Ein starkes Duo: Cyber Security und Privacy

von Yasmin Billeter

«Um die Themen Cyber Security und Privacy kommt heute kein Unternehmen mehr herum», sagen Armand Portmann und Maurizio Tuccillo. Wir haben mit den Studienleitern über die zunehmende Cyber-Bedrohung, den Datenschutz und ihre Lehrgänge in der Weiterbildung gesprochen.

Herr Portmann und Herr Tuccillo, wie schätzen Sie die aktuelle Bedrohung aus dem Cyberspace ein?

Prof. Armand Portmann: Die Bedrohung von Unternehmen durch Cyberattacken hat stark zugenommen. Das belegen viele Umfragen und Gespräche mit Firmenvertretern. Es ist kein Hype, sondern Tatsache.

Dr. Maurizio Tuccillo: Nicht nur die Häufigkeit von Cyberattacken, auch das Schadensmass ist gewachsen und Cyber-Kriminalität ist ein Business-Modell geworden. Im Darknet kann beispielsweise «Cybercrime as a Service» bestellt werden, um gezielte Angriffe auf Mitbewerber zu starten.

«Cyber-Kriminalität ist ein Business-Modell geworden.»

Prof. Dr. Maurizio Tuccillo

Portmann: Die Verschärfung spiegelt sich auch in der Nachfrage nach unseren Kursen wieder. Sie hat in den letzten 12 bis 24 Monaten stark zugenommen. Wir wurden in dieser Zeit auch immer wieder nach einem Angebot mit explizitem Fokus auf Cyber Security gefragt. Einen solchen Lehrgang hatten wir bisher nicht im Programm.

Jetzt haben Sie zwei neue MAS-Programme jeweils mit einer Vertiefung in Cyber Security und Privacy lanciert.

Portmann: Genau. Aufgrund der veränderten Nachfrage haben wir den bestehenden MAS Information Security aufgesplittet und gleichzeitig die Profile geschärft. Beide Programme bauen auf einem gemeinsamen Sockel auf, der Grundlagen der Informationssicherheit in den Bereichen Technik und Management vermittelt.

Sprechen wir zuerst über die Cyber Security: Wie definieren Sie diese?

Portmann: Cyber-Sicherheit beschäftigt sich mit dem Schutz moderner Infrastrukturen (Stichworte Industrie 4.0, cyber-physische Systeme, aber auch Cloud). Vor allem die kritischen Infrastrukturen (Energieversorgung usw.) wurden in den vergangenen Jahren immer verwundbarer, da deren Systeme immer öfters auch mit dem Internet verbunden sind. Gleichzeitig wurden Schutzmassnahmen entwickelt, um den neuen Bedrohungen zu begegnen – dies ist die Disziplin der Cyber Security.

Tuccillo: Kritische Infrastrukturen sind das eine, neue Anwendungen wie beispielsweise IoT das andere. Der Begriff «Cyber» ist zurzeit sehr aktuell und er wird so schnell nicht mehr verschwinden.

Mit welcher Art von Bedrohungen aus dem Cyberspace haben es Schweizer Firmen zu tun?

Portmann: Immer noch verbreitet sind Erpressungen mithilfe von Ransomware, die Daten verschlüsselt und dadurch dem Zugriff durch den Besitzer entzieht. Die Opfer erhalten den Zugriff erst wieder nach einer Lösegeldzahlung – wenn überhaupt. Eine weitere, oft anzutreffende Betrugsmasche ist die des Chefbetrugs, auf Englisch CEO Fraud, bei der versucht wird, die Finanzabteilung zur Bezahlung einer falschen Rechnung zu veranlassen.

Tuccillo: In der Finanzindustrie ist zwar viel Wert vorhanden, jedoch sind die Hürden für gezielte Angriffe höher. Eine Alternative ist es, Ransomware breit zu streuen. Dies gibt im Einzelfall weniger her, dafür ist die Erfolgschance höher. Die Attacke auf die britischen Spitäler beispielsweise war nicht gezielt, sondern breit gestreut.

«Manchmal geht es auch nicht ‹nur› um die Privatsphäre, sondern um das eigene Leben.»

Prof. Armand Portmann

Portmann: Ebenfalls im Trend ist Extortionware, auch Doxware genannt. Es handelt sich dabei um Malware, die private Informationen wie Bilder, Chat-Verläufe usw. von Handys exfiltriert. Der Angreifer bedroht das Opfer daraufhin, sämtliche gestohlenen Informationen an alle Einträge im Adressbuch zu schicken, wenn nicht das geforderte Lösegeld bezahlt wird. Manchmal geht es auch nicht «nur» um die Privatsphäre, sondern um das eigene Leben. Gemeint sind angedrohte Mord- oder Säureanschläge, die durch eine Lösegeldzahlung verhindert werden könnten – das macht vielen Leuten wirklich Angst!

Wie sollte man sich im Falle einer solchen Androhung verhalten?

Tuccillo: Auf keinen Fall antworten, sonst bestätigt man, eine potenzielle Zielscheibe zu sein. Wer unsicher ist, meldet den Vorfall der Polizei. Diese kann beurteilen, ob es sich dabei um einen Einzelfall oder einen Massenangriff handelt.

