Wer in Singapur auf dem Markt ein Hühnchen kauft, erwartet nicht, dass es am nächsten Tag fliegen kann. Wer in der Schweiz seine Daten einem IT-Dienstleister anvertraut, erwartet hingegen absolute Sicherheit. Doch der Ransomware-Angriff auf die Xplain AG im Mai 2023 hat dieses Vertrauen nachhaltig erschüttert. Es war kein kleiner Vorfall in einem Hinterhof, sondern ein tiefer Schnitt in die IT-Architektur der Bundesverwaltung. Plötzlich standen sensible Daten von Armeeangehörigen und der Polizei im Darknet zum Verkauf. Da hilft auch das schönste Schweizer Taschenmesser nicht weiter, wenn die digitale Infrastruktur offen wie ein Scheunentor ist.
Die Arroganz der kleinen Distanzen
Unternehmer wie Andreas Löwinger, der CEO der Xplain AG, mussten schmerzlich lernen, dass Vertrauen in der digitalen Welt keine Währung ist. Die Annahme, man sei als Schweizer KMU unter dem Radar der internationalen Cyber-Kriminellen, grenzt an fahrlässige Naivität. In den Strassen von Buenos Aires schliesst man das Fenster, weil man weiss, dass der Wind den Staub bringt. In den Büros von Interlaken jedoch glaubte man lange Zeit, die Berge seien eine natürliche Firewall. Diese geografische Romantik ist in der Ära von Ransomware-as-a-Service, wie sie auch bei Organisationen wie Play beobachtet wird, schlichtweg tödlich für die Geschäftskontinuität.
Sicherheit ist kein Produkt, das man einmal kauft und dann in den Schrank stellt, sondern eine tägliche Disziplin, die bei jedem Passwort-Wechsel beginnt.
— Quelle: Beni Moser, Gründerzeit
Funktioniert das auch an einem Schweizer Dienstagmorgen? Wohl kaum. Die Antwort auf die Frage, ob man bei der IT-Hygiene so gründlich ist wie beim Trennen des Altpapiers, fällt in vielen Schweizer Chefetagen ernüchternd aus. Laut dem Nationalen Zentrum für Cybersicherheit (NCSC) haben sich die Meldungen über Cyber-Vorfälle in den letzten Jahren vervielfacht. Wer hier spart, investiert direkt in seinen eigenen Untergang.
Wenn die Behörden im Blindflug unterwegs sind
Die Zusammenarbeit zwischen privaten Anbietern und dem Bund gleicht oft einer Ehe, bei der man nur über das Wetter spricht, aber nie über die Schulden. Die Abhängigkeit der Bundesverwaltung von Firmen wie der Xplain AG zeigt, dass der Staat nicht mehr in der Lage ist, seine eigene Sicherheit zu garantieren. Markus Mäder, der Staatssekretär für Sicherheitspolitik, steht vor einem Scherbenhaufen, bei dem es nicht um verlorene Dokumente geht, sondern um das Vertrauen der Bürger in die digitale Souveränität. Wenn private Unternehmen kritische Infrastruktur verwalten, muss die Sicherheitskultur dieser Firmen den Standards der Armee entsprechen. Alles andere ist grobfahrlässig.
Man kann sich nicht als Hort der Stabilität inszenieren, wenn man die digitalen Hintertüren für jeden drittklassigen Erpresser offen lässt.
— Quelle: Beni Moser, Gründerzeit
Die Zeit der Ausreden ist vorbei. Ein Cyber-Sicherheits-Audit darf kein lästiges Übel sein, das man dem Praktikanten überlässt. Es ist die Lebensversicherung des Unternehmens. Wer heute noch auf unverschlüsselte Backups oder veraltete Firewalls setzt, handelt genauso verantwortungslos wie ein Bergführer, der seine Seile im Baumarkt um die Ecke kauft. Die Xplain-Story lehrt uns, dass Transparenz in der Krise der einzige Weg ist, um den Reputationsschaden zu begrenzen. Vertuschen bringt in einer vernetzten Welt nur noch mehr Aufmerksamkeit von jenen, die man am wenigsten auf seinem Server haben möchte.
