Fokus Sicherheit by Smart Media Agency AG

#CYBERSICHERHEIT FÜR ALLE Machen Sie den Check unter securitycheck.suissedigital.ch

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

OKT ‘21

U M PA R T N

13 RE

I EM

SICHERHEIT INF

O R M AT

N IONE

Interview

Roger Halbheer

Lesen Sie mehr auf fokus.swiss

Chief Security Advisor bei Microsoft «Jeder und jede kommt als Opfer eines Cyberangriffs in Frage»

BESUCHEN SIE UNS an der Security-Veranstaltung mit starkem Konferenzteil 17.-18. November 2021 | Ricarda-Huch-Strasse | Halle 550 | Zürich-Oerlikon

Exklusiv für unsere Leser! Jetzt profitieren mit diesen Codes: www.smidex.ch/tickets/ rz_inserat_Tagesanzeiger_fokus_sicherheit.indd 1

Gratis Expoticket: 7MB4P | vergünstigtes Konferenzticket: BUZ56 06.10.21 17:02

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

2 EDITORIAL

FOKUS.SWISS

Arié Malz & Marcel Zumbühl

Cyber Security – eine permanente Herausforderung

ine zentrale US-Ölpipeline, das irische Gesundheitssystem und der weltgrösste Fleischproduzent haben etwas gemeinsam. Sie sind alle erst kürzlich Opfer von Cyberangriffen geworden. Diese Angriffe, die seit Monaten für mediale Aufmerksamkeit sorgen, dürften allerdings nur die Spitze des Eisbergs darstellen. Was Fach- und Branchenexperten seit Jahrzenten beschäftigt und wovor sie eindringlich gewarnt haben, kommt nun mit enormer Wucht in der Wahrnehmung der Gesellschaften an. Kein Tag vergeht, ohne dass mindestens die ICT-Fachpresse, immer öfter und inzwischen fast wöchentlich auch die Tagespresse, über «Cyberangriffe, Cyberterroristen, Cyber Security» sprechen. Seit mehreren Jahren werden Cyberangriffe in den verschiedensten Studien als grösstes Geschäftsrisiko in der Schweiz erkannt. Gleichzeitig steigt die Anzahl von Cyberangriffen wie z.B. Swissinfo.ch auf Basis einer veröffentlichten Statistik des Schweizerischen Nationalen Zentrums für Cybersicherheit (NCSC – National Cyber Security Centre) bereits im Juni 2020 berichtete. Was ist dieses «Cyber» denn genau und inwiefern unterscheidet sich «Cyber Security» von den bekannteren Begriffen «ICT-Security» und «Information Security»? Als IT-Sicherheit oder IT-Security definiert man gemeinhin den Schutz von IT-Systemen vor Schäden und Bedrohungen. Das erstreckt sich von der einzelnen Datei über Computer, Netzwerke, Cloud-Dienste bis hin zu ganzen Rechenzentren. IT-Sicherheit und Cyber Security werden oft umgangssprachlich gleichgesetzt. Beide umfassen alle technischen und organisatorischen Massnahmen, um Systeme vor Cyberangriffen und anderen Bedrohungen zu schützen. Genauer betrachtet weitet Cyber Security die IT-Sicherheit auf den gesamten Cyberspace aus. Cyberspace wird z.B. von NIST – dem amerikanischen «National Institute of Standards and Technology» als Domäne vernetzter Infrastrukturen definiert. Dazu gehören Internet, Telekommunikationsnetzwerke, Computersysteme sowie eingebettete Prozessoren und Sensoren. Generalisiert kann gesagt werden, dass «Cyberspace» gleichbedeutend ist mit «Internet», inklusive dem sogenannten «Internet of Things – IoT». Cyber Security meint also die Sicherheit der IT-Systeme und die Fähigkeit, diese Systeme vor Attacken aus dem Cyberspace zu schützen.

nützliche Funktionen, andererseits werden sie dadurch auch zu potenziellen Zielen für Angreifende. Bei einem Einzelnutzer greifen Cyberkriminelle die Privatsphäre an: Im Rahmen des Identitätsdiebstahls stehlen sie Passwörter, leeren Bankkonten oder kaufen auf Kosten des Opfers ein. Angreifende können die vielen vernetzten Geräte wie Router, Tablets, Kameras, PCs und SmarthomeKomponenten kapern und zu Botnetzen zusammenschliessen. Damit lassen sich Denial of Service- Angriffe (DoS) durchführen, in deren Folge z.B. Telekommunikationsdienste ausfallen können.

Arié Malz

Marcel Zumbühl

Cyberkriminelle nutzen für ihre Angriffe häufig Schwachstellen in Soft- oder Hardware aus.

LESEN SIE MEHR. 04 AI & Cyberattacken 08 Fachartikel: Cybersecurity 10

Geofencing

Interview: Roger Halbheer

16 IT-Sicherheit 18 Einbruchschutz 20 Innovation im Schwerverkehr

FOKUS SICHERHEIT. PROJEKTLEITUNG

FLAVIO MERAVIGLIA COUNTRY MANAGER

PASCAL BUCK

Bei Konzernen spionieren die Angreifenden Betriebsgeheimnisse aus oder sabotieren Maschinen. Bei staatlich unterstützten Angriffen werden kritische Infrastrukturen wie Stromnetze und sogar das ganze Internet eines anderen Landes lahmgelegt, so etwa in Estland 2007. Ebenfalls versuchen Angreifende, auf politische Entscheide Einfluss zu nehmen.

PRODUKTIONSLEITUNG

Die Welt der Cyberbedrohungen wandelt sich schnell. Cyberkriminelle nutzen für ihre Angriffe häufig Schwachstellen in Soft- oder Hardware aus und entwickeln darauf aufbauend kontinuierlich neue Angriffsmethoden. Sie sind heute zunehmend professionell organisiert und arbeiten mit modernster Technik. Z.B. gewinnt gerade Künstliche Intelligenz in der IT-Security an Bedeutung, bei den Angreifenden wie auch bei den Verteidigern. Phishing-Angriffe können Machine Learning nutzen, um täuschend echt geschriebene Mails im grossen Stil zu verschicken. Als Trainingsdaten dienen die erbeuteten Mails auf den Rechnern bestehender Opfer. Noch während eine Attacke aktiv ist, spezialisiert und verselbständigt sich Schad-Software und wird intelligenter. Andererseits können Maschinen gestützte Auswertungen von Logdateien dabei helfen, Angriffe rechtzeitig zu erkennen.

TITELBILD

MIRIAM DIBSDALE LAYOUT

ANJA CAVELTI TEXT

KEVIN MEIER, RETO AMSTAD, LISA ALLEMANN, SEVERIN BEERLI ISTOCKPHOTO.COM DISTRIBUTIONSKANAL

TAGES-ANZEIGER DRUCKEREI

DZZ DRUCKZENTRUM AG

SMART MEDIA AGENCY. GERBERGASSE 5, 8001 ZÜRICH, SCHWEIZ TEL +41 44 258 86 00 INFO@SMARTMEDIAAGENCY.CH REDAKTION@SMARTMEDIAAGENCY.CH FOKUS.SWISS

Cyber Security ist ein ständiger Wettlauf mit den wachsenden Bedrohungen. Umso wichtiger ist es, diese und die eigenen Schwachstellen zu kennen und die damit verbundenen Risiken aktiv anzugehen, sei es im Alltag, sei es im Beruf. Dies ist keine einmalige Aufgabe, sondern eine permanente Herausforderung.

Viel Spass beim Lesen!

