Tipping point?

Dies sind die dV-News 12-2023 und eine Auswahl an ausgewählten Artikeln und Links.

Wendepunkt, Scheideweg, kritische Schwelle, Knackpunkt, Zäsur…

Nach der jüngsten Welle von Cyberangriffen auf die Schweiz (und es ist sicherlich noch nicht zu Ende), Medvedevs Drohungen, als Vergeltung für die Nord Stream-Sabotage Unterseekabel anzugreifen, den zahlreichen Engpässen in der Versorgungskette, angefangen bei der Stromversorgung im nächsten Winter, und den immer unerträglicheren Konsequenzen der Cyberkriminalität ist das Gesamtbild des digitalen Raums, gelinde gesagt, beunruhigend.

Es gibt viele Situationen, die kritisch werden und in Kombination miteinander einfacheskalieren könnten. Wenn man bedenkt, wie viele dunkle digitale Wolken über der Gesellschaft schweben, ist es schwer, optimistisch zu sein. Dennoch verhalten sich die meisten Menschen und Organisationen so, als ob sie diese Lage nicht sehen würden. Das ist seltsam, wenn man bedenkt, wie hoch die durchschnittlichen Kosten eines Cybervorfalls sind und ihre sichtbaren und unsichtbaren Konsequenzen. Und wie hoch werden die Gesamtkosten des Cyberangriffs auf Xplain tatsächlich sein?

Dieser Fall zeigt wieder einmal eine unumgängliche Realität in der Cybersicherheit auf: Antizipation ist alles, aber ohne genaue Kartografie der Gegenwart und der Vergangenheit mit ihren Verwundbarkeiten und Altlasten kann keine glaubwürdige und nachhaltige Risikoanalyse und Strategie entwickelt werden. Der Misserfolg ist dann nicht nur vorprogrammiert, sondern im Falle eines Zwischenfalls erwartet die Verantwortlichen ein Albtraum, da sie nicht wissen, wo sie anfangen sollen. Und das ist die Realität; glaub uns!

Natürlich hat das digitale Ökosystem der Schweiz viele Stärken, aber es wird immer wichtiger und dringender, dass wir auf die Gefahr eines Tipping Point eingehen, der durch das Zusammentreffen all dieser Herausforderungen entstehen könnte.  Wie will die Gesellschaft, und unser Land im Besonderen, auf diese Lage antworten? In diesem Beitrag haben wir nur einige wenige genannt, aber die Liste ist lang und die derzeitige abwartende Haltung, der fehlende kollektive Wille, diese Probleme wirklich anzugehen, erscheint uns besonders unverantwortlich. Wir sitzen auf einer tickenden Zeitbombe, über die wir im Übrigen nur sehr unvollkommen Bescheid wissen, einer Art «digitalem San Andreas Graben», aber wir tun weiterhin so, als ob das keine Rolle spielt. Eigentlich fehlt ein grundlegendes Nachdenken über die digitalisierte Gesellschaft. Wollen wir es korrigieren bevor wir den Punkt des Zusammenbruchs erreichen? Was wir derzeit, tun heisst eine digitale Flucht nach vorn.

Kleines Cyberdigest

Die Themen, die uns in den vergangenen zwei Wochen besonders beschäftigten.

• XPLAIN – Viele Details des Cyberangriffs auf die Firma aus Interlaken sind nun bekannt. Und je tiefer man gräbt, desto schlimmer scheint die Situation zu werden, da nun sensible Daten über Gerichtsfälle und Personen, darunter auch unsere Bundesräte, bekannt werden. Das ist nicht schön und erfordert nun einen politisch-strategischen Krisenstab «Datenabfluss». Hoffentlich wird dieses Debakel der Schweiz einen ähnlichen Schock versetzen, wie Estland 2007, das seitdem Cyberklassenbester geworden ist. Und seien wir ehrlich: Ein bisschen Cyberkosmetik wird dieses Mal nicht ausreichen. Es ist ein nationales Projekt, das auf allen Ebenen in Angriff genommen werden muss. Es ist vorbei mit dem Glauben, noch verschont zu sein und zu kichern, wenn andere getroffen werden. Die Schweiz muss mindestens einen Gang höher schalten.
• Grundrechte – Am 19. Juni hat der Kanton Genf mit 94% Zustimmung ein Recht auf digitale Integrität in seiner Verfassung verankert. Ein historischer Schritt, der hoffentlich bald auch in der Bundesverfassung seine Spiegelung finden wird.
• Elektronisches Patientendossier (EPD) – Im Prinzip ist es natürlich lobenswert, dass der Bundesrat Druck ausübt. Es gibt aber noch viele unbeantwortete Fragen in diesem Sektor, der durch eine Vielzahl von Akteuren und 26 Kanonen «atomisiert». Die kürzlich bekannt gewordenen Fälle zeigen, dass die Cybersicherheit im Gesundheitssektor tief ist, obwohl er ein bevorzugtes Ziel von Kriminellen ist, die das Leid ihrer Opfer nicht berührt. Die besten Standards zu fordern und sie gesetzlich zu verankern ist natürlich ein Muss (what else?), aber es ist keine Garantie. Und was ist mit der Synchronisation mit der e-ID? Wer wird (im Detail und nicht nur «Gesundheitsprofis» und «für Forschungs-zwecke») und wie Zugang zu diesen Daten haben? Und werden sie zentralisiert? Denn im Falle eines Grossangriffs droht dem gesamten Gesundheitssektor ein systemischer Ausfall…

BOOKS & REPORTS

Hier sind die Bücher und Publikation von Interesse, die wir bei unseren Recherchen in den letzten zwei Wochen gefunden haben.

In Kürze

▶︎ China ist als Hauptquelle für APT-Angriffe (Advanced Persistant Threats) bestätigt. Im ersten Quartal 2023 soll sie für 79% der Angriffe aus staatlichen Quellen verantwortlich sein. Der Bericht von Trellix Advanced Research vom Juni zeigt eine Zunahme von Angriffen auf den Finanz-, Telekommunikations- und Energiesektor.

▶︎ Das U.S. Government Accountability Office GAO stellt fest, dass die Digitalisierung alle Prozesse und Vorgänge bei der Herstellung und industriellen Kontrolle von Atomwaffen durchdringt, dass die National Nuclear Security Administration NNSA und ihre Lieferanten jedoch auch nach mehreren Jahren noch in einem frühen Stadium der notwendigen Anstrengungen sind. Dies ist eine interessante Perspektive für ein Land, das traditionell von allen Seiten angegriffen wird und 5’500 Atomwaffen besitzt…

Die desaströsen Angriffe auf die Colonial Pipeline und SolarWinds relativieren (ein wenig) einige der heftigen Angriffe auf die Cybersicherheit in der Schweiz.

Wir wünschen Ihnen viele lehrreiche Entdeckungen in den ausgewählten Artikeln und Links und freuen uns darauf, Sie bald wiederzusehen.