Fortsetzung auf Seite 4

Fortsetzung von Seite 2

Schweizerische Gewerbezeitung: Vor Kurzem erfolgte auf das Internet-Portal comparis ein Hackerangriff, welcher alle Funktionalitäten und damit die gesamte Unternehmung lahmgelegt hat. Wie beurteilen Sie die Cyberrisiken und das Bedrohungsbild für die Schweizer Wirtschaft ganz allgemein?

Thomas Süssli: Jedes Unternehmen, das Informatikmittel nutzt, steht heute einer permanenten Cyberbedrohung gegenüber. Die Zahl der Ransomware-Angriffe hat zugenommen: Hacker dringen in ein Informatiksystem eines Unternehmens ein, verschlüsseln die Daten und verlangen für die Entschlüsselung ein Lösegeld. Andere Cyberangriffe haben das Stehlen von Geschäftsgeheimnissen zum Ziel.

Die Cyberbedrohung ist allgegenwärtig geworden und betrifft heutzutage, mit sehr wenigen Ausnahmen, alle Bereiche der Schweizerischen Wirtschaft. Jedes Unternehmen und jede Organisation kann aber selber wirkungsvolle Schutzmassnahmen ergreifen. Das beginnt beispielsweise bei der Sensibilisierung der Mitarbeitenden, denn der erste Angriffsvektor ist fast immer der Mensch. Dann muss die Architektur der Informatik auf Sicherheit ausgelegt werden. Schliesslich gilt es, alles auf dem neusten Stand zu halten. Das sind grosse Investitionen, welche sich jedoch im Falle eines Angriffs auszahlen.

Die Armee hat vor einiger Zeit einen Truppenteil für die Bekämpfung und Abwehr von Cyberrisiken ins Leben gerufen und vor Kurzem personell aufgerüstet. Wie sieht das Leistungsprofil konkret aus?

Im Bereich Cyber erfüllt die Schweizer Armee mit verschiedenen Elementen unterschiedliche Aufgaben. Im Zentrum steht dabei klar der Eigenschutz. Um ihre Einsatzfähigkeit und Handlungsfreiheit jederzeit und über alle Lagen sicherzustellen, ist die Armee permanent in der Lage, Cyber-Bedrohungen zu erkennen, sich vor Angriffen zu schützen und diese abzuwehren. Im Konfliktfall kann sie zudem mit aktiven Cyber-Aktionen militärische Operationen unterstützen. Mobile Cyber-Elemente sollen primär Aufgaben im Rahmen von militärischen Einsätzen wahrnehmen, andererseits, wenn die rechtlich vorgegebenen Rahmenbedingungen erfüllt sind, auch subsidiär eingesetzt werden können, z. B. zur Unterstützung kritischer Infrastruktur.

Unsere Spezialisten der Miliz erfüllen zusammen mit der Berufsorganisation anspruchsvolle und wichtige Aufgaben. Der Gesamtbestand an Milizpersonal wird in den nächsten Jahren auf rund 600 Angehörige der Armee erhöht. Auf den 1. Januar 2022 werden die bestehenden Milizformationen in einem Cyber-Bataillon und einem Cyber-Fachstab zusammengeführt. Diese bilden unser Reservoir, um den Betrieb gewisser kritischer Elemente sicherzustellen und die Durchhaltefähigkeit zu gewährleisten.

Wie hilft die Armee mit, die Sicherheit der Schweizer IT-Strukturen zu stärken?

Einerseits leistet die Schweizer Armee bereits einen Beitrag zur Stärkung dieser Strukturen, indem sie ihre Hausaufgaben bezüglich Prävention macht, so wie jedes Unternehmen und jede Organisation in der Schweiz. Andererseits hilft sie mit dem Cyberlehrgang, dem Fachkräftemangel entgegenzuwirken. Die Absolventen sind in der Privatwirtschaft und bei Betreibern von kritischen Infrastrukturen wie z. B. Energieversorger und Polizeikorps sehr gefragt. Sie finden nach ihrem Dienst ausnahmslos eine attraktive Anstellung. Weiter unterstützt die Armee Partner im Sicherheitsverbund Schweiz mit Expertenwissen. Ich denke da beispielsweise an die Beiträge unserer Kryptologen. Auf Grundlage des Militärgesetzes ist die Armee zudem in der Lage, zivile Behörden rasch mit Cyber-Spezialisten subsidiär zu unterstützen, wenn gewisse Bedingungen erfüllt sind.