Diese hochvernetzten IT-Systeme haben längst unser Privat- und Berufsleben durchdrungen. Über das Internet vernetzte Geräte bieten einerseits

Flavio Meraviglia

Text Arié Malz, ISSS Co-Präsident & Marcel Zumbühl, ISSS-Co Präsident

Project Manager

BRANDREPORT • SWISS CYBER DEFENCE - DNA

So schützen sich KMU vor Cybererpressung Thomas Liechti

CEO MOUNT10 AG & Initiant

ls hätten KMU in der Coronapandemie nicht schon genug zu kämpfen, bleiben sie auch jetzt nicht von kriminellen Aktivitäten aus dem Netz verschont: Von einem Augenblick auf den anderen funktioniert das E-MailSystem nicht mehr, Dateien lassen sich nicht mehr öffnen. Stattdessen fordert ein Totenkopf auf einem roten Bildschirm eine Bitcoin-Zahlung, während gleichzeitig ein Countdown startet. Ein Schreckensszenario für jedes KMU. Diese Einführung mag etwas dramatisch klingen. Doch niemand, auch nicht KMU, sind vor den Gefahren von Cyberkriminellen geschützt. Und jede Firma, die auf die Erpressung eingeht, um die eigenen Daten wieder lesen zu können, finanziert damit die Machenschaften und die besseren Tools der Hacker. Lösegeld zu zahlen ist genauso sinnvoll, wie wenn man mit Benzin ein Feuer zu löschen versucht. Wer auf die Forderungen allerdings nicht eingeht, muss mit Datenverlusten rechnen.

Ansteckungsketten unterbrechen, was können KMU tun? Da die Gefahren von Ransomware-Viren mit den richtigen, relativ einfachen Mitteln massiv eingedämmt werden können, wurde die «Swiss Cyber Defence – DNA»-Initiative ins Leben gerufen. Dabei handelt es sich um einen einfachen Leitfaden mit sechs Massnahmen (siehe Box), den KMU allein oder mithilfe von Umsetzungspartnern abarbeiten können. Was unterscheidet diesen Leitfaden von anderen online Checklisten? Die Swiss Cyber Defence – DNA verzichtet darauf, dass KMU Daten eingeben müssen, um an die Informationen zu gelangen. Anhand der Checkliste

Niemand ist vor den Gefahren von Cyberkriminellen geschützt. - Thomas Liechti, CEO MOUNT10 AG & Initiant

können KMU die notwendigen Punkte abarbeiten, um auch die notwendige Übersicht zu behalten. Alle Informationen sind auch auf www.kmuschutz.ch voll transparent einsehbar. Bei zusätzlichen Fragen stehen Umsetzungspartner in den Regionen zur Verfügung.

«Swiss Cyber Defence DNA» – setzten wir die Hürde für Cyberkriminelle so hoch, dass niemand erpressbar wird. Weitere Informationen unter www.kmuschutz.ch

Der folgende Massnahmenkatalog berücksichtigt die Verantwortungsbereiche Organisation und Technologie von Ihrem KMU gleichermassen.

Massnahme Nr. 1 - Aktuelle unveränderbare Datensicherung / schreibgeschütztes Backup Ihre Überlebensfähigkeit als Firma sichern, ähnlich dem Airbag im Auto Eine Person für die Umsetzung und Überprüfung definieren Externe Speicherung des Backups sicherstellen

Automatisierter, schreibgeschützter Backup-Prozess inkl. Verschlüsselung Wenn obiges nicht möglich: Backup-Medium vom Netzwerk trennen und offline lagern

Massnahme Nr. 2 - Umfassender und aktueller Schutz vor Schadsoftware Dies ist Ihre erste Verteidigungslinie, wie eine sichere Haustüre Sensibilisierung und Schulung von Mitarbeitern im Umgang mit Emails, Webseiten, Passwörtern etc.

Umfassender, flächendeckender Malwareschutz von Endgeräten, Servern, Cloud- und E-Mail Services Makroausführung einschränken; Internet- und Spamfilter installieren

Massnahme Nr. 3 - Netzwerke und Fernzugriffe absichern

Ihre Verteidigungsabschnitte für eine selektive Unterbindung nicht-autorisierter Zugriffe Schulung der Mitarbeiter und Lieferanten für Fernzugriff

Netzwerke mittels Firewall in Zonen aufteilen, damit wichtige Geschäftsbereiche voneinander abgeschottet sind Fernzugriff mittels 2-Faktoren Authentifizierung zusätzlich absichern (z.B. SMS Code)

Massnahme Nr. 4 - Hardware und Software aktuell halten Ihre Garantie für eine sichere, funktionierende IT

Eine Person definieren, die für die Verwaltung und periodische Überprüfung der Lizenzen / Updates verantwortlich ist Gemäss Risikobeurteilung veraltete Systeme ablösen und bestehende physisch schützen (z.B. Zutritt zum Server)

Nur aktuelle Betriebssysteme und Applikationen einsetzen Alte Systeme vom Netzwerk isolieren

Massnahme Nr. 5 - Mitarbeiter und deren Rollen

Ihr Selbstschutz mittels Einschränkung auf das Notwendige In einem Rollenkonzept definieren, welche Rechte pro Mitarbeiter notwendig sind Zugriffsrechte der Geschäftsleitung ebenfalls prüfen und einschränken

Passwortregeln für Mitarbeitende erstellen Definierte Rollen mit den Zugriffsrechten koppeln und einschränken

Massnahme Nr. 6 - Notfallprozesse definieren

Ihre Absicherung in der Not mittels klar definiertem Plan anstelle von Improvisation Notfall-Organisation bestimmen, Prozesse definieren und alle Mitarbeiter informieren Rollen und Abläufe regelmässig überprüfen und Datenrückführung testen

Unabhängige Technologie nutzen, um auch im Notfall auf die Dokumente zugreifen zu können (z.B. Notfall-Zettel, Ordner, Cloud oder Mobile Lösung)

Weitere Informationen finden Sie auf scd-dna.ch

Zusammenarbeit mit ethischen Hackern Cyberattacken sind eines der grössten Unternehmensrisiken. Durch Schwachstellen in Ihren IT-Systemen können hohe finanzielle Verluste, existenzbedrohende Ausfälle und Reputationsschäden entstehen. Mit einem Bug Bounty Programm können Sie sich proaktiv gegen solche Risiken schützen. Durch die Zusammenarbeit mit ethischen Hackern stellen Sie sicher, dass Sicherheitslücken schnell, kosteneffizient und effektiv gefunden und nachhaltig behoben werden.

Wie sicher sind Ihre IT-Systeme?

Erhalten Sie jetzt eine realistische Risikoeinschätzung und bringen Sie Ihre Informationssicherheit aufs nächste Level.

Ihr Nutzen

Aufdecken kritischer und komplexer Sicherheitslücken Schritt-für-Schritt-Anleitung zur Reproduktion

Kollektive Intelligenz einer globalen Gemeinschaft ethischer Hacker Sehr hoher ROI - zahlen Sie nur für die Ergebnisse

Start innerhalb von 24 Stunden - einfach, schnell und sicher

Etablierung einer mutigen und agilen Unternehmens- und Lernkultur

Vereinbaren Sie jetzt ein unverbindliches Beratungsgespräch. Unser Team von Experten steht Ihnen gerne zu Vefügung schnell und unkompliziert.

Zusammenarbeit mit ethischen Hackern Bug Bounty Switzerland GmbH +41 79 7013 43 41 www.bugbounty.ch Morgartenstrasse CH-6003 Luzern linkedin.com/company/bugbounty-switzerland/ www.bugbounty.ch

Morgartenstrasse 3 CH-6003 Luzern

hello@bugbounty.ch

@bugbounty_ch

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

4 AI UND CYBERATTACKEN

FOKUS.SWISS

Phishingmails mit KI: Angriff oder Verteidigung? Die Coronapandemie hat nicht nur gesundheitliche Gefahren hervorgebracht, sondern auch Bedrohungen in Bezug auf Wirtschaft, Infrastruktur und Netzwerke. Beispielsweise erlebten Spammails einen Boom, in der Hoffnung, über unachtsame Mitarbeitende in das System eines Unternehmens eindringen zu können. Kann die Künstliche Intelligenz hierfür Abhilfe schaffen oder ist sie Teil des Problems?

oogle rapportierte 2020, dass jeden Tag mehr als 100 Millionen Phishingmails auf Gmail blockiert wurden. Laut dem Unternehmen fangen ihre Services über 99 Prozent aller Malware, Spam und Phishing ab – dank Machine Learning. Über Google hinaus werden Cyberangriffe ein immer grösseres Problem. Denn die Digitalisierung schreitet konstant voran und durch Covid-19 scheint die Gefahr durch den gesteigerten Datenaustausch infolge von Homeoffice erhöht. Tatsächlich schreibt Deloitte im «Cyber Security Report 2021», dass 34 Prozent der befragten Personen aus dem deutschen Wirtschaftsraum der Cyber Security in Zeiten von Corona eine höhere Bedeutung zumessen. Sind also Anwendungen der Künstlichen Intelligenz (KI) notwendig, um die Risiken zu minimieren? Der Unterschied zwischen KI und dem Menschen Die KI ist mittlerweile fähig, E-Mails zu schreiben und zu versenden, die durchaus menschengemacht daherkommen und die Lücke schliesst sich weiter. Der Hauptunterschied zwischen Algorithmus und Mensch liegt also woanders. Die Information Security Officer Patricia Egger erklärt, dass vor allem der Umfang ein anderer ist: «Eine automatisierte Attacke kann wesentlich mehr Menschen erreichen als eine, die menschliches Eingreifen erfordert. Benötigt der Angriff lediglich einen Klick von einer Person und ist er nicht auf ein bestimmtes Individuum ausgerichtet, so ist dies natürlich effizienter.»

