Die Bedrohung ist nicht fassbar, aber real

Die Zahl der gemeldeten Vorfälle beim Bundesamt für Cybersicherheit (Bacs) ist im vergangenen Jahr erneut gestiegen. Insgesamt gingen 50 000 Meldungen bei der Behörde ein, rund 30 Prozent mehr als im Vorjahr. Dazu haben im privaten Bereich vor allem betrügerische Stellenangebote und gefälschte Anrufe im Namen der Polizei beigetragen. Die Unternehmen hingegen meldeten im Jahr 2023 einen starken Anstieg der Vorfälle in den Bereichen Rechnungsmanipulation und CEO-Betrug.

Täter bauen grossen Druck auf

Bei diesem Vorgehen, auch als CEO-Fraud bezeichnet, wählen die Kriminellen gezielt ihr Opfer aus, zum Beispiel den Finanzchef. In Anrufen und E-Mails treten die Täter dann äusserst überzeugend auf und behaupten, sie würden sich im direkten Auftrag der Chefin melden, und diese wolle, dass ein höherer Geldbetrag überwiesen werde. Dabei bauen die Täter grossen psychischen Druck auf, dem sich auch erfahrene Mitarbeitende oft nicht widersetzen können. Steigende Fallzahlen vermeldet die Behörde auch beim sogenannten Chain-Phishing. Da reicht schon das gehackte Konto einer einzigen Mitarbeiterin, um eine Lawine loszutreten. Denn von diesem Konto aus versenden die Täter weitere Phishing-Mails an Kunden und Lieferanten. Die Wahrscheinlichkeit ist gross, dass diese auf den Phishing-Versuch hereinfallen, da ihnen der Absender des E-Mails ja bekannt ist. Fallen die Opfer darauf rein, rollt das Schneeballprinzip weiter aus.

Bedeutung von cyberresilienten Gesellschaften

Angesichts der steigenden Gefahr werden mögliche Strategien für Schutz und Gegenwehr mittlerweile auf breiter Ebene diskutiert. So auch an den Swiss Cyber Security Days (SCSD), die vom 20. bis 21. Februar zum fünften Mal stattfanden und mit 2200 Besuchenden auf dem Bernexpo-Gelände einen grossen Zulauf hatten. Namhafte Vertreter und Vertreterinnen aus Politik, Wirtschaft, Verwaltung und Wissenschaft, darunter Philippe Müller, Vorsteher der Sicherheitsdirektion (SID), und Doris Fiala, Präsidentin der Swiss Cyber Security Days 2024, diskutierten darüber, warum die Bedrohungen aus dem Cyberraum eine der grössten Gefahren unserer Zeit darstellen – und welche zentrale Bedeutung cyberresilienten Gesellschaften zukommt.

KMU sind beliebte Opfer

«Vor allem in kleinen und mittelgrossen Unternehmen müssen wir dafür sorgen, dass Firmenleitung und Belegschaft ein besseres Verständnis für den Cyberspace und die damit verbundenen Gefahren bekommen. Nur so können wir die notwendigen Sicherheitsmassnahmen aufbauen», sagt Nicolas Mayencourt, Autor des Buches «IT-Sicherheit für KMU». Es scheint ein Widerspruch, dass die Gefahren aus dem Cyberraum in vielen Umfragen unter Unternehmen derzeit als eine der grössten Bedrohungen angesehen werden, aber ganz offensichtlich wenig getan wird, um die Gefahren zu bannen. In einer Studie der Mobiliar schätzten zwei Drittel der befragten KMU das Thema zwar als wichtig ein, aber die Massnahmen zum Cyberschutz haben sie mehrheitlich nicht ausgebaut. Anders als andere Risiken muss das Cyberrisiko in der Unternehmensführung verankert sein und ständig verfolgt werden.

Es ist ratsam, einen Drittanbieter heranzuziehen

«Hat eine Unternehmung keine fachkundigen Mitarbeitenden im IT-Bereich, ist es ratsam, einen Drittanbieter heranzuziehen, der die notwendigen Massnahmen ergreift und für permanente Updates sorgt», erklärt Mayencourt. Denn mit jedem weiteren technologischen Fortschritt werden neue Betrugsmethoden erfunden – Stichwort künstliche Intelligenz (KI). Diese ist jetzt schon in der Lage, menschliche Stimmen nahezu perfekt zu kopieren. Und so würden sich, wenn die KI zum Beispiel mit der Stimme des Chefs anruft und eine Geldanweisung fordert, wohl nur wenige Buchhalterinnen widersetzen.