Wie profitiert die Wirtschaft von diesen Arbeiten? Können Sie an einem konkreten Beispiel das Zusammenspiel zwischen Armee und Wirtschaft in der Bekämpfung von Cyberrisiken aufzeigen?

Die Cybersicherheit in der Bundesverwaltung basiert auf drei Säulen und ist organisatorisch getrennt, prozessual aber miteinander verbunden, etwa im Bereich der Analyse von Cyberrisiken. Das EJPD ist für die Cyberstrafverfolgung zuständig und kooperiert dabei mit den kantonalen Strafverfolgungsbehörden. Im EFD wird durch das Nationale Zentrum für Cybersicherheit (NCSC) das Thema Cybersicherheit behandelt. Das NCSC kooperiert eng mit bundesinternen und -externen Stellen, z. B. dem Nachrichtendienst des Bundes NDB oder Betreibern von kritischen Infrastrukturen. Das VBS schliesslich ist für den Bereich Cyberdefence zuständig. Die Cyber-Kräfte der Armee sind wie erwähnt in erster Linie dazu da, die eigene Infrastruktur zu schützen. Das ist eine Parallele zur Wirtschaft, wo ebenfalls jede Organisation für die eigene Sicherheit zuständig ist.

Die Armee kann über die zuständigen Behörden, aber auch für subsidiäre Unterstützung im Cyber-bereich angefragt werden, sollten die zivilen Mittel für die Bewältigung eines Vorfalls nicht ausreichen. Also der gleiche Mechanismus wie bei der Corona-Pandemie, ausser dass dann eben keine Sanitätssoldaten ausrücken, sondern Cybersoldaten.

Ein weiteres Beispiel ist der bereits erwähnte Cyberlehrgang. Die Teilnehmenden absolvieren dabei auch ein Praktikum, zum Beispiel bei einem Betreiber einer kritischen Infrastruktur wie einem Stromversorger. Sie tragen so ihr Wissen in solche Organisationen und bringen wiederum wertvolle Erkenntnisse zurück in den Dienst. Es findet ein Austausch statt, der für alle Beteiligten wertvoll ist. Für die Lehrgangsteilnehmenden, die Armee und die kritischen Infrastrukturen. Also eine Win-win-win-Situation.

Welche Empfehlungen geben Sie den KMU, um gegen Cyberrisiken vorbereitet zu sein?

Die Prävention und die Sensibilisierung der Mitarbeitenden sind unglaublich wichtig. Der erste Angriffsvektor ist fast immer der Mensch, weshalb er auch die erste Verteidigungslinie bildet. Ist ein Angreifer erst einmal im System, bleibt oft nur noch die Schadensbegrenzung.

Die Covid-Krise hat gravierende Mängel in der Digitalisierung der öffentlichen Verwaltung zutage gefördert. Wie kann die Armee hier Unterstützung leisten?

Aktuell wird viel über Digitalisierung gesprochen und geschrieben. Die Vision der Gruppe Verteidigung lautet, dass die Armee 2030 agil und digital ist. Meine Absicht zur Digitalisierung geht über mehrere Stufen hin zur Nutzung des vollen digitalen Potenzials. Es ist klar, dass Digitalisierung mehr als nur «Gadgets» oder IT ist. Digitalisierung ist Business und beginnt ganz oben. Zudem entwickelt sich digitale Technologie exponentiell und ich teile die Ansicht, dass es sich um eine eigentliche vierte industrielle Revolution handelt. Die Armee muss die Chancen packen und dabei die Risiken so klein wie möglich halten.

Die Digitalisierung ist letztlich eine Kulturfrage. Es erfordert Mut, neue, digitale Wege zu gehen. Fehler müssen möglich sein, um rasch wieder aufzustehen und daraus zu lernen. Hier sehe ich beispielsweise eine Möglichkeit Partner zu unterstützen: Wir können uns austauschen und voneinander lernen.

