Guy Parmelin – Wie sicher ist die Schweiz wirklich?

Die Schweiz gehört zu den sichersten Ländern weltweit. Doch die Lage hat sich verschlechtert. Welchen potenziellen Bedrohungen das Land ausgesetzt ist und wie es sich davor schützt, verrät Bundesrat Guy Parmelin im Interview.

Herr Bundesrat, der Sicherheitsbericht der Militärakademie der ETH Zürich hat gezeigt, dass 95 Prozent aller befragten Schweizerinnen und Schweizer sich sicher fühlen. Gehören Sie auch zu dieser Mehrheit?

Ja, ich glaube hierzulande kann man sich immer noch sicher fühlen. Wir haben das Privileg, in einem stabilen, gut funktionierenden Land zu leben. Das darf aber nicht als naturgegeben angesehen werden. Ein einzelner Terroranschlag oder ein verheerender Cyberangriff könnte sofort grosse Unsicherheit auslösen. Die internationale Lage macht mir Sorgen. Sicherheit ist ein kostbares Gut, dem es Sorge zu tragen gilt. Das heisst, wir müssen aufmerksam sein, unsere Sicherheitsinstrumente richtig ausrichten und bereit sein, in sie zu investieren.

Die internationale Lage macht mir Sorgen. Guy Parmelin

Hat sich die Bedrohungslage aus Schweizer Sicht angesichts der zahlreichen Krisenherde in Europa und im arabischen Raum verändert?

Ja, die Bedrohungslage hat sich in den vergangenen Jahren insgesamt verschlechtert. Die Lage ist unübersichtlicher und unberechenbarer geworden. Zu Problemen wie Bürgerkriegen, Staatszerfall, Terrorismus und Cyberangriffen ist nun auch noch eine starke Verschlechterung zwischenstaatlicher Verhältnisse gekommen. Ich denke dabei an die Beziehung zwischen Russland und westlichen Staaten oder die grossen Spannungen im Nahen und Mittleren Osten sowie in Asien. Neue Methoden der Unterwanderung von Staaten und Gesellschaften sind hinzugekommen. Man darf nicht unterschätzen, dass nicht weit weg von Europa bewaffnete Konflikte stattfinden. Prioritär bleiben aber die Terrorbedrohung und die täglich ablaufenden Cyberangriffe. Wir sind zwar nicht in die Nahostkonflikte involviert, können aber dennoch ein Ziel für Terroristen sein. In Genf zum Beispiel haben internationale Organisationen ebenso wie Vertretungen von Ländern, die gegen den IS kämpfen, ihren Sitz.

Innerhalb von Europa können sich die Menschen relativ frei bewegen. Damit ist es für potenzielle Angreifer ein Leichtes, unbemerkt in die Schweiz zu gelangen. Ist eine systematische Kontrolle aller eintreffenden Asylsuchenden überhaupt möglich?

Die Schweiz registriert alle Personen, die ein Asylgesuch stellen, und überprüft diese bei Verdacht auf mögliche Sicherheitsrisiken. Dennoch können wir nicht vollständig verhindern, dass Personen illegal einreisen oder während des Asylprozesses abtauchen. Es wäre jedoch nicht richtig, nur auf Asylsuchende zu fokussieren, wenn es um potenzielle Terroristen geht. Es kommt zwar vor, dass Terroristen die Asylschiene missbrauchen, um nach Europa zu gelangen, aber das sind bisher Einzelfälle. Ein grösseres Problem ist der sogenannte «Homegrown-Terrorismus», sprich Personen, die in der Schweiz geboren wurden und sich hier radikalisiert haben, oder Leute, die in den Krieg zogen, um für den IS zu kämpfen, und jetzt zurückkommen.

Die nationale Cyberstrategie, die der Bund im Sommer verabschiedet hat, zielt unter anderem drauf ab, die Schweiz noch verstärkter zu sensibilisieren. Guy Parmelin

Die Verteidigung des Landes ist der Kernauftrag der Schweizer Armee. Dazu gehört neben der Abwehr von militärischen und terroristischen Angreifern auch das Verhindern von Cyberattacken. Welche der Bedrohungen ist aktuell am präsentesten für die Schweiz?

Die grösste Bedrohung geht für mich vom dschihadistischen Terrorismus aus, vor allem auch, weil hier das Risiko mit dem möglichen Einsatz von Massenvernichtungsmitteln steigt. Terrorismus ist aber dicht gefolgt von Bedrohungen im Cyber-Raum, die natürlich auch terroristischer Natur sein können. Es ist kein Zufall, dass es diese beiden Themen sind, die aktuell in politischen Diskussionen im Fokus stehen und dass vor allem hier im Moment viel zur Verbesserung der Schutz- und Abwehrmöglichkeiten getan wird. Das heisst aber nicht, dass wir andere Bedrohungen einfach ausblenden und vergessen können. Wir müssen immer das ganze Bedrohungsspektrum im Auge behalten.

