Melani: "Einige Unternehmen wurden wachgerüttelt"

In den letzten Wochen wurden zahlreiche Onlinehändler und selbst das Angebot der SBB mit DDoS-Angriffen lahmgelegt. Kam das Ausmass der DDoS-Angriffe für Sie überraschend?

Max Klaus: Überraschend war, dass gleich mehrere namhafte Schweizer E-Commerce-Anbieter praktisch zeitgleich unter DDoS standen. Das war in diesem Ausmass für die Schweiz ein Novum. Hingegen war die für die Angriffe eingesetzte Bandbreite nicht überdurchschnittlich gross. Diesbezüglich haben wir schon massivere Angriffe erlebt.

Wie waren Sie als Melde- und Beratungsstelle in das Krisenmanagement der betroffenen Unternehmen eingebunden? Wie konnten Sie den Firmen zur Seite stehen?

In der Schweiz gibt es keine Meldepflicht für Cybervorfälle. Die Unternehmen, die sich bei uns gemeldet haben, wurden etwa bezüglich möglicher Sofortmassnahmen oder auch möglicher künftiger Abwehrmechanismen beraten. Generell lässt sich das nicht sagen, da jedes Unternehmen mehr oder weniger individuelle Anliegen an Melani richtet.

Inwieweit waren die betroffenen Firmen auf die DDoS-Angriffe vorbereitet? Was waren Ihrer Meinung nach die Hauptschwachstellen?

Das lässt sich nicht generell beantworten, da wir die IT-Infrastruktur der Unternehmen nicht im Detail kennen. Wichtig ist in jedem Fall, dass man bereits präventive Massnahmen ergreift. Ist ein DDoS-Angriff erst einmal im Gange, ist es oft schwierig, diesen abzuwehren. Einige Schweizer Provider bieten Abwehrmechanismen für DDoS-Angriffe an. Gleiches gilt für Themen wie Krisenmanagement, Business Continuity Management etc. Hat man diese Pläne nicht präventiv erstellt, fehlt im Ereignisfall die Zeit dafür.

Welche Lehren haben die betroffenen Firmen daraus gezogen?

Einige Unternehmen (und hier meine ich nicht nur die betroffenen Webshops) wurden wachgerüttelt und prüfen momentan die Investitionen in erweiterte Schutzmassnahmen.

Wie schätzen Sie das Ausmass der Schäden durch die Angriffswellen ein?

Das lässt sich nicht im Detail beurteilen. Der Schaden für E-Commerce-Anbieter war aber bestimmt grösser als jener für die Kunden. Letztere konnten „nur“ während einer bestimmten Zeit nicht mehr einkaufen. Die Unternehmen jedoch dürften – je nach Abhängigkeit vom E-Commerce-Umsatz – mehr oder weniger grosse Einbussen erlitten haben.

Gegenüber der Redaktion wollten die meiste Firmen keine Auskunft über ihr Krisenmanagement und die Lehren aus den Angriffen geben. Woran liegt das Ihrer Meinung nach? Ist Schweigen hier Gold?

Darüber lässt sich nur spekulieren. Wir machen bei Cybervorfällen oft die Erfahrung, dass die betroffenen Unternehmen die Kommunikation sehr unterschiedlich handhaben. Einige wollen gar nicht kommunizieren, andere sind teilweise ziemlich offensiv in der Kommunikation. Das ist von Fall zu Fall ein unternehmensinternes Abwägen, da teilweise auch ein Imageschaden befürchtet wird. Schliesslich können aber auch Sicherheitsüberlegungen eine Rolle spielen. Die Bundesverwaltung etwa kommuniziert aus Sicherheitsgründen die implementierten Sicherheitsmassnahmen, die zur Verfügung stehenden finanziellen und personellen Ressourcen etc. nicht öffentlich.