Und nicht nur die Unternehmen, sondern auch jede natürliche Person, die mit modernen Kommunikations- und Datenverarbeitungsmitteln arbeitet.
In der NZZ am Sonntag vom 15.05.2016 (auch online verfügbar auf NZZ-online , Interview von Lukas Häuptli) wird der Chef NDB (Nachrichtendienst des Bundes) Markus Seiler im Nachgang zum publik gewordenen Angriff auf die RUAG interviewt.
Er hält fest: “Die Firmen müssen ihre Verantwortung ebenfalls wahrnehmen und sich selbst vor Hackerangriffen schützen, vor allem diejenigen, die kritische Daten besitzen.” Es ist zwar die Aufgabe des NDB, die Schweiz durch das Sammeln von Information vor Cyberattacken zu beschützen. Nicht aber jedes einzelnen Unternehmen.
Der Nachrichtendienstchef verknüpft dabei den Hinweis darauf, dass die Unternehmen selber für die Sicherheit der eigenen Systeme sorgen müssen, mit einem lange gehegten Wunsch des Nachrichtendiensts: das Counter-Hacking soll auf einen legalen Boden gestellt werden.
Dabei muss klar sein, dass die Kompetenzen des NDB und jene der Strafverfolgung von Gesetzes wegen strikte getrennt sind. Der NDB arbeitet im Inland präventiv und produziert die notwendigen Informationsgrundlagen für die Entscheidungsträger. Nur die Strafverfolgungsbehörden (Staatsanwaltschaft und die Korps der Kriminalpolizeien) verfolgen Straftaten und führen die Täter der Justiz zu, nicht so der Nachrichtendienst. Auch mit einer gesetzlichen Grundlage für Counter-Hacking durch den Nachrichtendienst werden damit nicht in allererster Linie die Täter verfolgt. Vielmehr werden Informationen gesammelt und allenfalls die Angriffsfähigkeiten der Täter eingeschränkt. Die gesammelten Informationen des Nachrichtendienstes könnten im Nachgang des Counter-Hackings dann aber durchaus die Grundlage für die Strafverfolgung sein.
Aus Sicht der Strafverfolgung wäre Counter-Hacking an sich nicht direkt notwendig. Im Cyberspace lassen sich Täter dagegen vielfach erst dann eruieren, wenn man sie aktiv verfolgt. Ein versierter Hacker wird nicht direkt von seinem Standort aus seine Angriffe fahren, sondern über mehrere Kommunikationsschichten oder Zwischenstationen hinweg seine Spuren verschleiern. Um den Angreifer zu enttarnen, muss man unter Umständen in fremde Systeme von unbeteiligten Dritten eindringen. Nach meiner Auffassung fehlen dafür den ordentlichen Strafverfolgern die gesetzlichen Grundlagen; im Moment auch dem Nachrichtendienst (über das neue Nachrichtendienstgesetz wird am 25.09.2016 abgestimmt: Info des Bundes mwH; Info der Kritiker dieser Gesetzesnovelle). Dazu kommen die grossen Fragezeichen in Bezug auf die Beweissicherung (Authentizität und insbesondere Integrität) des Counter-Hacks und der enttarnten Angreifer. Die Beweissicherung steht bekanntlich auch beim Einsatz von Staatstrojanern im Zentrum heftiger Diskussionen in Deutschland, wie auch der Schweiz.
Es zeigt sich in der Praxis leider, dass trotz den Mechanismen der internationalen Rechtshilfe Hackervorfälle auf Schweizer Boden durch ausländische Täter selten verfolgbar sind: In den Logfiles eines angegriffenen Systems findet man zwar die IP-Adresse des Angreifers, mit der er auf das Zielsystem zugegriffen hat. Einen Namen hinter dem Anschluss zu dieser IP-Adresse hat man damit aber noch nicht so rasch. Die Staatsanwaltschaften erhalten trotz Anfragen an die ausländischen Stellen oft keine oder keine zielführenden Auskünfte. Oder sie scheuen den Aufwand und die technische Materie so sehr, dass sie die Verfahren direkt unter dem Hinweis sistieren, dass die Täterschaft unbekannt und im Moment nicht eruierbar ist (StPO 314.I.a). Es scheint zudem, dass nur die grösseren Kantone in ihren Staatsanwaltsabteilungen über spezialisierte Juristen verfügen, welche die Welt der Technik mit jener der Juristen verknüpfen können. Das macht die Sache für angegriffene Unternehmungen oder Privatpersonen nicht einfacher. Und Cybercrime wird in Zukunft nicht abnehmen. Ganz im Gegenteil.
Der Chef NDB weist im Interview der NZZaS zudem auf ein zentrales, wenn nicht gar das grösste Problem der Cybercrime-Prävention und ‑Verfolgung hin: Die meisten Cyber-Angriffe (ob versucht oder erfolgreich) werden gar nicht erst bemerkt. Umso zentraler ist es, dass die benutzten Computersysteme immer up-to-date sind. Damit reduziert sich die Wahrscheinlichkeit eines erfolgreichen Angriffs bereits enorm.
Benutzen Sie auch heute noch einen Windows XP-Computer? Dann kommen Sie den gesetzlichen Pflichten mit allergrösster Wahrscheinlichkeit nicht nach. Wer Personendaten bearbeitet, untersteht der ausdrücklichen Pflicht des Datenschutzgesetzes (DSG 7), für angemessene Datensicherheit zu sorgen. Der Bundesrat hat diese gesetzlichen Vorgaben in der Verordnung zum Datenschutzgesetz noch etwas konkretisiert. Es lohnt sich ein Blick in VDSG 9.
Übrigens: Windows XP findet man nicht nur bei privaten Anwendern, sondern vereinzelt noch in der öffentlichen Verwaltung. Sogar in den Steuersystemen für bewaffnete (sic!) Drohnen von Weltmächten fand sich noch dieses mittlerweile mehr als 16 Jahre alte System. Bezeichnender Weise wurde auf diesen Steuersystemen fremde Schadsoftware gefunden (Artikel auf heise.de und wired aus dem Jahr 2011).
Vor Hackern und Schadsoftware muss sich jeder selber schützen. Tun Sie es am einfachsten mit regelmässigen Updates und dem Wechsel auf aktuelle Betreibsysteme.