Auf der Seite der Verteidigung wird, wie das Beispiel von Google zeigt, ebenfalls auf KI-Anwendungen zurückgegriffen. Dennoch möchte man im Allgemeinen stets noch auf einen Menschen zählen, der das Ergebnis einer automatischen Erkennung validiert. «Ein Angriff ist immer einfacher als die Verteidigung», erläutert Egger. KI und bösartige E-Mails Die beunruhigende Wahrheit ist, dass KI für effiziente Angriffsversuche nicht vonnöten ist. «Sie wären überrascht, wie erfolgreich auch einfach zu erkennende Phishingmails sind», warnt Egger. Trotzdem hat sich eine perfidere Art des Angriffs entwickelt: die Spear-Phishingmail. Statt metaphorisch ein grosses Netz auszuwerfen und auf viele gefangene Fische zu hoffen, wird, wie beim Speerfischen, auf spezifische Beute abgezielt. Über Social Engineering gewinnen die Angreifenden das Vertrauen der Zielpersonen und bringen sie mit ihren Tricks dazu, vertrauliche Informationen preiszugeben oder auch beispielsweise auf einen Link zu klicken und eine bestimmte Seite aufzurufen. Hier sieht Egger ein mögliches Einsatzfeld von KI, denn Spear-Phishing «erfordert einen personalisierten und raffinierten Angriffsversuch». Readymade Malware Um selbst einen Angriff zu starten, braucht es nicht einmal tiefgreifende Kenntnisse. Online sind unzählige Angebote von «Malware as a Service» zu finden. Diese sind grundsätzlich alle verfügbar.

Dennoch heisst das nicht, dass man ohne Weiteres mit diesen Dienstleistungen zum schnellen Geld durch Hacking kommt. Auch Egger ist von dieser Art des Erfolgs innert Kürze nicht sehr beunruhigt: «Die Frage ist immer, welchen Grad an Raffinesse die Ziele der Angreifenden verlangen.» Um eine gute Sicherheitskultur eines Unternehmens zu umgehen, braucht es noch stets einiges an Erfahrung. Homeoffice als Gefahrenquelle? Obwohl die Verlagerung in die Telearbeit den Datenaustausch erhöht hat, müssen die Cyberrisiken nicht unbedingt gesteigert sein. «Wenn die Endpunkte zu Hause genauso gut geschützt sind wie im Büro, bleibt das Risiko auf einem ähnlichen Niveau», meint Egger. Schliesslich sollte die Verlagerung an sich keinen grossen Einfluss darauf haben, ob die Mitarbeitenden auf verdächtige E-Mails klicken. Wichtig ist demnach, dass man sich der Risiken bewusst ist und befähigt wird, solche Attacken zu erkennen. Tatsächlich wurde in der Deloitte-Studie festgehalten, dass 82 Prozent der befragten deutschen Unternehmen in erneute Schulungen der Belegschaft oder Sicherheitssoftware investiert haben. Die Mehrheit der Personen aus Wirtschaft und Politik konstatiert dem Verhalten der Mitarbeitenden allerdings kein gesteigertes Risiko. Der menschliche Faktor KI kann grundsätzlich überall dort zur Verteidigung eingesetzt werden, wo viele Daten vorhanden sind.

«Hier kann man von Algorithmen profitieren, da sie Muster von aussergewöhnlichen Aktivitäten besser als Menschen erkennen», weiss die Expertin. Allerdings gibt sie zu bedenken, dass auch KI-Anwendungen immer ausgetrickst werden können: «In einigen Fällen kann man beispielsweise über längere Zeit die Auffassung der KI darüber verändern, was sie als ‹normal› empfindet.» Bezogen auf Phishingmails ist der Mensch zwar ein Risikofaktor, in erster Linie aber dennoch die Verteidigung. Denn die Algorithmen sind nur so gut, wie die eingespeisten und verfügbaren Daten. Die erste Lösung: Awareness In der Cyber Security verhält es sich wie bei vielen Bereichen, in denen der Mensch involviert ist: Awareness is key. Je besser die Sicherheitspraktiken der Mitarbeitenden sitzen, desto schwieriger ist es, einen erfolgreichen Angriff durchzuführen. Die Gefahr, die von Social Engineering ausgeht, schätzt Egger in der Schweiz als hoch ein, «obwohl vermutlich nicht viel höher als in anderen Ländern». Die Mitarbeitenden sollten also wissen, welche Möglichkeiten den Kriminellen zur Verfügung stehen und wie diese eingesetzt werden. Und dies geht über einzelne Unternehmen hinaus. «Wenn wir das Risiko reduzieren wollen, müssen wir die allgemeine Bevölkerung besser darüber informieren, wie man Angriffe erkennt. Ein guter Ansatz wäre, dies bereits in der Schule aufzugreifen», resümiert Egger. Text Kevin Meier

BRANDREPORT • G DATA CYBERDEFENSE AG

KMU unterschätzen Cybergefahren

nzureichende Sicherheitsvorkehrungen in der IT begünstigen Angriffe von Cyberkriminellen auf KMU. Ein Lösungsansatz kann der Support durch IT-Dienstleister sein. Viele KMU konzentrieren sich auf ihr Hauptgeschäft. Aus Mangel an notwendigem Know-how lassen sie jedoch oft die Basis-IT-Sicherheit ausser Acht. Hinzu kommen zusätzliche Schwierigkeiten: Es fehlt an zeitlichen, finanziellen und personellen Ressourcen, um weitreichende Massnahmen zu realisieren. Das zeigt die Umfrage «Wie sind KMU im Bereich IT-Sicherheit aufgestellt?» von G Data CyberDefense. Hier ist ein Umdenken erforderlich, denn ein Investment in die IT-Sicherheit zahlt sich schon nach einer vermiedenen Attacke aus. Die Wichtigkeit von IT-Sicherheitsmassnahmen Die aktuelle Bedrohungslage ist besorgniserregend. Die Zahl der verhinderten Angriffe auf Unternehmen ist weiterhin hoch, so der G Data Bedrohungsreport für das erste Halbjahr 2021. Hinzu kommt: Für Cyberkriminelle gilt das Motto «klein und schnell zu haben». Nicht nur mittlere Unternehmen erzielen beträchtliche Gewinne, sondern auch mehrere kleinere Firmen, die Angreifenden ein leichtes Opfer bieten. Das liegt daran, dass KMU im Vergleich zu grossen Unternehmen häufig nicht so gut geschützt sind. Ist etwa

in einem Unternehmen die Sicherheitssoftware nicht aktiv, werden unübliche Aktivitäten auf dem Computer weniger rasch festgestellt und Malware kann sich unerkannt verbreiten. Beunruhigend ist auch, dass sich mehr als jede dritte von vier befragten Firmen nur mässig oder kaum durch Cyberattacken bedroht fühlen. Dabei gehören sie genauso zu den Angriffszielen von Verbrechenden wie Grossunternehmen.

