Hol dir jetzt die beste News-App der Schweiz!
- watson: 4,5 von 5 Sternchen im App-Store ☺
- Tages-Anzeiger: 3,5 von 5 Sternchen
- Blick: 3 von 5 Sternchen
- 20 Minuten: 3 von 5 Sternchen
Du willst nur das Beste? Voilà:
Herr Mettler, Sie befassen sich beruflich mit DDoS-Attacken. Wie schätzen Sie den jüngsten Angriff auf bekannte Schweizer Online-Shops und die SBB ein?
DDoS-Attacken gibt es seit mehr als 15 Jahren. Sie bleiben aktuell, weil das Internet schlichtweg zu unserem kommerziellen und kommunikativen Lebensnerv geworden ist. Dadurch ergibt sich eine unüberschaubare Opfergruppe, die für Erpressungs- und Sabotagezwecke ausgewählt werden kann.
Das klingt bedrohlich.
DDoS-Attacken sind inzwischen auch sehr variantenreich geworden und sind nicht mehr nur zahlreiche digitale Datenpakete mit derselben Internet-Zieladresse. Attacken erfolgen auf Netzwerk- und Anwendungsebenen, auf spezielle Protokolle, als ganz langsame Angriffe mit wenigen Paketen, oder «über die Bande» eines anderen Unternehmens, das somit sowohl zum Opfer als auch zum Mittäter wird, usw. Je nach Zählweise ergeben sich so über ein Dutzend Hauptvarianten von DDoS-Attacken.
Waren die betroffenen Firmen nicht ausreichend geschützt?
Es meinen immer noch viele Organisationen und Unternehmen, sie seien zu klein oder zu unbedeutend, um Ziel eines Angriffs zu werden. Leider machen sie da die Rechnung ohne den Wirt. Denn der Angreifer entscheidet wann, wie und mit welchem Ziel die DDoS-Attacke durchgeführt wird – und nicht das Opfer.
Was raten Sie?
Wie bei einem Brand geht es darum, für unterschiedliche Szenarien sowohl Präventiv-Massnahmen – zum Beispiel Brandschutztüren –, Bekämpfungs-Massnahmen – zum Beispiel Feuerlöscher – als auch Notfallmassnahmen – etwa Ersatzräume – vorzubereiten und regelmässig zu testen. Es gibt eine ganze Reihe von Anti-DDoS-Lösungen, die bei richtiger Konfiguration ausgewählte Teile von DDoS-Angriffen im Netzwerkbereich reduzieren können.
In grossen Unternehmen hat die IT-Sicherheit mehr Gewicht und Aufmerksamkeit, bei KMU und staatlichen Institutionen weniger. Trifft das aus Ihrer Erfahrung zu?
Es ist tatsächlich so, dass es in kleineren Unternehmen, aber beispielsweise auch in Spitälern, an den erforderlichen Ressourcen mangelt, sei dies Geld oder Fachwissen. Leider stellen wir aber auch immer wieder fest, dass bei den Verantwortlichen eine gefährliche «Das nehmen wir in Kauf»-Haltung besteht.
Was soll der Bund tun, um Schweizer Unternehmen besser vor DDoS-Attacken zu schützen?
Der Bund könnte nur über eine Gesetzgebung die Schweizer Firmen verpflichten, sich gegen DDoS-Angriffe besser zu schützen. Eine gesetzliche Verpflichtung diesbezüglich ist aktuell nicht vorhanden. Der Bund könnte daher die Firmen generell stärker auf das Thema «IT Security» sensibilisieren und entsprechende Gesetze verabschieden, respektive an die Treue- und Sorgfaltspflicht appellieren.
Wo sehen Sie sonst noch Handlungsbedarf?
Jede Firma und jede Organisation sollte wissen, wie verletzlich sie gegen DDoS-Attacken ist. Daher muss die erste Aktivität sein, durch einen DDoS-Test zu erfahren, wo man steht. Das Pferd von hinten aufzuzäumen und Anti-DDos-Infrastruktur und -Dienstleitungen zu kaufen, ohne zu wissen, wo die Schwachpunkte sind, macht aus unserer langjährigen Erfahrung keine Sinn und ist dazu noch teurer.
Was kostet es denn, wenn ich meine Firma vor DDoS-Attacken absichern möchte?
Die Absicherung ist in jedem Fall deutlich teurer als ein DDoS Angriff durchzuführen, der für wenig Geld im Internet oder Darknet erworben werden kann. In der Regel braucht es ein Beratungsmandat, um die Gesamtsituation abzuklären und individuelle Massnahmen für einen Kunden zu ergreifen. Bei kleineren Betrieben kann dies zwischen 10'000 und 20'000 Franken kosten. Dazu kommen die Kosten für die regelmässige Überprüfung der Sicherheitsmassnahmen.
Gibt's dafür einen 100-prozentigen Schutz?
Völligen Schutz gibt es in keinem Lebensbereich. 100-prozentige Sicherheit als Zielsetzung in der IT-Security oder bei DDoS-Attacken wäre daher unsinnig. Wir unterstützen viele Organisationen im Aufbau eines ausreichenden Schutzes, der sinnvoll und machbar ist. Das erfordert allerdings auch Investitionen.
Investitionen in den Brandschutz sind heute selbstverständlich, in einen umfassenden DDoS-Schutz bei weitem noch nicht. Wesentlich ist, dass ohne regelmässige DDoS-Tests ein Unternehmen nicht weiss, wie es wirklich um die eigene Abwehrkraft bestellt ist. Der Glaube oder die Hoffnung, gut vorbereitet zu sein oder auch die richtige Lösung im Haus zu haben, ist – wie unsere Tests zeigen – leider zu wenig.