Schweiz meldet 164 Cyberangriffe auf kritische Infrastrukturen in sechs Monaten

Zum ersten Mal in der Geschichte ist das wahre Ausmass des Cyberkriegs gegen die Schweiz offengelegt worden. Das Bundesamt für Cybersicherheit (BACS) hat für nur sechs Monate eine erschreckende Zahl von 164 bestätigten Angriffen auf kritische Infrastrukturen bekannt gegeben. Diese Daten, die aus der neu eingeführten Meldepflicht hervorgehen, die im April in Kraft trat, machen jede Illusion digitaler Unverwundbarkeit zunichte. Wir müssen die Bedrohungslage nicht länger erraten, wir können sie präzise messen.

Das ist nicht einfach eine Statistik, sondern ein Weckruf. Vor April blieb das volle Ausmass dieser Angriffe im Dunkeln, verborgen durch die Geheimhaltung von Unternehmen und den Mangel an zentral erfassten Daten. Nun ist der Schleier gelüftet. Laut BACS erstrecken sich die Vorfälle über das gesamte Spektrum essenzieller Dienstleistungen, vom Stromnetz bis zur Post. Auch wenn die Behörden die Zusammenarbeit als «positiv verlaufen» bezeichnen, zeigt die schiere Zahl der Vorfälle, fast einer pro Tag, dass die Schweiz einer unerbittlichen, automatisierten und ausgeklügelten Belagerung ihrer digitalen Grenzen ausgesetzt ist.

Die legendäre Finanzstabilität der Schweiz wird so stark wie nie zuvor auf die Probe gestellt. Die Daten sind eindeutig: Der Finanzsektor ist das Hauptziel und macht ganze 19 % aller gemeldeten Angriffe aus. Im digitalen Zeitalter tragen Bankräuber keine Masken, sie schreiben Code. Die Konzentration der Angriffe auf Finanzinstitute deutet auf eine klare strategische Absicht von Cyberkriminellen hin, den wirtschaftlichen Motor des Landes zu stören.

Doch der Angriff beschränkt sich nicht auf die Banken. Auch der IT-Sektor (8,7 %) und die Energieversorger (7,6 %) haben mit einer beträchtlichen Zahl von Vorfällen zu kämpfen. Die Breite der Zielliste ist alarmierend: Sie reicht von Gesundheitssystemen und Telekommunikation bis hin zu den Lebensmittelversorgungsketten. Dabei handelt es sich um asymmetrische Kriegsführung, bei der die Angreifer jede potenzielle Schwachstelle im Schweizer Ökosystem ausloten. Der hohe Anteil der Angriffe auf den Finanzsektor deutet jedoch darauf hin, dass Profit weiterhin ein Hauptmotiv ist, oder, noch beunruhigender, dass gezielt versucht wird, das Vertrauen in eines der sichersten Bankensysteme der Welt zu untergraben.

Das gegen die Schweizer Infrastruktur eingesetzte Arsenal ist so vielfältig wie zerstörerisch. Distributed-Denial-of-Service-Angriffe (DDoS) dominieren das Geschehen und machen 18,1 % aller Vorfälle aus. Diese gewaltsamen Versuche, Systeme zu überlasten, sollen den Betrieb lahmlegen und Chaos stiften. Dicht darauf folgen Hackerangriffe mit 16,1 % und die gefürchtete Ransomware mit 12,4 %, bei der Daten als Geiseln genommen und Lösegeldzahlungen in Kryptowährungen gefordert werden.

Noch besorgniserregender ist der Bericht des BACS über «kombinierte Phänomene», also ausgeklügelte, mehrschichtige Angriffe, bei denen gestohlene Zugangsdaten (11,4 %) und Schadsoftware (9,3 %) gemeinsam eingesetzt werden, um Schutzmassnahmen zu überwinden. Das zeigt, dass die Angreifer keine blossen Skriptkiddies, sondern organisierte Syndikate sind, die komplexe Taktiken anwenden. Die durch diese Angriffe verursachten Datenlecks (9,8 %) stellen ein langfristiges Sicherheitsrisiko dar, das weit über den ursprünglichen Angriffspunkt hinausgeht. Mit der Analyse dieser Angriffsvektoren will das BACS künftige Bedrohungen vorhersagen. Die Statistiken zeigen jedoch einen dynamischen, lernfähigen Gegner, der seine Methoden ständig ändert, um die Schweizer Abwehr zu umgehen.

Die Schonfrist ist offiziell vorbei. Seit Oktober wappnet sich die Schweizer Regierung mit scharfen Massnahmen, um Transparenz sicherzustellen. Nach dem Informationssicherheitsgesetz hat die Nichtmeldung eines Cyberangriffs innerhalb der entscheidenden Frist von 24 Stunden nun schwerwiegende Folgen. Unternehmen, die versuchen, Sicherheitsverletzungen unter den Teppich zu kehren, drohen Bussen von bis zu CHF 100'000 (125'000 US-Dollar).

Diese Strafmassnahme markiert einen entscheidenden Wandel in der nationalen Sicherheitspolitik. Das BACS bittet nicht länger nur um Zusammenarbeit, es fordert sie ein. Die Behörde hält fest, dass sie zunächst Kontakt zu Stellen aufnehmen wird, bei denen der Verdacht besteht, dass sie ihrer Meldepflicht nicht nachgekommen sind. Wiederholtes Schweigen führt jedoch zu einer Strafverfolgung. Diese strikte Durchsetzung ist unerlässlich. In der vernetzten Welt kritischer Infrastrukturen kann eine nicht gemeldete Schwachstelle eine nationale Krise auslösen. Die Botschaft aus Bern ist unmissverständlich: Im Kampf um die Cyber-Souveränität ist Schweigen nicht nur gefährlich, sondern nun auch illegal.