Erfolgreiche Attacken auf KMU gefährden oft deren Existenz. Insofern sind IT-Sicherheitsmassnahmen keine Nebensache, sondern die Grundlage für ein auf Dauer erfolgreiches Unternehmen – unabhängig von der Grösse. Zu mehr Sicherheit mit IT-Dienstleistern Für KMU ist es in puncto IT-Sicherheit ratsam, externe Verstärkung von Systemhäusern oder

G Data CyberDefense sorgt vom Unternehmenssitz in Bochum aus mit 470 Mitarbeitenden für sichere Computer und Netzwerke.

Dienstleistern zu holen. Diese Expert:innen können die Grundmassnahmen der IT-Sicherheit rasch realisieren und stehen mit Rat beiseite, da in jeder Firma eine einzigartige Netzwerkstruktur vorhanden ist. Bei der Wahl des geeigneten Dienstleisters sollte jedoch auf die Qualität im Sicherheitsbereich geachtet werden. Das Bewusstsein für Cyberrisiken sowie das Wissen um die individuellen Schutzbedürfnisse sind die Grundvoraussetzungen für eine gelungene Umsetzung von Sicherheitsmassnahmen in KMU.

G Data 365 Essentials ist eine Managed Security Software für KMU – ein smarter Lösungsansatz für mehr IT-Sicherheit. Die Software bietet umfassenden Schutz vor Cybergefahren und wird von IT-Expert:innen kontinuierlich betreut und gepflegt. Somit wird unmittelbar erkannt, wenn etwas im Unternehmen nicht so eingerichtet ist oder funktioniert, wie es sollte. KMU können sich voll und ganz auf ihr Kerngeschäft konzentrieren.

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

CYBER-DEFENCE CAMPUS • BRANDREPORT 5

Der Schlüssel für eine effektive Cyber Defence liegt im Teamwork Die Gewährleistung von Sicherheit im virtuellen Raum ist ein gewaltiges Handlungsfeld. Aus diesem Grund vernetzt der Bund die wichtigsten Akteure im Bereich Cyber-Security im Rahmen des «Cyber-Defence Campus». Und mit dem «Fellowship Programm» werden nun auch Sicherheitsinnovationen aus den Hochschulen gezielt gefördert. Eine Win-win-Situation.

Dr. Vincent Lenders

Leiter Cyber-Defence Campus bei armasuisse

Dr. Vincent Lenders, Ihnen obliegt im Bundesamt für Rüstung armasuisse die Verantwortung für den «Cyber-Defence Campus». Worum handelt es sich dabei genau? Der Campus wurde aus der Erkenntnis heraus ins Leben gerufen, dass Cyber Defence nicht von einem einzigen Akteur im Alleingang erbracht werden kann. Vielmehr handelt es sich um eine Verbundsaufgabe, welche die Behörden gemeinsam mit Unternehmen sowie technischen Innovatoren vorantreiben müssen. Zu diesem Zweck fördern wir die Kooperation zwischen Bund, Hochschulen, Wirtschaft und Kantonen. Der Cyber-Defence Campus spielt dabei eine zentrale Rolle als nationale Drehscheibe und Kompetenznetzwerk: Er verbindet die relevanten Akteure und Organisationen der Schweiz miteinander und schafft dadurch einen Mehrwert für alle Beteiligten.

Wir betreiben drei Standorte und nutzen dafür Räumlichkeiten der ETH in Zürich, der EPFL in Lausanne sowie jene der armasuisse Wissenschaft und Technologie in Thun. Man darf sich den Cyber-Defence Campus aber nicht als klassischen Uni-Campus vorstellen, vielmehr betreiben wir die Standorte als «Open Labs», in denen gemeinsame Projekte, Anlässe und Treffen durchgeführt werden. Wir vertiefen die kollaborative Zusammenarbeit mit verschiedenen Anlässen wie etwa Hackathons und Startup Challenges und bringen die Community im Rahmen gemeinsamer Projekte zusammen. Eine wesentliche Aufgabe des Campus besteht in der Gewinnung und Förderung von jungen Talenten. Warum ist das so wichtig? Weil wir schon heute in den Cyber Defence-relevanten, technischen Disziplinen einen Fachkräftemangel feststellen. Dieser wird sich in den kommenden Jahren eher zuspitzen, weswegen wir die Förderung neuer Talente dringend voranbringen müssen. Zu diesem Zweck bieten wir verschiedene Programme für Studentinnen und Studenten. Diese erhalten im Rahmen unseres Angebots eine zusätzliche Ausbildung. Erwähnenswert ist in diesem Zusammenhang unser «Fellowship Programm».

Worum handelt es sich dabei? Das Fellowship Programm steht Studierenden der technischen Hochschulen und Universitäten der Schweiz offen. Diese können bei uns Anträge für ihre Projekte einreichen. Die Voraussetzung für einen positiven Entscheid: Projekte müssen im Zusammenhang mit Cyber Defence stehen und diesbezüglich über gewisse Relevanz verfügen. Wir prüfen diese Anträge und erbringen – falls wir bei einem Projekt Potenzial feststellen – finanzielle Unterstützung. Je nach Studiengang der Antragsstellenden kann das Fellowship Programm unterschiedlich aussehen: Wer zum Beispiel ein Projekt im Rahmen einer Master-Arbeit umsetzt, wird sechs Monate lang durch uns unterstützt. Bei einer Doktorarbeit verlängert sich der Zeithorizont auf vier Jahre, bei einem Postdoc auf zwei. Welches sind die wesentlichen Vorteile für die Teilnehmenden des Fellowship Programms? Sie profitieren vor allem von der Tatsache, dass sie an ebenso interessanten wie relevanten Projekten mitwirken und dabei auf finanziellen Support zählen können. Darüber hinaus besteht das Ziel der Zusammenarbeit natürlich darin, dass die Teilnehmerinnen und Teilnehmer während dieser Zeit Kontakte knüpfen und

Worin besteht das langfristige Ziel des Cyber-Defence Campus? Wir sind der Ansicht, dass die neuen interdisziplinären Zusammenarbeitsmodelle, die der Campus im Laufe der letzten beiden Jahre bereits etablieren konnte, eine tragfähige Basis für die Bewältigung der komplexen künftigen Herausforderungen im Cyberbereich bieten. Darauf bauen wir sukzessive auf.

sich neue Anschlusspunkte erarbeiten können. Dadurch kommen sie in ihrem beruflichen Ökosystem weiter. Und zu guter Letzt kann es sehr sinnstiftend sein, mit einer eigenen Idee zu einer besseren Cyber-Sicherheit der Schweiz beizutragen. Doch nicht nur die Studierenden ziehen einen Nutzen aus dem Fellowship Programm, sondern auch die Verwaltung und Industrie. Inwiefern? Die Absolventinnen und Absolventen eignen sich während ihrer Zeit bei uns ein einzigartiges Fachwissen an, das in der Industrie sehr gefragt ist. Jede Teilnehmerin und jeder Teilnehmer erhält, nebst der Begleitung durch eine Professorin oder einen Professor der jeweiligen Hochschule, eine Betreuungsperson von armasuisse zur Seite gestellt, die sie mit Rat und Tat unterstützt. Dank dieser engen Begleitung können Projektresultate sehr effizient in laufende Vorhaben der Verwaltung transferiert werden. Sie sehen: Das Fellowship Programm bietet für alle Beteiligten eine hervorragende Gelegenheit, sich neue Expertise zu erarbeiten – und nachhaltig davon zu profitieren. Wie viele Studierende können konkret vom Cyber-Defence Campus profitieren? Jedes Jahr können wir bis zu 25 Studierende betreuen. Diese Anzahl können wir parallel einbetten und gut begleiten. Aktuell führen wir insgesamt 30 Forschungsprojekte, an denen circa 20 Studierende von mehr als 10 unterschiedlichen Hochschulen beteiligt sind. Weitere Informationen unter https://cydcampus.ch Über armasuisse Die armasuisse ist das Kompetenzzentrum für Beschaffung, Technologie sowie Immobilien und gehört zum Departement VBS. Vorsteher ist Rüstungschef Martin Sonderegger.

Wie vernetzt der Cyber-Defence Campus konkret die verschiedenen relevanten Akteure miteinander?