In diesem Sommer hat der neue Cyber-Lehrgang der Armee gestartet. Gibt es bereits erste Erkenntnisse?

Ich persönlich verfolge dieses Pilotprojekt mit grossem Interesse und habe bisher nur positives Feedback erhalten. Wir erhoffen uns, von den Stärken der Milizarmee zu profitieren, indem wir ziviles Know-how in die Armee einbringen und unsere professionellen Einheiten substanziell verstärken können. Gleichzeitig profitiert die Wirtschaft von den wertvollen Erfahrungen der Absolventen, wenn diese zurück in ihre Betriebe gehen. Denn nach Abschluss des Lehrgangs kann die Berufsprüfung zum «Cyber Security Specialist» mit eidgenössischem Fachausweis abgelegt werden.

Wer eignet sich für den Lehrgang?

Eine hohe IT-Affinität und gute Englischkenntnisse sind Voraussetzung, ein bereits vorhandener Abschluss in diesem Bereich ist aber nicht zwingend. 120 Rekruten haben Interesse gezeigt. Nach intensiven Dossieranalysen und einem umfangreichen Assessment konnte der Lehrgang mit 18 top qualifizierten, motivierten Rekruten starten.

Wie häufig ist die Schweiz von Cyberangriffen betroffen?

Die Anzahl Cyberangriffe auf Unternehmen, Privatpersonen und die Bundesverwaltung ist gestiegen. Meist handelt es sich dabei um Cyberkriminalität, bei der es um Geld geht. Daneben gibt es aber Fälle von Cyberspionage und -sabotage, die sowohl von Einzelpersonen als auch Organisationen oder gar Staaten ausgehen können. Cyberangriffe sind schon länger ein Thema. Dass sie ein solches Ausmass annehmen würden – in Sachen Grösse, Häufigkeit und Varianten – hätte man vor ein paar Jahren aber noch nicht gedacht. Ich habe vor Kurzem im Gespräch mit Marianne Janik von Microsoft Schweiz erfahren, dass weltweit täglich mehr als sechs Milliarden Angriffe registriert werden. Die nationale Cyberstrategie, die der Bund im Sommer verabschiedet hat, zielt unter anderem drauf ab, die Schweiz noch verstärkter zu sensibilisieren. Denn eines ist klar: Jeder trägt Verantwortung. Sie, ich, kleine und grosse Unternehmen – alle müssen sich bewusst sein, dass jeder ein potenzielles Ziel sein könnte.

Die Anzahl Cyberangriffe auf Unternehmen, Privatpersonen und die Bundesverwaltung ist gestiegen. Guy Parmelin

Welche Kriterien müssen erfüllt sein, damit die Bevölkerung überhaupt über einen Angriff informiert wird?

Es gibt regelmässig öffentliche Mitteilungen über Cyberangriffe in der Schweiz, z.B. die halbjährlichen Berichte von der Melde- und Analysestelle Informationssicherung (MELANI), die über Tendenzen und neue Angriffsarten informieren. Wenn es sich um grössere Angriffe handelt, veröffentlicht sie bei Bedarf umgehend und gezielt Informationen und Verhaltenstipps. Es gibt hier aber keine fixen Regeln. Die Schwere eines Falles und der Bedarf nach öffentlicher Kommunikation werden individuell beurteilt.

Wer hat ein Interesse daran, die Schweiz anzugreifen?

Bei den meisten Angriffen auf die Schweiz als Staat geht es um Spionage. Das heisst, jemand – in der Regel ein anderer Staat – will sich Informationen beschaffen, von denen er sich einen Nutzen für seine eigenen Interessen verspricht. Die Angriffe, die wir in den letzten Jahren in der Bundesverwaltung entdeckt haben, waren Spionageangriffe. Bei Attacken auf Firmen geht es tendenziell um andere kriminelle Absichten – meist um finanzielle Interessen. Dies kann ein konkurrierendes Unternehmen sein, das Schaden anrichten möchte, um Mitbewerber auszuschalten oder durch Datendiebstahl an Forschungsergebnisse und Entwicklungsgeheimnisse zu kommen. Wir beobachten mit Sorge, dass sich Angriffe mit dem Ziel der Schädigung wie Sabotage häufen.

Was wäre für die Schweiz bei einem grossflächigen Cyberangriff das Worst-Case-Szenario?

Ein mögliches Szenario wäre ein grossangelegter Cyberangriff, der zu einem Ausfall kritischer Infrastrukturen führen würde. Die Auswirkungen für Land und Bevölkerung wären gravierend. Ein solcher Fall könnte z.B. dann eintreten, wenn zentrale Verkehrssteuerungsanlagen oder die medizinische Versorgung grossflächig und nachhaltig beeinträchtigt oder manipuliert werden würden. Schwerwiegend wären zudem grosse Angriffe auf die Energieversorgung, die dazu führen könnten, dass es zu länger dauernden «Blackouts» und zur Störung oder zum Ausfall ganzer Versorgungsketten käme.

