Folgekosten dieses Beschlusses berechnet?
2. Welche Sicherheitsl\u00fccken sollen durch diese 2FA geschlossen werden (bitte mit einem konkreten Beispiel)?
3. Wie hoch ist der notwendige personelle Aufwand:
a. Durch das IT-Personal in den Departementen und \u00c4mtern?
b. Bei den Personen, die umger\u00fcstet werden m\u00fcssen?
4. Welches Risiko besteht, dass der komplexe Authentifizierungsprozess zentralisiert wird und eine St\u00f6rung der Zentrale die gesamte Bundesverwaltung lahmlegt?
5. Wie viele externe Partner sind \u00fcber das Internet und Fachanwendungen eingebunden und m\u00fcssen ebenfalls mit einer 2FA eingebunden werden?
6. Wie viele Fachanwendungen, die der Bund von Gesetzes wegen betreibt, m\u00fcssten deshalb extern betrieben werden?
7. Welche technischen Alternativen zum 2FA hat der Bundesrat gepr\u00fcft?
8. Welches Resultat hat die \u00c4mterkonsultation ergeben?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Die in der Interpellation aufgef\u00fchrte Weisung nimmt eine Massnahme aus einem Bundesratsbeschluss vom 4. Juni 2010 auf, in dem in der Folge von damaligen Attacken auf die Informatiksysteme der Bundesverwaltung verschiedene Massnahmen zur Verbesserung der IKT-Sicherheit in der Bundesverwaltung beschlossen wurden. Unter den Massnahmen war der bundesweite Einsatz von 2FA insbesondere auch zur Absicherung der Fernzug\u00e4nge zum Bundesnetzwerk beschlossen worden.
1. Die Gesamtkosten der Einf\u00fchrung von 2FA wurden auf unter 10 Millionen Franken gesch\u00e4tzt, zu finanzieren im Rahmen der ordentlichen Budgets bzw. auffangbar durch die Effizienzgewinne in der IT.
2. Die Massnahme ist ein Schutz davor, dass Angreifer allein mit der Kenntnis eines Passwortes in die Bundessysteme eindringen k\u00f6nnten. Vor dem Hintergrund heute bekannter massenweise gestohlener bzw. ausgelesener Passwortdateien ist dies ein wichtiges Sicherheitsthema. Beispiele der Bedrohungen der Bundesverwaltung ergaben sich aufgrund konkreter Attacken. Setzt ein Konto 2FA voraus, muss der Angreifer wenigstens \u00fcber eine zweite Komponente - nebst dem Passwort typischerweise eine Hardwarekomponente, wie beispielsweise die Smartcard - verf\u00fcgen. Die Massnahme entspricht g\u00e4ngiger Praxis in solchen Bedrohungslagen.
3a. F\u00fcr die Umr\u00fcstung auf 2FA wurden die IKT-Projektkosten auf etwa 6 Millionen Franken gesch\u00e4tzt. Im t\u00e4glichen Betrieb von 2FA d\u00fcrften die Kosten gegen\u00fcber bisher leicht h\u00f6her liegen, weil die Aufw\u00e4nde f\u00fcr den Ersatz verlorener oder besch\u00e4digter Smartcards die bis anhin \u00fcbliche und jetzt wegfallende Sperrung und Neuausgabe von Passw\u00f6rtern \u00fcbersteigen d\u00fcrften. Der Bundesrat ist aber \u00fcberzeugt, dass der Sicherheitsgewinn diesen Aufwand wert ist.
3b. F\u00fcr die Einf\u00fchrung von 2FA ist pro Benutzer mit etwa einer halben Stunde Aufwand zu rechnen. Im Betrieb ist der Mehraufwand f\u00fcr den Benutzer kaum relevant. Auf der einen Seite fallen die regelm\u00e4ssigen Passwortwechsel weg, daf\u00fcr k\u00f6nnen vergessene, verlegte oder besch\u00e4digte Smartcards einen gewissen Aufwand erzeugen.
4. Der Authentifizierungsprozess wird durch den Einsatz von 2FA nicht mehr zentralisiert, als er ohne 2FA ist. Die entsprechenden Systeme sind bereits heute redundant ausgelegt. F\u00fcr 2FA ist die Verf\u00fcgbarkeit der PKI (Public Key Infrastructure) zentral. Ein l\u00e4ngerer Ausfall w\u00e4re ein ernsthaftes Problem f\u00fcr die Bundesverwaltung - wie auch der Ausfall des heute f\u00fcr die Passwortauthentifizierung benutzten Active Directory eines ist. Insofern entstehen durch 2FA keine neuen Risiken.
5. In den Kantonen sind bereits etwa 30 000 Benutzer mit 2FA auf Basis Smartcard ausger\u00fcstet. Diese L\u00f6sung ist seit etwa 2006 im Betrieb. Neu m\u00fcssen nochmals knapp halb so viele weitere externe Benutzer ausger\u00fcstet werden.
6. Es ergibt sich kein Bedarf von externem Betrieb.
7. Die in der Bundesverwaltung weitverbreitete 1FA musste aufgrund der Bedrohungslage mit weiteren Schutzmassnahmen verst\u00e4rkt werden, weil Passw\u00f6rter abgefangen werden k\u00f6nnen. Die Vorgabe 2FA l\u00e4sst bewusst mehrere Technologien und Verfahren zur Umsetzung zu. Im Rahmen der Umsetzungsprojekte wird jeweils im Einzelfall entschieden, welche konkrete Technologie und welches Verfahren sich in einer spezifischen Umgebung am besten eignet. F\u00fcr die Angestellten des Bundes wird 2FA \u00fcber Zertifikate realisiert, die auch zur Verschl\u00fcsselung und Signierung von Dokumenten eingesetzt werden k\u00f6nnen und damit Synergien generieren.
8. Sowohl bei den Bundesratsbeschl\u00fcssen von 2010 wie auch bei der IKT-Sicherheitsweisung von 2013 haben die Departemente und die Bundeskanzlei im Rahmen der Konsultationen bez\u00fcglich dieser Massnahme keine Vorbehalte eingebracht.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1384300800000)\/","SubmittedBy":"Cassis Ignazio","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1386892800000)\/","ResponsibleDepartment":7,"ResponsibleDepartmentName":"Finanzdepartement","ResponsibleDepartmentAbbreviation":"EFD","IsLeadingDepartment":true,"Tags":"4|34","Category":null,"Modified":"\/Date(1690529786600)\/","SubmissionDate":"\/Date(1380067200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":4910,"SubmissionLegislativePeriod":49,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Staatspolitik|Medien und Kommunikation"}}