DIGIVOLUTION • BRANDREPORT

Die digitale Mutation sicher meistern Der Cyberraum ist Realität und die digitale Mutation der Gesellschaft ist unaufhaltsam in vollem Gange. Wie ein Segler, der den Kräften und Launen des Windes ausgesetzt ist, müssen wir lernen, diese komplexe und dynamische Dimension zu beherrschen. Die Sicherheit sowie der Erfolg unserer Gesellschaft und unseres Landes hängen davon ab.

ichts zu tun ist keine Option, da wir bereits jetzt den bekannten Risiken hinterherrennen. Das Bitkom in Deutschland rechnet bereits mit Verlusten von 6,6 Prozent des BIP durch böswillige Angriffe und Kriminalität im Cyberspace. Die Zahl solcher Vorfälle nimmt rasant zu, und für ein Unternehmen kann dies immense, nicht tragbare Kosten, einen zerstörten Ruf und nicht selten auch Konkurs bedeuten. Risiken und Chancen rechtzeitig erkennen Chancen, Cyberattacken zu vermeiden oder abzuwehren, werden verpasst, weil man nicht genug über Trends, Akteure und das gesamte Ökosystem weiss. Auf strategischer Entscheidungsebene – sei es im Unternehmen, in der Gemeinde, im Kanton oder beim Bund – ist es wichtiger denn je, Risiken rechtzeitig zu erkennen, diese zu vermeiden oder zumindest ihre Folgen zu reduzieren und Chancen nicht zu verpassen. Cybersicherheit ist wie die Gesundheit abhängig von einfacher persönlicher Hygiene bis hin zur Verteidigung des Landes. Wir müssen alle Variablen – und dies geht weit über Technologie und böswillige Aktivitäten hinaus – verstehen, welche die Gleichung ausmachen und alles Notwendige tun, damit uns die Cybersicherheit nicht verloren geht. Jeder Akteur, vom Staat über den Einzelnen bis hin zum Unternehmen, ist ein wichtiges Element in dieser Gleichung. Der Bund ist unterdessen relativ gut ausgestattet, aber viele Kantone, die Mehrheit der Gemeinden, Unternehmen und Bürger:innen sind es nicht. digiVolution und die «Architekten der Zukunft» Um mitzuhelfen, die Sicherheit der digitalen Gesellschaft in Mutation sicherzustellen, wurde die Stiftung digiVolution gegründet. Mit strategischer Tiefe, Engagement, Expertenwissen und Pragmatismus möchte sie «Architekt der Zukunft» sein, die «CyberHelpLine» der Entscheidungsträger werden, die mit den Herausforderungen des digitalen Wandels konfrontiert sind. Dazu mobilisiert sie

die kollektive Intelligenz über soziale, generationsübergreifende und politische Grenzen hinweg. digiVolution hat es sich zur Aufgabe gemacht, alle Bereiche zu identifizieren, die bei der digitalen Mutation eine Rolle spielen oder davon betroffen sind. Die Stiftung will diese Entwicklung besser verstehen, damit Probleme und unerwünschte Folgen vorhersehen, sie vermeiden oder zumindest ihre

Auswirkungen verringern. Dies erfordert einen ganzheitlichen, systemischen Ansatz, um die Herausforderungen langfristig im Verbund zu meistern. Obwohl erst sechs Monate alt, hat digiVolution Zugriff auf jahrzehntelange Erfahrung und Fachwissen, das sie nun bedarfsgerecht zusammenführt. Die Stiftung möchte dazu beitragen, dass die Schweiz führend in der digitalen Mutation wird – eine Nation,

die möglichst sicher und verantwortungsbewusst ist, in der Technologie klug und zum Guten eingesetzt wird und die dabei die Ressourcen unseres Planeten respektiert. Die Schweiz ist ein fantastisches Land mit erstklassigen Universitäten, einer Industrie voller Innovationen, vielen Ideen, aber keinem gemeinsamen Ziel und siloartigem, vertikalem und unvollständigem Wissen über die digitale Mutation, das überdies keine rechtzeitigen Entscheidungen zulässt. digiVolution will vor allem die Fragen beantworten, welche Interessen geschützt werden müssen und wie jeder Einzelne, jedes Unternehmen oder jede Organisation kompetent gemacht werden kann, um die Herausforderungen des digitalen Wandels heute und morgen vertauensvoll zu bewältigen. digiVolution richtet dazu eine Beobachtungsstelle ein, die alle relevanten Themen erfasst. Dieses Wissen wird den Schweizerinnen und Schweizern schrittweise – aber rasch – zur Verfügung gestellt, teils kostenlos, teils über ein bescheidenes Abonnement, das darauf abzielt, Personen und Organisationen zu Akteuren der kollektiven Sicherheit zu machen. digiVolution will die Mittel zur Verwirklichung dieser Vision mit all jenen zusammenführen, die bereits eine bemerkenswerte Arbeit leisten, aber oft noch isoliert sind; und das sind viele. digiVolution setzt sich als Schweizer Stiftung für die ganze Schweiz ein und ist dabei, sich an den Standorten Bern, Zug und LausannePrilly einzurichten. www.digivolution.swiss info@digivolution.swiss CHE-260.632.564 Telefon 0800 04 22 20

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

6 BRANDREPORT • BOLL ENGINEERING AG

#FOKUSSICHERHEIT

Privilegierte Zugriffe perfekt geschützt Privileged-Access-Management-Lösungen (PAM) überwachen sämtliche Nutzeraktivitäten und verwalten den Zugang von Personen mit privilegierten Rechten auf die IT-Infrastruktur. Damit erhöht sich die Sicherheit im Netzwerk massiv. Fudo PAM ist eine schnell implementierbare, umfassende PAM-Plattform, die Standards setzt.

rivilegierte Anwender – sowohl eigene Mitarbeitende als auch externe Partner – haben Zugriff auf unternehmenskritische Ressourcen. In manchen Unternehmen werden die Konten solcher Nutzer nicht zentral verwaltet, Fernzugriffe nur ungenügend überwacht und womöglich sogar Benutzerkonten von mehreren Personen parallel genutzt. Dies wiegt umso schwerer, als es oftmals Monate oder sogar Jahre dauert, bis ein Missbrauch privilegierter Zugriffsrechte entdeckt wird.

PAM schützt vor Angriffen aus dem privilegierten Bereich Mit Privileged-Access-Management-Lösungen (PAM) können Unternehmen diesen Problemen begegnen. PAM überwacht sämtliche Zugriffe, zeichnet die User Sessions auf und unterstützt Sicherheit und Compliance durch stringentes Management privilegierter Benutzerkonten und deren Passwörter. Die derzeit wohl fortschrittlichste PAM-Lösung auf dem Markt heisst Fudo PAM und stammt vom ganz auf PAM spezialisierten Hersteller Fudo Security. Mithilfe von Machine Learning ist Fudo PAM in der Lage, das Verhalten der Nutzer zu analysieren und Verdächtiges in Echtzeit zu erkennen. Zusammen mit proaktivem Monitoring anhand von Musterabgleich, flexiblen Policies und automatisierten Aktionen ergibt sich ein bisher unerreichtes Niveau an Sicherheit.

Administratoren mitverfolgt und begleitet werden. Damit entfallen unsichere Desktop-Sharing-Tools. Die proaktive Überwachungsfunktion erkennt Aktivitätsmuster und kann unerwünschte Sitzungen automatisch anhalten oder beenden, den Nutzer blockieren und den Systemadministrator warnen.

Der Secret Manager von Fudo PAM generiert Passwörter mit anpassbarer Komplexität, speichert sie sicher und hält dabei Compliance-Vorgaben wie Passwortlänge und Passwortrotation ein. Ein zusätzlicher Application-to-Application-Passwortmanager deckt die direkten Verbindungen zwischen Anwendungen ab.

Bei der Aufzeichnung setzt Fudo PAM auf die Rohdaten, wobei alle gängigen Protokolle von SSH über RDP bis HTTPS unterstützt werden. Dies benötigt, im Vergleich zu der bei anderen PAM-Lösungen üblichen Videoaufzeichnung, markant weniger Speicherplatz und erlaubt es, den Session-Verlauf exakt nachzuvollziehen und vollständig zu durchsuchen.