Mit der Anbindung von immer mehr Geräten und Prozessen ans Internet steigt die Anzahl potenzieller Schwachstellen und damit die Möglichkeit, alles gleichzeitig lahmzulegen. Schneiden wir uns mit der fortschreitenden Digitalisierung ins eigene Fleisch?

Grundsätzlich bringen die Digitalisierung und Vernetzung viele Vorteile. Es ist aber klar, dass damit ebenso die Verwundbarkeit zunimmt. Selbst wenn die Grossen der Branche uns versprechen, dass Datensicherheit bei ihnen oberste Priorität hat, kommen stets Probleme ans Licht, mit denen sie zu kämpfen haben. Die Berücksichtigung der Risiken ist deshalb wichtig, um diese zu mindern und geeignete Massnahmen treffen zu können. Ganz beseitigen lassen sie sich jedoch nie. Wichtig ist die Selbstverantwortung aller Akteure, um für einen angemessenen Schutz zu sorgen. In einigen Jahren sind möglicherweise alle Kühlschränke ans Internet angeschlossen. Das mag für den Einkauf nützlich sein, doch wenn ein Angreifer es schafft, alle Kühlschränke gleichzeitig abzuschalten, haben wir ein Problem.

Wichtig ist die Selbstverantwortung aller Akteure, um für einen angemessenen Schutz zu sorgen. Guy Parmelin

Aktuell führen acht Kantone Versuche mit E-Voting durch. Ein gezielter Angriff könnte Abstimmungen und Wahlen manipulieren. Wie räumt der Bundesrat die Sicherheitsbedenken diesbezüglich aus?

Auch hier geht es um eine Abwägungsfrage. Gewichtet man die potenziellen Vorteile von E-Voting höher als die Risiken, die es zweifellos gibt? Würde sich einmal herausstellen, dass Manipulation betrieben wurde, wäre das Vertrauen zerstört. Hundertprozentige Sicherheit werden wir nie haben. Ich glaube aber, dass es möglich sein sollte, Lösungen zu finden, die ausreichend sicher und zuverlässig sind. Wenn sich mit E-Voting die demokratische Partizipation erhöhen lässt und man den Risiken die nötige Beachtung schenkt, wäre das grundsätzlich etwas Positives.

Eine der bisher grössten Cyberattacken sorgte im Mai vergangenen Jahres weltweit für Aufsehen. 99 Länder waren betroffen, Krankenhäuser und unzählige bekannte Betriebe wie FedEx und auch die Deutsche Bahn wurden Opfer. Nur durch Zufall konnte ein Mitarbeiter einer IT-Sicherheitsfirma die Attacke stoppen. Was hat sich in der Schweiz seit diesem Angriff verändert?

Es hat bestimmt dazu beigetragen, dass das Thema noch präsenter und die Leute noch sensibilisierter sind – in der Wirtschaft, in der Verwaltung und im Privaten. Der Angriff hat aber nichts Grundlegendes verändert. Die Bedrohung – und das Risiko solcher Angriffe – war vorher bekannt. Sie muss für uns alle ein Ansporn sein, die Bemühungen für einen besseren Schutz voranzutreiben, und unseren Umgang mit Cyber-Risiken zu schulen. Wir analysieren jeden bekannten Angriff. Handelt es sich um ein altbekanntes Problem oder ist eine neue Lücke aufgetaucht? In Grossbritannien hat sich herausgestellt, dass auf vielen Apparaten länger keine Updates mehr gemacht worden waren. Diesem Problem begegnen wir mit regelmässiger Überprüfung neuer Updates und der flächendeckenden Installation dieser.

Was empfehlen Sie Firmen und Privatpersonen, um sich besser vor Cyberattacken zu schützen?

Ich masse es mir als Chef VBS nicht an, Firmen Ratschläge zu erteilen. Aber ich denke, der Schutz beginnt bei der einzelnen Person. Der Mensch ist immer noch die grösste Schwachstelle und noch gibt es Firmen, die bei der Informatiksicherheit sparen. Jeder sollte sich regelmässig über aktuelle Cyber-Risiken informieren, Mitarbeitende ausbilden und sensibilisieren. Hier empfehle ich, die Informationen und Angebote von MELANI zu nutzen. Ich habe den Eindruck, dass das Risiko noch immer unterschätzt wird, wenn ich z.B. am leichtfertigen Umgang mit den sozialen Medien denke. Das ist überraschend, wenn wir uns die Omnipräsenz des Themas und das Ausmass der Risiken und Schäden ansehen. Es genügt schon, wenn ein einzelner Mitarbeiter sein aufgrund mangelnder Sorgfältigkeit bereits mit Viren infiziertes Smartphone direkt an einem Laptop auflädt und so die Viren auf das Firmennetzwerk überträgt.

Interview mit Guy Parmelin: Miriam Dibsdale