Dass die Ruag als Spezialistin im Cyber- und Sicherheitsbereich vor einiger Zeit Opfer eines Cyberangriffs durch eine anonyme T\u00e4terschaft wurde, ist besonders problematisch. Der Bundesrat informierte am 23. Mai 2016 \u00fcber die ersten Erkenntnisse im Zusammenhang mit dem Cyber-Spionage-Angriff auf die Ruag. Trotzdem bestehen noch einige offene Fragen.
Daher wird der Bundesrat gebeten, folgende Fragen zu beantworten:
1. Wie bzw. warum war es m\u00f6glich, dass Hacker \u00fcber die Ruag auf Daten der Bundesverwaltung zugreifen konnten? Sollten die Informatiksysteme der Ruag und der Bundesverwaltung nicht besser getrennt sein?
2. In den vergangenen Jahren kam es bereits verschiedentlich zu Cyberangriffen auf die Bundesverwaltung, u. a. das EDA.
a. Wurde bei diesen Angriffen dieselbe Malware verwendet?
b. Was gedenken der Bundesrat und insbesondere das VBS zu tun, damit in Zukunft solche Cyberangriffe verhindert werden k\u00f6nnen?
c. Gibt es eine Best Practice im Umgang mit dem Risiko von Cyberangriffen, und falls ja, orientiert sich der Bund daran?
3. Inwiefern sieht er eine Notwendigkeit, eine generelle Sicherheits\u00fcberpr\u00fcfung der Architektur des Informatiksystems (Zentralisierung der Daten usw.) zu veranlassen, um m\u00f6gliche Schwachstellen und folglich Sicherheitsrisiken zu identifizieren?
4. Ist er der Ansicht, dass die Melde- und Analysestelle Informationssicherung (Melani) ausreicht, oder braucht es f\u00fcr den Schutz von sicherheitsrelevanten Einrichtungen zus\u00e4tzliche bzw. neue Kompetenzen oder Fachstellen oder eine verbesserte Zusammenarbeit mit dem Privatsektor?
5. Die Schweiz kann die Cyberkriminalit\u00e4t nicht allein bek\u00e4mpfen.
a. Reichen aus seiner Sicht die bestehenden Abkommen zur Bek\u00e4mpfung der Cyberkriminalit\u00e4t aus?
b. Inwiefern kann bzw. sollte die internationale Zusammenarbeit in dieser Sache noch verst\u00e4rkt werden?
6. Wie kann er gew\u00e4hrleisten, dass die Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) einheitlich \u00fcber alle Departemente umgesetzt wird?
7. Sind weitere Cyberangriffe, Abh\u00f6rangriffe usw. bekannt, \u00fcber welche die \u00d6ffentlichkeit bisher nicht informiert worden ist?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"1. Das Angriffsziel war die Ruag und nicht die Bundesverwaltung. Ein Zugriff auf die Netze der Bundesverwaltung ist nach heutigem Kenntnisstand nicht erfolgt. Eine \u00dcberpr\u00fcfung der Entflechtung der Netze hat der Bundesrat bereits angeordnet.
2.a. Die technische Analyse l\u00e4sst den Schluss zu, dass es sich um die gleiche Malware-Familie handelt.
2.b. Angriffe dieses Ausmasses lassen sich nicht in allen F\u00e4llen verhindern. Wichtig ist ein funktionierender Risikomanagementprozess mit Blick auf kritische Prozesse und sensitive Informationen, um selbst bei einem erfolgreichen Angriff die Sch\u00e4den zu minimieren. Zudem hat der Fall gezeigt, wie wichtig die Kooperation bei solchen Vorf\u00e4llen im In- und Ausland ist.
2.c. Basierend auf der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) wendet der Bund mehrere Instrumente zur Erkennung und Minimierung von Cyberrisiken an. In der NCS wurden 16 Massnahmen definiert, die sich \u00fcber alle Ebenen erstrecken und auch einen starken Fokus auf internationale Entwicklungen haben. Das Bundesamt f\u00fcr Bev\u00f6lkerungsschutz und das Bundesamt f\u00fcr wirtschaftliche Landesversorgung f\u00fchren Risiko- und Verwundbarkeitsanalysen durch und st\u00fctzen sich dabei auf den Leitfaden zum Schutz kritischer Infrastrukturen, der die g\u00e4ngigen Standards und Best Practices ber\u00fccksichtigt. Basierend auf den Erkenntnissen dieser Analysen werden, zusammen mit den Beh\u00f6rden und den Betreibern von kritischen Infrastrukturen, Massnahmen zur Verbesserung der Widerstands- und Regenerationsf\u00e4higkeit erarbeitet.
3. Der Bundesrat sieht diese Notwendigkeit und hat entsprechende IKT-Sicherheitsvorgaben erlassen. Diese sehen vor, dass f\u00fcr jedes Informatiksystem in der Bundesverwaltung der Schutzbedarf ermittelt wird und die notwendigen Sicherheitsmassnahmen festgelegt und umgesetzt werden. Dabei wird auch die Architektur \u00fcberpr\u00fcft und werden Schwachstellen bzw. Sicherheitsrisiken identifiziert. Im Rahmen der Wirksamkeits\u00fcberpr\u00fcfung der NCS k\u00f6nnten weitere Massnahmen abgeleitet werden.
