Es ist ein Debakel, das selbst den hartgesottensten Bünzli schlucken lässt. Wenn das Unternehmen Xplain aus Interlaken, geführt von Andreas Löwinger, Daten von Armee und Polizei im Darknet landen lässt, ist das nicht bloss ein technisches Malheur. Es ist eine Bankrotterklärung der Schweizer Sicherheitskultur. Man stelle sich vor, ein Banktresor in der Bahnhofstrasse würde mit einem billigen Vorhängeschloss aus dem Baumarkt gesichert. Genau das passierte hier, als vertrauliche Informationen in die Hände der Ransomware-Gruppe Play fielen.
Wenn Digitalisierung zur Gefahr wird
Das Beispiel Xplain zeigt, dass viele Schweizer Unternehmen beim Thema Cybersicherheit noch immer in der Phase des naiven Optimismus stecken. Während in Singapur oder Israel digitale Infrastrukturen als hochsensible militärische Zone behandelt werden, herrscht hierzulande oft die Haltung vor, dass es schon nicht so schlimm kommen wird. Wenn Firmen wie Xplain IT-Dienstleistungen für kritische staatliche Stellen wie das Bundesamt für Polizei erbringen, müssen die Sicherheitsstandards über der Norm liegen, nicht darunter. Die Realität sah laut Berichten des Nationalen Zentrums für Cybersicherheit leider ganz anders aus.
Sicherheit in der Cloud ist kein Produkt, das man kauft, sondern eine Haltung, die man täglich pflegen muss, auch wenn der Wecker früh klingelt.
— Quelle: Beni Moser, Gründerzeit
Funktioniert dieses Modell auch an einem Schweizer Dienstagmorgen, wenn der erste Kaffee noch nicht wirkt und die Systeme unter Hochlast laufen? Wohl kaum. Die Verantwortlichen bei Xplain haben sich auf technologische Lösungen verlassen, statt auf eine resiliente Architektur zu setzen. Die Offenlegung von Dokumenten, die das fedpol betrafen, beweist, dass Vertraulichkeit bei vielen Schweizer KMUs nur auf dem Papier existiert. Es ist bezeichnend, dass die betroffenen Ämter erst durch externe Beobachter auf das Ausmass des Datenabflusses aufmerksam wurden.
Die Schweizer Gemütlichkeit hat ein Preisschild
Unternehmer wie Andreas Löwinger tragen eine immense Verantwortung, der sie in diesem Fall nicht gerecht wurden. Es reicht nicht, eine Schnittstelle zu programmieren und diese dann dem Schicksal zu überlassen. Cybersicherheit ist in der heutigen Welt so grundlegend wie das Fundament eines Chalets. Wer an der Sicherheit spart, um die Marge um ein paar Prozentpunkte zu drücken, handelt grob fahrlässig. Das lässt sich auch an den Analysen von Experten wie dem Sicherheitsspezialisten Marc Ruef ablesen, der die Sicherheitslücken in Schweizer IT-Landschaften immer wieder scharf kritisiert.
Ein digitaler Sicherheitsvorfall ist für ein Schweizer Unternehmen keine höhere Gewalt, sondern das direkte Resultat einer durchgeführten Nachlässigkeit im Management.
— Quelle: Ruben J. Goldstein, Gründerzeit
Wer in der Schweiz ein digitales Geschäft betreibt, muss endlich begreifen, dass das Internet kein rechtsfreier Raum ist, in dem man mit Bündnerfleisch-Mentalität durchkommt. Wenn man Daten von Bürgern oder Staatsorganen speichert, ist man kein normaler Dienstleister, sondern ein Treuhänder. Wer dieses Treuhandverhältnis durch mangelhafte Verschlüsselung oder fehlende Zugriffskontrollen verletzt, gefährdet das Vertrauen in den gesamten Wirtschaftsstandort Schweiz. Das ist kein Kavaliersdelikt, sondern ein Angriff auf das Fundament der Eidgenossenschaft.
Die Lehre aus der Causa Xplain ist ernüchternd, aber klar. Ohne ein radikales Umdenken beim Sicherheitsmanagement wird der nächste Vorfall nicht lange auf sich warten lassen. Unternehmen müssen aufhören, Cybersicherheit als lästigen Kostenpunkt zu betrachten. Es ist die Lebensversicherung im digitalen Zeitalter. Wer das nicht versteht, sollte besser wieder Briefe schreiben und die Server ausschalten.