Die Armee ist bekannt für ihre durchstrukturierten Prozesse in der Lagebeurteilung und Entschlussfassung. Wie beurteilen Sie den Führungsrhythmus des Bundes in der aktuellen Krisenführung zur Bewältigung der Covid-Pandemie?

Ich kann da nur für die Armee selbst sprechen. Unsere militärischen Prozesse haben sich – einmal mehr –sehr bewährt: Die Armee war da, als es sie gebraucht hat, sie hat ihre Aufträge erfolgreich erfüllt, und danach sind unsere Milizangehörigen der Armee wieder zu ihren Familien und zu ihren Arbeitgebern zurückgekehrt.

In der ersten Welle hat die Armee umfassend mobilisiert. Nach kurzer Zeit war zu hören, dass die Armeeangehörigen nur beschränkt eingesetzt wurden. Wie gehen Sie mit dieser Kritik um, und beurteilen Sie in der Rückschau den Entscheid als gelungen?

Mit der heutigen Coronamüdigkeit vergessen wir manchmal, wie es ganz am Anfang war. Vieles war unbekannt und niemand konnte sagen, wie sich die Lage entwickelte. Beim Einsatz der Armee ging es entsprechend darum, auch im Fall einer Verschlechterung der Lage weiterhin Leistungen zugunsten des Gesundheitswesens und der Eidgenössischen Zollverwaltung erbringen zu können. Die erste Priorität lag zu diesem Zeitpunkt nicht bei der Effizienz, sondern bei der Effektivität: Pragmatische, rasche Leistungen in der ganzen Schweiz erbringen zu können, egal wie sich die Situation verändert. Mit dem damals durch den Bundesrat bewilligten Aufgebot haben wir das vollumfänglich erreicht.

Der Auftrag der Armee in den ersten Tagen der Pandemie war es, die Kapazität im Gesundheitswesen zu erhöhen. Dieser wurde erfüllt. Da die Situation nicht wie befürchtet eskaliert ist, konnten wir nach wenigen Wochen erste Truppen wieder entlassen. Auch die anderen unterstützenden Organisationen des Bundes sowie das zivile Gesundheitswesen haben rasch gelernt, ihre Arbeit effizienter auf die Pandemie auszurichten. Das war der Wendepunkt, an welchem wir unsere Unterstützung zwar weiterhin permanent sicherstellen mussten und konnten, aber auch eine höhere Effizienz anstreben konnten.

Deswegen bin ich überzeugt der Meinung, die damaligen Entscheide waren richtig und gelungen. Für einen Einsatz dieser Grössenordnung muss immer die Gesamtsicht in Betracht gezogen werden, nicht etwa die Kritik aus nur einem Blickwinkel. Wir konnten mit unserem Ansatz alle Gesuche um Unterstützungsleistungen erfüllen.

«MIT DEM CYBERLEHRGANG HILFT DIE ARMEE, DEM FACHKRÄFTE-MANGEL ENTGEGENZUWIRKEN.»

Kritisch nachgefragt, wenn die erste Priorität nicht bei der Effizienz, sondern bei der Effektivität lag: Hat sich da die Armee ihre Lagebeurteilung nicht etwas einfach gemacht? Etwa nach dem Motto «all in» kann nie schaden?

Die Armee hat schon früh antizipiert und geplant, welche Elemente im Bedarfsfall für die Unterstützung des zivilen Gesundheitswesens oder allenfalls der Eidgenössischen Zollverwaltung in den Einsatz kommen könnten. Die grossen Unbekannten waren jedoch die Menge und Reihenfolge der Gesuche, die aus den Kantonen an den Bund gerichtet wurden. Um hier auf Abruf bereit zu sein, haben wir dem Bundesrat das bekannte Mengengerüst vorgeschlagen. Im Rahmen der Mobilisierung muss auch immer eine einsatzbezogene Ausbildung stattfinden, welche wiederum Ressourcen und Zeit benötigt. Unser Ziel war es, die Leistung unmittelbar zu erbringen. Dies ist uns auch gelungen.

Wie wird die Armee ihre «Learnings» aus diesem Einsatz ziehen und entsprechend umsetzen?