4. Die von Melani betriebene Public Private Partnership im Verbund mit der Wirtschaft ist der richtige Ansatz zur effizienten Zusammenarbeit mit dem Privatsektor und muss weiter verst\u00e4rkt werden. Dabei wird man sich prim\u00e4r auf bestehende Strukturen und Zusammenarbeitsformen abst\u00fctzen und die bestehenden Kompetenzen weiter st\u00e4rken. Der Anfang wurde mit der Gr\u00fcndung des Vereins Swiss Cyber Experts im Jahr 2014 gemacht, der die Expertise von Wirtschaft, Verwaltung und Wissenschaft vereint.
5. Cyberkriminalit\u00e4t kann nur im internationalen Verbund erfolgreich bek\u00e4mpft werden. Die Schweiz ist 2012 dem \u00dcbereinkommen des Europarates \u00fcber Computerkriminalit\u00e4t beigetreten. Dieses vereinfacht die Zusammenarbeit mit anderen L\u00e4ndern bei der Bek\u00e4mpfung der Cyberkriminalit\u00e4t. Das Bundesamt f\u00fcr Polizei (Fedpol) arbeitet zudem eng mit den internationalen Polizeiorganisationen Interpol und Europol zusammen. Das Europ\u00e4ische Zentrum zur Bek\u00e4mpfung der Cyberkriminalit\u00e4t (EC3) stellt hierbei eine wichtige Schaltstelle dar. Fedpol wird zudem dem G7-Netzwerk von Kontaktstellen gegen Cyberkriminalit\u00e4t beitreten, das den Informationsaustausch mit vielen L\u00e4ndern, beispielsweise in Asien oder Afrika, erleichtern d\u00fcrfte.
Das \u00dcbereinkommen des Europarates steht - auf Einladung - auch Staaten zur Ratifikation offen, die nicht Mitglieder des Europarates sind. Die Schweiz engagiert sich im Hinblick auf eine Weiterentwicklung des \u00dcbereinkommens und hat Einsitz genommen in eine Arbeitsgruppe des Europarates, die sich der Thematik \"Evidence in the Cloud\" und dem Zugriff auf Daten ausserhalb der Landesgrenzen widmet.
Weiter existieren auch andere Initiativen zur Bek\u00e4mpfung der Cyberkriminalit\u00e4t, denen die Schweiz angeh\u00f6rt. Beispiele sind die Global Alliance against Child Sexual Abuse Online und die Virtual Global Task Force. Die Allianz wurde aufgrund einer gemeinsamen Initiative der EU und der USA im Jahr 2012 lanciert. Sie z\u00e4hlt mittlerweile 54 Mitgliedstaaten, darunter die Schweiz (vertreten durch Fedpol). Ihr Ziel ist die Verst\u00e4rkung der internationalen Zusammenarbeit in der Bek\u00e4mpfung des sexuellen Missbrauchs von Kindern online. Aus der Sicht des Bundesrates reichen diese Massnahmen aus, um die Cyberkriminalit\u00e4t auch in Zukunft effektiv bek\u00e4mpfen zu k\u00f6nnen.
6. Die Umsetzung der NCS wird auf strategischer Ebene von einem interdepartementalen Steuerungsausschuss eng begleitet und auf operativer Ebene durch die Koordinationsstelle NCS unterst\u00fctzt. Diese informiert den Bundesrat halbj\u00e4hrlich. Sie ist ferner Auftraggeber der Wirksamkeits\u00fcberpr\u00fcfung, die derzeit von einer externen Firma durchgef\u00fchrt wird. Erste Resultate sollen im Herbst 2016 vorliegen. Die Wirksamkeits\u00fcberpr\u00fcfung wird dar\u00fcber Aufschluss geben, ob man mit der NCS eine Wirkung erzielt hat, ob sich der dezentrale Ansatz bew\u00e4hrt hat und wie das weitere Vorgehen aussehen soll.
7. Cyberangriffe finden heute in verschiedenster Form t\u00e4glich statt. Dem Bundesrat ist daher bewusst, dass ihm nicht jeder der zahlreichen Angriffe zur Kenntnis gebracht werden kann. \u00dcber alle wichtigen Angriffe wird der Bundesrat informiert.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1465516800000)\/","SubmittedBy":"Die Mitte-Fraktion. Die Mitte. EVP.","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1465516800000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"Departement f\u00fcr Verteidigung, Bev\u00f6lkerungsschutz und Sport","ResponsibleDepartmentAbbreviation":"VBS","IsLeadingDepartment":true,"Tags":"4|9|34","Category":null,"Modified":"\/Date(1750803885100)\/","SubmissionDate":"\/Date(1464825600000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":5004,"SubmissionLegislativePeriod":50,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Staatspolitik|Sicherheitspolitik|Medien und Kommunikation"}}