Die KI-basierte Anomalie-Erkennung erlaubt, dass Fudo PAM selbst kleinste Veränderungen im Nutzerverhalten während laufender SSH- und RDP-Verbindungen erkennt. Sobald verdächtige Ereignisse auftreten, benachrichtigt Fudo PAM den Systemadministrator. Beispiele sind etwa eine unerwartete Zunahme von Verbindungen oder Sessions, die länger als üblich dauern.

Eine weitere nützliche Funktion: Der Efficiency Analyzer misst die Produktivität der externen Dienstleister. Damit lässt sich das Aktivitätsniveau während der Dauer einer Session ermitteln. Schnell implementiert, flexibel betrieben Die PAM-Lösung von Fudo Security wird in Form einer All-in-one-Appliance (Hardware oder virtuell) implementiert und lässt sich innerhalb eines Arbeitstages installieren und aufsetzen. Fudo PAM arbeitet agentenlos: Weder auf den zu überwachenden Systemen noch aufseiten des Anwenders muss eine zusätzliche Software installiert werden. Die Appliances werden zwischen den Nutzern und dem Unternehmensnetzwerk eingebunden und lassen sich individuell in vier Betriebsvarianten implementieren. So passt sich Fudo PAM dem Unternehmen an – und nicht umgekehrt. Fudo PAM: Die Highlights

• Agentenlose, appliancebasierte All-in-onePAM-Lösung der nächsten Generation

• Umfassender Schutz

für alle privilegierten Zugriffe

• Effiziente, sichere und compliancekonforme Passwortverwaltung

• Erhöhte Sicherheit durch Substitution von Benutzerkonten

• Proaktives Session Monitoring und Session Collaboration

• Platzsparende Session-Aufzeichnung

Drei Hauptfunktionen Fudo PAM bietet ausgereiftes Session Monitoring: Die User-Sessions werden in Echtzeit aufgezeichnet, bis hin zu einzelnen Tastaturanschlägen und Mausklicks – nützlich zur internen Dokumentation, für Schulungen und bei Gerichtsfällen. Per Live-Streaming beziehungsweise Session Collaboration können die Sitzungen gleichzeitig von

anhand von Rohdaten

• Rasch implementiert, schnell amortisiert BOLL Engineering AG Jurastrasse 58, 5430 Wettingen Tel. 056 437 60 60, info@boll.ch, www.boll.ch

BRANDREPORT • ALLIANZ SUISSE VERSICHERUNGS-GESELLSCHAFT AG

Social Engineering – wenn der Mensch zur Schwachstelle wird Durch die zunehmende Vernetzung der Wirtschaft sind Unternehmen vermehrt anfällig für Cyberattacken. Die Methoden der Cyberkriminellen werden dabei immer perfider und zielen verstärkt auf das Vertrauen von Mitarbeitenden – Stichwort Social Engineering. Mit der neuen Cyber-CrimeZusatzdeckung der Allianz Suisse können sich KMU gegen Risiken, die in Zusammenhang mit Identitätsmissbrauch stehen, absichern.

ie Welt wird immer vernetzter: Bis zum Jahr 2020 wurden 50 Milliarden Geräte mit dem «Internet of Things» vernetzt. Vom Kühlschrank über Radio und Fernsehen bis hin zum Auto. Das sind riesige Chancen. Wo Chancen sind, sind jedoch meistens auch Risiken nicht weit. Cyberattacken, Datendiebstähle, Datenbetrug und Systemausfälle sind nur einige Beispiele für reale Bedrohungen durch die Digitalisierung, von denen Unternehmen und Privatpersonen immer stärker betroffen sind. So betragen die Kosten für Schäden, die weltweit durch Cyberattacken entstehen, nach Schätzungen von Experten bereits mehr als 500 Milliarden Dollar. Offenbar ein lukratives Geschäft für die Internetkriminellen, deren Methoden immer perfider werden. Unternehmen fokussieren sich meistens auf den Schutz vor spezifischen Hacker-Angriffen, die auf das Firmennetzwerk zielen wie etwa Viren, Trojaner oder DDOSAttacken. Eine Schwachstelle, die als Einfallstor häufig unterschätzt wird: Social Engineering, das von den Kriminellen überall dort eingesetzt wird, wo Menschen beeinflusst werden können. Ein begehrtes Ziel sind Mitarbeitende von Unternehmen, die gezielt getäuscht, manipuliert oder beeinflusst werden, um Zugriff auf sensible Daten oder sogar das gesamte IT-System zu erhalten. Neue Methoden, immense Schäden Die Social-Engineering-Attacken haben so wohlklingende Namen wie CEO Fraud, Payment Diversion Fraud oder Fake Identity Fraud. Das tönt auf den ersten Blick fast harmlos, kann aber teure finanzielle Folgen für das Unternehmen haben, wie diese realen Beispiele zeigen: • CEO Fraud: Erst im Frühling hat der Fall einer Thurgauer Firma Schlagzeilen gemacht. Ein unbekannter Täter gab sich per Mail als Geschäftsführer

aus und forderte eine Sekretärin auf, einen Geldbetrag auf ein ausländisches Konto zu überweisen. Die Mitarbeiterin kam der täuschend echten Aufforderung nach und überwies rund 80 000 Euro für den Kauf von Maschinen. Anschliessend stellte sich heraus, dass es sich um ein gefälschtes Mail handelte und sie einem falschen CEO auf den Leim gegangen war. • Umleitung von Zahlungsströmen: Cyberkriminelle geben – nachdem sie sich in die Server gehackt haben – als Geschäftspartner oder Lieferant eines Unternehmens aus. Mit einem gefälschten Schreiben teilen sie dem Unternehmen mit, dass sich die bisher vereinbarte Bankverbindung geändert hat und der Zahlungsverkehr nun über die

neue Bankverbindung erfolgen soll. Die Kontaktnummer im Mail wurde natürlich gefälscht und ein Anruf landet direkt bei den Betrügern, sollte ein Mitarbeiter der Buchhaltung argwöhnisch werden. Das überwiesene Geld oder die Waren sind dann schnell auf Nimmerwiedersehen verschwunden. • Falsche Identität: Bei einer mittelständischen Firma meldet sich ein Einkaufsleiter eines renommierten Unternehmens aus dem Ausland, der Ware beziehen möchte. Die Firma verschickt ein entsprechendes Angebot, auf das der vermeintliche Interessent eingeht und eine Zahlung per Rechnung vereinbart. Die bestellte Ware wird am vereinbarten Ort im Ausland fristgerecht abgeladen – auf die

Zahlung wartet die Firma aber vergeblich. Es stellt sich heraus, dass die Mails gefälscht waren, das ausländische Unternehmen wusste nichts von einer Warenbestellung. Die Ware war weg, der Schaden blieb. Gezielter Schutz vor Identitätsbetrug «Social Engineering ist eine perfide, aber aus Sicht der Angreifenden sehr erfolgreiche Methode, um die IT-Sicherheitsstandards eines Unternehmens auszuhebeln und sensible Informationen zu stehlen», skizziert Gregor Huber, Leiter Unternehmensversicherungen der Allianz Suisse, das Gefahrenpotenzial. «Unternehmen können nicht auf die gängigen Abwehrmechanismen von Anti-Viren-Programmen oder Software setzen, um derartige Attacken abwehren zu können, denn die Hacker machen sich vor allem eines zunutze – die menschliche Schwäche.» Umso wichtiger ist es also, sich gegen die neuen Risiken zu schützen. Mit der Cyber-Risk-Versicherung hat die Allianz Suisse eine der führenden Versicherungslösungen im Markt. Diese ist speziell auf die Bedürfnisse von kleinen und mittleren Unternehmen (KMU) zugeschnitten. Die Deckung umfasst unter anderem die Bausteine Haftpflichtversicherung gegen Ansprüche von Dritten, Eigenschäden, Betriebsunterbrechung und Rechtsschutz. Und neu auch die Zusatzdeckung «Cyber Crime und Social Engineering», welche Schäden durch Betrug gefälschter Anweisungen und Rechnungen umfasst. Eine sinnvolle Deckung – denn wer kann sich schon sicher sein, dass ein Mitarbeiter nicht auch einem Betrüger auf den Leim gehen würde?

