Auf einen Blick
Informationen und Dokumentationen der Armee zu ihren geheimen Schutzobjekten sind immer wieder Ziele von Hackerattacken. Je mehr Angreifer über kritische militärische und zivile Infrastrukturen erfahren oder andere Daten ergattern, desto anfälliger werden die Anlagen. Um zu prüfen, wie sicher die IT des Verteidigungsdepartements (VBS) die Schutzobjekte dokumentiert, nahm eine interne Revision die Sicherheitsprozesse unter die Lupe. Der kürzlich publizierte Bericht dazu offenbart einige Schwächen:
So gebe es etwa keine klaren Regeln für die Umsetzung von Sicherheitsmassnahmen; vor allem das Cyberkommando und der Armeestab seien gefordert, dafür zu sorgen, dass Vorfälle zeitnah dokumentiert würden.
Derzeit seien dafür «zeitintensive manuelle Arbeitsschritte erforderlich», schreibt die interne Revision in ihrem Bericht. Die Einführung einer neuen IT-Anwendung sei aber «frühestens per 2025 möglich». Heutzutage seien die Informationen zu den Schutzobjekten in einzelnen Sicherheitsdokumenten abgelegt. «Auch die Datenqualität entspricht noch nicht den Anforderungen an ein effizientes Register», stellen die Revisoren fest.
Verzögerte Reaktion
Diese komplizierte, mit vielen Schnittstellen verbundene Lösung erschwert ein schnelles Erkennen und eine prompte Reaktion auf Angriffe. Armeesprecher Mathias Volken hält fest, weil die Bedrohungslage stets ändere, müssten auch die Abwehr und die Massnahmen regelmässig angepasst werden. Der Umgang mit Sicherheitsvorfällen werde deshalb über die gesamte Armee in Kooperation mit den anderen Bundesämtern «regelmässig auf den neusten Stand gebracht», betont Volken. Besonders bei vorher unbekannten Typen eines Angriffs brauche die Bekämpfung mehr Zeit, da die Ursache nicht automatisch erkannt werde.
Übersicht schaffen
Verteidigungsministerin Viola Amherd (62, Mitte) hat aufgrund des Revisionsberichts in einem Brief veranlasst, dass Markus Mäder (52), der Staatssekretär für Sicherheitspolitik, sowie Armeechef Thomas Süssli (57) und Rüstungschef Urs Loher (57) «schnellstmöglich» die Governance über die Schutzobjekte definieren und umsetzen.