Die Armee hat während dem Einsatz auf zwei Stufen gelernt: Einerseits die einzelnen Armeeangehörigen aller Grade, die an der Grenze, in Spitälern, in den Sanitätswagen oder auch im rückwärtigen Bereich eingesetzt waren. Sie konnten ihr in der Armee gelerntes Handwerk direkt im Einsatz umsetzen und dazulernen, die Erkenntnisse flossen später auch in die Ausbildung der neuen Rekrutinnen und Rekruten ein. Andererseits hat die Armee auf der Ebene als Organisation ihre Lehren gezogen. So haben wir beispielsweise bereits zwischen der ersten und der zweiten Welle die Führung der eingesetzten Formationen effizienter ausgerichtet, um weniger, dafür einfacherer Schnittstellen – auch gegenüber den zivilen Leistungsbezügern – zu schaffen.

Vor wenigen Jahren wurde eine grossangelegte Übung mit Armee und Verwaltung zum Thema «Stromausfall bei gleichzeitiger Pandemie» durchgeführt. Inwiefern konnten die aus dieser Übung konkret gewonnenen Erkenntnisse in der aktuellen Covid-Bekämpfung umgesetzt werden?

Dank solchen Übungen hatten wir wesentliche Vorteile: Zum Beispiel im Verständnis des Umfelds und dessen möglicher Entwicklung; zum Beispiel in Bezug auf die Aufgaben, Rollen und Zusammenarbeit mit Partnern auf Bundes- und kantonaler Ebene; und zum Beispiel auch hinsichtlich der möglichen Leistungen der Armee.

Dank den Übungen konnten wir antizipieren, wie sich die Lage entwickeln könnte und wie das Gesundheitswesen darauf reagieren könnte. Die nötigen Kontakte waren bereits etabliert und konnten rasch und unkompliziert aktiviert werden. So mussten wir keine Zeit für Abklärungen aufwenden, sondern konnten direkt konkrete Fragen besprechen: Welche Massnahmen können wir umsetzen, um die Leistungserbringung und Durchhaltefähigkeit des Gesundheitswesens zu erhöhen?

Es gäbe noch weitere Beispiele. Der Mehrwert solcher Übungen auch mit den Partnern zusammen ist klar: Wir gewinnen Zeit. Wir kennen die Personen. Wir haben die Prozesse bereits eingeübt. Wir können Annahmen zu geforderten Leistungen treffen. Natürlich kommt es anders als geplant, aber eine gute Planung angepasst umzusetzen, ist besser und einfacher, als ohne Planung umzusetzen.

In dieser gross angelegten Übung wurden auch Führungsstäbe, Führungsstrukturen und Führungsprozesse eingeübt. Konnten die damals gemachten Learnings in Bezug auf diese Aspekte in die Praxis umgesetzt werden, und wo gibt es allenfalls Verbesserungspotenzial?

Die Sicherheitsverbundsübung 2014 hat vor allem bestätigt, wie wichtig es ist, ein Mobilmachungssystem zu haben, das es ermöglicht, die Armee oder Teile davon kurzfristig und in genügender Anzahl aufbieten zu können. Dank der Weiterentwicklung der Armee WEA ist dies heute möglich. Aber auch Führungsprozesse wurden im Nachgang der Übung durch den damaligen Führungsstab der Armee unter die Lupe genommen. Prozesse und Schnittstellen wurden optimiert und ein Schwergewicht auf den Bereich Ausbildung der Stabsoffiziere der Miliz gelegt. Auch Schnittstellen zu Partnern wurden verbessert, um jederzeit über Informationen von Dritten zu verfügen oder deren Bedürfnisse rasch in die Lageentwicklung einzubeziehen.

Für jede Übung und jeden Einsatz gibt es einen definierten Nachbearbeitungsprozess, der es der Armee ermöglicht, besser zu werden. Nur wenn wir uns ständig weiterentwickeln und nicht auf dem Erreichten stehen bleiben, können wir neuen Herausforderungen jederzeit die Stirn bieten. Genau dafür steht die Armee – als grösste strategische Reserve des Bundes, welche dann zum Schutz von Land und Leuten in den Einsatz kommt, wenn die Mittel ziviler Behörden zur Bewältigung einer Situation nicht mehr ausreichen.

Interview: Gerhard Enggist