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

QUALIBROKER AG • BRANDREPORT 7

Virtuelle Verbrechen treffen alle Cyberattacken? Das betrifft nur grosse Unternehmen. Dass genau diese Aussage gefährlich ist, weiss Qualibroker AG nur zu gut.

Urs Thalmann

Geschäftsführer Qualibroker AG

ie der führende Schweizer Versicherungsbroker aus einer PWC-Studie im Jahr 2020 weiss, erlebte gemäss der Umfrage bereits jedes zweite Unternehmen eine Cyberattacke – eine beachtliche Zahl. «Davon sind nicht nur Grossfirmen, sondern ebenfalls kleine und mittlere Unternehmen des Öfteren betroffen», berichtet Urs Thalmann, Geschäftsführer der Qualibroker AG. Oftmals verleitet es KMU zum irrtümlichen Gedanke, dass sie kein offensichtliches Ziel von Hacker-Angriffen seien. Genau das sei jedoch falsch: «Auch kleine und mittlere Unternehmen sind ein gefundenes Fressen für die Verbrecher:innen im Netz und müssen sich dementsprechend schützen», meint Thalmann. KMU aufgepasst Heutzutage haben es Hacker immer leichter. Dank raffinierten Tools sind gezielte Angriffe mit minimaler Aufwendung möglich. Dies hat zur Folge, dass fast jedes Unternehmen für Cyberangriffe interessant ist und niemand vor den digitalen Attacken sicher ist. Knapp 90 Prozent der Angriffe stellen Hackerangriffe auf ITNetzwerke und -Systeme dar. Die Problematik hierbei ist, dass Schadsoftwares oftmals erst nach 197 Tagen entdeckt werden. In dieser Zeitspanne können die Täter:innen einen Cyberangriff detailliert planen, vorbereiten und mit dem grösstmöglichen Schadenpotenzial ausführen. Gerade für KMU ohne KrisenmanagementAbteilung ist es deshalb wichtig, Zugang zu entsprechenden Fachpersonen zu haben, um grössere Schäden zu verhindern. Für solche Fälle steht Qualibroker

AG tatkräftig und hilfsbereit zur Seite und unterstützt die betroffenen Unternehmen mit Expertenwissen. Über die eigene IT-Sicherheit hinausdenken Viren- oder auch Phishingmails sind vielen ein Begriff. Auch Ausdrücke wie Firewall und Virenschutz kennt man bereits. Doch ein blosses Grundverständnis im Thema Cyberattacken zu haben, reicht in der heutigen digitalen Welt nicht mehr aus. Vor allem in Zeiten des Homeoffice und der voranschreitenden Digitalisierung blühen Hacker erst richtig auf und das Risiko von Angriffen im Netz steigt. Dazu führt Thalmann auf: «Ein unzureichender Schutz lässt nur ein reaktives Handeln zu, beziehungsweise, wenn es bereits zu spät ist. Somit reicht es nicht, bloss die eigene IT-Sicherheit den aktuellen Risiken anzupassen. Es ist essenziell, beim Cyberschutz einen ganzheitlichen Ansatz zu verfolgen. Dies zum Beispiel mit einer sogenannten Cyber-Resilienz-Strategie, in der ein passender Versicherungsschutz einen wichtigen Teil einnimmt.» Verheerende Schäden Die Folgen eines Cyberangriffes sind schwerwiegend, weshalb die Absicherung in Form einer

Versicherung mehr als eine Überlegung wert ist. Sinkende Gewinne aufgrund Betriebsunterbrüchen belaufen sich oftmals auf mehrere zehn- bis hunderttausend Franken. Die Aufwendungen für IT-Experten, um die folglich defekte und unvollständige Kundendatenbank wieder herzustellen, sind ebenfalls ein nicht zu unterschätzender Kostenpunkt. Auch die geschädigten und infizierten Systeme müssen aufwendig wiederhergestellt werden. Die Reputation leidet, man verliert langjährige Kundschaft und die Kreditwürdigkeit sinkt immens. Ein Cyberschaden beinhaltet zudem nicht selten Ansprüche Dritter, was zu Abwehrkosten und Entschädigungszahlungen führt. Zur Lösung des Problems Was kann ein Unternehmen ganz einfach tun, um solche Schäden zu verhindern oder zu verringern? Ein wichtiger Punkt ist die Sensibilisierung und Vorbereitung der Mitarbeitenden auf solche Cyberattacken. Dafür müssen Arbeitskräfte realitätsgetreue Szenarien durchlaufen, denn ohne ein gewisses Basiswissen kann man in einer potenziellen Gefahrenlage nicht korrekt handeln. Für die

Einschätzung des Einflusses und der Konsequenzen eines Cyberangriffes ist die Geschäftsführung verantwortlich. Investitionen in die Prävention – allenfalls in Form einer passenden, schadensverringernden Versicherung – sind ein wichtiger Bestandteil eines gelungenen Cyber-Resilienz-Konzeptes. Über den Standard hinaus Qualibroker AG bietet mit der produkteigenen «Cyber-Solution» eine umfassende Versicherungslösung an, um gegen die digitalen Gegner:innen bestens gerüstet zu sein. Dabei begnügt sich der Schweizer Versicherungsbroker nicht bloss mit dem Grundschutz. «Unsere Deckungserweiterungen gehen über den Marktstandard hinaus», wie Thalmann berichtet. Die Hauptdienstleistungen sind in vier Hauptbereiche gegliedert: Versicherungen, Informatik, Rechtsberatung und Kommunikation. Geschäftsführer Thalmann führt weiter aus: «In einem Fall eines Cyberangriffes und auch bevor es zu einem solchen kommt, stehen Experten im Bereich Informatik, Recht und Krisenkommunikation den Versicherten zur Verfügung. Qualibroker AG hat mit den entsprechenden Versicherungen einen Cyber-Rahmenvertrag ausgehandelt, um der Kundschaft den optimalen Schutz zu gewährleisten. Wir geben uns nicht mit dem Nötigsten zufrieden, weshalb wir zusätzliche Services anbieten, welche andere Broker teilweise nicht haben. Ein umfassendes Cyber-Solution-Paket ist bei Qualibroker AG garantiert.» Weitere Informationen unter www.qualibroker.ch/cyber

FUNK INSURANCE BROKERS AG • BRANDREPORT

Funk CyberAware – Cyberfitness für die Mitarbeitenden «Einer klickt immer» – eine erschreckende Aussage der Cyberexperten von Funk nach der Auswertung diverser Phishing-Attacken in Unternehmen. Diese Situation als schicksalhaft hinzunehmen, wäre allerdings fatal. Funk hat darum einfache Lösungen erarbeitet, um Unternehmen auch auf dem Weg der Risikoprävention aktiv zu unterstützen.

Max Keller

Lead Funk RiskLab

ie Erkenntnis, dass erfolgreiche Cyberangriffe ein Unternehmen empfindlich treffen können, ist glücklicherweise in den Verwaltungsratsgremien und in den Geschäftsleitungen der Schweizer Unternehmen angekommen. Cyberrisiken sind zur Chefsache geworden und die Nachfrage nach Beratung hat sich in den letzten 24 Monaten enorm entwickelt.

Nachdem Unternehmen die relevanten Massnahmen zum Datenschutz und zur technischen IT-Sicherheit umgesetzt haben, ist der Prozess allerdings nicht abgeschlossen. Die Sicherstellung von Cybersicherheit im Unternehmen ist ein dynamischer und dauerhafter Prozess, der sich auch in Zukunft auf die individuelle Bedrohungslage und auf die immer raffinierteren Angriffe ausrichten muss. Umgang mit Cyberrestrisiken Selbst hohe Investitionen in die IT-Sicherheit schützen letztlich nicht zu 100 Prozent vor einem erfolgreichen Angriff. Darum ist es zentral, dass sich ein Unternehmen im Rahmen des Risikomanagements konkret mit dem Cyber-Worst-Case auseinandersetzt. Hier unterstützt Funk mit dem Cyber-Risk-Calculator und dem Cyber-Risikodialog. Als Resultat erhalten Unternehmen so wichtige Entscheidungsgrundlagen, ob das unternehmensspezifische finanzielle Risiko selbst getragen werden kann oder ob gegebenenfalls ein Transfer des Risikos in eine Versicherungslösung angezeigt wäre. Zudem kann im Krisenfall gegenüber den Aktionären nachvollziehbar dargelegt werden, dass das komplexe Cyberrisiko sorgfältig bearbeitet wurde. Schliesslich steht bei einem Cyberzwischenfall nicht nur die Reputation des Unternehmens, sondern auch die Reputation der Unternehmensleitung auf dem Spiel.