Sind KMU und Grossunternehmen von anderen Gefahren bedroht?

Portmann: Grundsätzlich sind es dieselben Gefahren. Tendenziell sind in kleineren Firmen aber die Schutzmassnahmen weniger ausgreift als in grösseren Firmen. Dies betrifft sowohl technische als auch organisatorische Massnahmen, wie etwa die Bewusstseinsbildung für die modernen Bedrohungen.

Wie können Unternehmen vorsorgen?

Portmann: Hier gibt es keine kurze Antwort. In unseren Weiterbildungen bekommen die Teilnehmenden das Rüstzeug, um technisch und organisatorisch vorzusorgen. Darüber hinaus bekommen sie aber auch Wissen, um den vielfältigen rechtlichen Anforderungen gerecht zu werden.

«In der Security-Branche sind in den vergangenen Jahren viele neue Berufsbilder entstanden.»

Prof. Armand Portmann

Welche Berufsaussichten haben Absolvierende des MAS Information & Cyber Security?

Portmann: In der Security-Branche sind in den vergangenen Jahren viele neue Berufsbilder entstanden. Wir befähigen die Absolvierenden in unterschiedlichsten Tätigkeitsfeldern zu arbeiten. Ich denke hier an Informationssicherheitsbeauftragte, Chief Information Security Officers, Security Engineers, SOC (Security Operations Center) Managers, Incident Responders und so weiter. Da spielen natürlich auch die eigenen Berufserfahrungen eine wichtige Rolle und selbstverständlich auch die Karrierepläne.

Wie sehen Sie die Zukunft der Cyber-Kriminalität? 

Portmann: Da wir zunehmend vernetzt sind, werden wir auch immer verwundbarer – das Thema wird weiter an Bedeutung gewinnen.

Tuccillo: Weil wir bisherige analoge Tätigkeiten mehr und mehr digitalisieren und ins Internet verlagern, wird sich auch die Kriminalität diesem Trend folgen. Ein Beispiel: Wer eine Bank überfallen will, muss heute nicht mehr mit Waffen in eine Schalterhalle eindringen. Das geht im Cyberspace gefahrloser, wenn auch technisch schwieriger.

Kommen wir nun zum Thema Privacy: Die neue Datenschutz-Grundverordnung der Europäischen Union (EU-DSGVO) ist seit dem 25. Mai 2018 in Kraft. Was hat sich seither für Schweizer Unternehmen verändert?

Tuccillo: Obwohl wir nicht in der EU sind, sind zahlreiche Schweizer Firmen vom Marktortprinzip und dem Niederlassungsprinzip der DSGVO (mehr dazu) betroffen. Für diese bedeutet die DSGVO zweifellos einen gewissen Mehraufwand. Dieser wäre jedoch höher, würde man eine Busse aufgrund von Datenschutzverletzungen riskieren. Die Schweiz arbeitet zudem aktuell an der Revision ihres eigenen Datenschutz-Gesetzes (DSG) aus dem Jahr 1992. Diese wird uns dann direkt beschäftigen.

Was kommt mit dem neuen DSG auf uns zu?

Tuccillo: Das neue DSG wird der DSGVO sehr ähnlich sein. Die grössten Unterschiede werden bei den Sanktionen liegen, welche im Vergleich milder ausfallen werden. Wann genau das neue DSG kommt, ist noch offen. Wir wissen hingegen, dass zuerst der öffentliche Bereich und dann die Wirtschaft datenschutzkonform gemacht wird.

Die DSGVO verlangt einen Datenschutzbeauftragten. Wäre das ein mögliches Berufsprofil nach dem MAS Information Security & Privacy?

Tuccillo: Ja durchaus. Wobei wir für das spezifische Profil des Datenschutzbeauftragten das CAS Data Privacy Officer konzipiert haben. Dieses ist Teil des MAS Information Security & Privacy. Das MAS geht aber im Bereich Informationssicherheit viel weiter.

Genügt es, wenn ein Unternehmen eine Person in der Funktion des Datenschutzbeauftragten einstellt?

Tuccillo: Je nachdem wie die Person ihren Job macht (schmunzelt). Das hängt natürlich von der Grösse und der Art des Unternehmens ab. Die Person muss auch nicht alle Aufgaben selbst ausführen, jedoch diese koordinieren. Wenn sie dies ernst nimmt, wird sie dafür sorgen, dass es genügt.

Wie sehen Sie die Zukunft des Datenschutzes?

Tuccillo: Wichtig bei dieser Frage ist zu verstehen, dass der Datenschutz nicht die Daten an sich schützt, sondern die Personen, denen diese zugeordnet sind. Durch die Digitalisierung exponieren wir unsere Persönlichkeit immer stärker und so wird sich auch die Kriminalität und die Wirtschaft weiter für die Persönlichkeiten hinter den Daten interessieren.

Vielen Dank für das Interview!

Mehr aus der Reihe im Gespräch mit

Veröffentlicht: 17. April 2019