Was sich 2021 als Trend abzeichnete, wurde 2022 zur Gewissheit: Immer öfter nehmen Cyberkriminelle Gemeinden, Behörden, BORS, Grundversorger sowie Institutionen des Gesundheits- und Bildungswesens ins Visier. Das Nationale Zentrum für Cybersicherheit NCSC und der Schweizerische Gemeindeverband SGV bieten nun verstärkt Schützenhilfe an.

Yverdon-les-Bains traf es kurz nach dem Jahresstart 2022. Bülach war im Juli 2022 an der Reihe. Messen erwischte es im November 2022. Auch in den Monaten davor, dazwischen und danach gab es unzählige weitere Cyberattacken auf Gemeinden, auf deren IT-Dienstleister sowie auf Behörden und Institutionen – auch aus der BORS-Welt. Beispiels­weise wurde im April 2022 der Instagram-Kanal von Schutz & Rettung Zürich gehackt.

2021 gab es den ersten Cyber-Katastrophenfall

Man fragt sich: «Was soll das?» – und sollte sich, auch wenn der Vorfall für SRZ zwar ärgerlich war, letztlich aber keine wirklich schlimmen Folgen hatte, bewusst sein, dass ­Cyberattacken auf öffentliche Institutionen grundsätzlich das Potenzial für einen Katastrophenfall haben.

Das belegt ein Vorfall von Anfang Juli 2021 in Deutschland: Nach einer Ransomware-Attacke auf die Landkreisver­waltung Anhalt-Bitterfeld in Sachsen-Anhalt musste – erstmals aufgrund eines Cyberangriffs – der Katastrophenfall ausgerufen werden. Denn infolge der Attacke waren ­bürgernahe Dienstleistungen wie die Auszahlung von ­Arbeitslosen-, Eltern- und Sozialgeld nicht mehr möglich. Das freilich barg enormes Konfliktpotenzial, denn schon die österreichische 80er-Jahre-Band «Erste Allgemeine Verun­sicherung» wusste: «Es wird das Proletariat ohne Kohle rabiat!»

Neben dem Finanzsektor waren auch andere Dienstleis­tungen, beispielsweise Fahrzeugzulassungen, in Anhalt-Bitterfeld während 207 Tagen nicht oder nur eingeschränkt ­möglich.

Umweltdaten von Deutschlands «Chemie-Tschernobyl» sind weg

Erst im Sommer 2022, ein Jahr nach der Attacke, zeigte sich noch weitaus Schlimmeres: Der Landkreis verlor dauerhaft den Zugriff auf eine der grössten Umweltdatenbanken Deutschlands. In dieser waren auch die Daten von Boden-, Sediment- und Grundwasseranalysen von Tausenden Altlastenverdachtsflächen im ehemaligen DDR-Chemie­komplex Bitterfeld gespeichert. Nun müssen die unter ­anderem für die Erteilung von Baugenehmigungen eminent wichtigen Daten anhand alter Papierakten und elektro­nischer Daten neu erfasst werden, was enorm viel Geld und noch mehr Zeit kostet.

Cybersicherheit geht nicht nur Unternehmen etwas an

Dieser Vorfall macht deutlich: Nicht nur für Unternehmen, sondern auch für Gemeinden und Verwaltungseinheiten ­aller Ebenen sind effiziente Cybersicherheitsmassnahmen ­lebenswichtig. Allerdings mangelt es vielerorts an Fach­wissen und/oder Ressourcen.

Daher ist es gut zu wissen, dass das Nationale Zentrum für Cybersicherheit NCSC den Gemeinden heute nicht mehr nur den Beizug externer Dienstleister empfiehlt, sondern ­verstärkt selbst aktiv wird – gemeinsam mit dem Schweizerischen Gemeindeverband SGV.

NCSC und SGV leisten Schützenhilfe

Konkret zielen die beiden Institutionen darauf, dass Gemeinden und Institutionen nicht nur über mögliche technische, sondern auch über organisatorische Schutzmassnahmen Bescheid wissen. Wie wichtig gerade Letzteres ist, zeigt eine im Mai 2022 veröffentlichte Studie von der Hochschule ­Luzern, der Mobiliar und Economiesuisse. Laut dieser ­werden Cyberrisiken «noch immer viel zu oft als reines IT-Problem behandelt». Die zentrale Rolle des Menschen indes wird massiv unterschätzt.

Entsprechend sind Sensibilisierung und Schulung der ­eigenen Reihen, die Bewusstseinsförderung gegenüber ­Cyberrisiken, die Kenntnis möglicher Angriffsmethoden und -vektoren sowie fundiertes Wissen um korrektes Verhalten im Fall eines Angriffs die wirkungsvollsten Tools der Cybersicherheit – auch in Behörden und Institutionen.

Informationen, Tipps – und bald auch E-Learning

Der SGV stellt deshalb auf seiner Website www.chgemeinden.ch zahlreiche Informationen, Links und Tipps für mehr Cybersicherheit zur Verfügung. Diese sollen das Personal der Gemeinden und Institutionen befähigen, sich und ihre Organisation bestmöglich gegen Cyberattacken zu wappnen. Zusätzlich führt der SGV gemeinsam mit dem NCSC und dem Sicherheitsverbund Schweiz (SVS) Sensibilisierungsanlässe für Gemeinden durch – zuletzt im Januar 2023 in Zurzach AG sowie in Rolle VD. Die Termine künftiger Events werden jeweils frühzeitig auf der Website des SGV publiziert.

Auch das NCSC publiziert auf seiner Website www.ncsc.admin.ch konkrete Informationen und Tipps für Behörden. Diese sollen im Verlauf des Jahres 2023 durch eine E-Learning-Plattform zu Cyber- und Informationssicherheit für Städte und Gemeinden ergänzt werden. Das Lernangebot der Plattform umfasst die Module «Informationssicherheit» und «Cybersicherheit» für die Grundausbildung der Beschäftigten. Überdies stellt das NCSC seit Anfang 2023 auf seiner Website die Inhalte und Tools der mit dem SGV und SVS durchgeführten Sensibilisierungsanlässe für Gemeinden zur Verfügung.