Das schwächste Glied Zurück zum vorschnellen Klick in der falschen E-Mail. Das schwächste Glied in jedem Cyberabwehrdispositiv ist der Mensch. Das einfachste Einfalltor für Cyberkriminelle ist und bleibt die Unwissenheit, Nachlässigkeit oder Neugier des Anwenders. Der durch die Covid-19-Pandemie befeuerte Trend zum Homeoffice bringt neue Schwachstellen in die IT-Systeme der Unternehmen und erschwert die regelmässige Sensibilisierung der Mitarbeitenden hinsichtlich des ordnungsgemässen Umganges mit Informationen und der modernen Gefahren des Internets. Mit Funk CyberAware können Unternehmen ihre Mitarbeitenden nachhaltig und kontinuierlich auf Informationssicherheitsthemen sensibilisieren. Die Experten von Funk stellen verschiedene Lösungen bereit, die Mitarbeitende für die digitale private und berufliche Welt fit machen und auch fit halten. Von grundlegenden Informationen bezüglich Passwortsicherheit bis hin zur koordinierten Phishing-Angriffssimulation

mit anschliessender Schulung: Funk CyberAware deckt die ganze Bandbreite ab. Für jedes Unternehmen stehen standardisierte Schulungssequenzen breit, deren Administration und Koordination durch Funk sichergestellt wird. Der Wissensstand der Mitarbeitenden kann dabei getrackt und in Reports aufbereitet werden. Damit lassen sich Stärken und Schwächen der Belegschaft ermitteln und im Folgeschritt gezielt angehen – und dies mit minimalem Aufwand seitens des Arbeitgebers. Das Funk CyberAware-Angebot im Überblick Funk CyberAware beinhaltet zwei Angebote: Basic und Attack. Das Basic-Paket besteht aus einer von Funk-Spezialisten modellierten Zusammenstellung von Schulungsinhalten (Best Practice), welche den Mitarbeitenden die notwendigen Grundkenntnisse für ein sicheres digitales Arbeiten vermitteln. Das Attack-Paket kann zusätzlich gebucht werden. Dabei wird ein Phishing-Angriff geplant und

simuliert. Damit lässt sich die Cyberfitness der Mitarbeitenden ideal überprüfen. Alle Pakete enthalten ein strukturiertes Reporting, welches durch das Unternehmen weiterverwendet werden kann. Angebot auch im Jahresabonnement Cyberrisiken sind hochdynamisch und entwickeln sich rasant. Ein Training ist kein Training. Nur wenn die Schulungsinhalte periodisch aktualisiert werden und die Trainings regelmässig erfolgen, kann eine höhere Cyber-Security gewährleistet werden. Darum bietet Funk die Trainingsmodule auch im Abonnement an. Unternehmen delegieren mit diesem Schritt dieses wichtige Projekt an die Spezialisten von Funk. So bleibt mehr Zeit für die Kernkompetenzen und für das Tagesgeschäft. Leistungsstarke Cyberversicherungen bald nur noch mit Cyber-Trainingsnachweis Der internationale Versicherungsmarkt im Bereich der Cyberversicherungen hat sich in den letzten Monaten extrem verändert. Nach Jahren mit sogenannten «Marketing-Tarifen» ohne nachvollziehbare technische Grundlagen weht nun ein ganz anderer Wind. Nicht nur markante Preiserhöhungen sind das Resultat. Bisher aktive Anbieter haben sich ganz aus dem Cyberversicherungsmarkt verabschiedet oder bieten nur noch Teillösungen an. Die verbleibenden Versicherungsunternehmen prüfen Cyberrisiken detaillierter und stellen immer höhere Anforderungen an die Cyberfitness der Kunden. Dabei erwarten sie unter anderem im Minimum jährliche Mitarbeiterschulungen und Trainingsberichte. Funk CyberAware unterstützt Unternehmen somit auch auf dem Weg zum Abschluss oder der Aufrechterhaltung einer leistungsstarken Versicherungslösung. Weitere Informationen: www.funk-gruppe.ch Text Max Keller

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

8 FACHARTIKEL • CYBER SECURITY

FOKUS.SWISS

Cyber Security im loT: unverzichtbar und doch vernachlässigt Für Hersteller und Betreiber von IoT-Anwendungen spielt Security oft eine Nebenrolle. Das kann sich rächen. Ohne Berücksichtigung der Cyber Security wird das IoT-Device zur Einflugschneise für Cyberkriminelle: Die Unternehmensinfrastruktur wird zur Hochrisikozone. Die massive Zunahme von Cyber-Angriffen müsste Hersteller und Betreiber zum Handeln zwingen.

Reto Amstad

Senior Security Consultant CyOne Security AG

as Internet der Dinge (IoT) breitet sich in hohem Tempo in allen Branchen und Märkten aus und das IoT-Netzwerk wird immer dichter – auch im industriellen Umfeld (IIoT). Dadurch dringen IIoT-Anwendungen öfters in kritischere Bereiche unserer digitalen Gesellschaft vor. So werden vernetzte Geräte in Bereichen wie Medizintechnik und kritische Infrastrukturen zur Normalität. Damit steigen die Risiken drastisch und wirken sich durch gefährliche Cyber Incidents massiv negativ auf die Unternehmen und die Wirtschaft aus. Nebst dem Verlust der Vertraulichkeit und Beeinträchtigungen der Verfügbarkeit von Daten können Datenmanipulationen gerade in den Bereichen Medizin, Pharma, Verkehr und kritische Infrastrukturen dramatische Folgen für Leib und Leben bedeuten. Und dennoch: Das Thema Cyber Security wird bei IIoT-Anwendungen heute immer noch bagatellisiert, wenn nicht sogar ignoriert. Cyber-Attacke auf IloT-Devices ist Realität Viele Unternehmen, welche bereits heute IIoT-Anwendungen betreiben, sind ungenügend gegen CyberAngriffe gewappnet. Grosse Risiken stellen dabei die schlecht geschützten IIoT-Geräte selber dar (Sensoren, Aktoren, Gateway). Sie werden neben den klassischen Angriffsvektoren wie E-Mail von Angreifenden immer häufiger als Einfallstor in die Unternehmensinfrastruktur oder als Sprungbrett für eine Kompromittierung anderer Systeme innerhalb von segmentierten Infrastrukturen verwendet. Die dafür verantwortlichen Hauptschwachstellen sind: Der IIoT-Geräteverkehr wird oft unverschlüsselt abgewickelt, IIoT-Geräte sind rund um die Uhr in Betrieb, immer online, schlecht gewartet und zu selten überwacht. Zudem liefern sie, in Kombination mit der Kenntnis zum Einsatzumfeld, Auskunft über die Identität des Benutzers respektive Unternehmens. Cyber-Kriminelle nutzen vorhandene Sicherheitslücken gezielt aus. So können ganze Produktionsketten lahmgelegt, Kundendaten manipuliert, Unternehmen erpresst oder sogar Industriespionage betrieben werden. Schlimmstenfalls sind Menschenleben gefährdet.

Sichere IoT-Konnektivität alleine genügt nicht IoT-Beratungsunternehmen und klassische CyberSecurity-Anbieter konzentrieren sich heute oftmals auf sichere Netzwerkverbindungen ab den Perimetern hin zum Betreiber, zum Cloud-Anbieter oder zum Anwender. Das zu berücksichtigen ist grundsätzlich richtig, macht aber nur einen Teil der notwendigen Massnahmen aus. Um ein IoT-Ökosystem umfassend und «end to end» zu schützen, braucht es zusätzlich sichere IIoT-Devices und Know-how für eine sichere

Integration in eine bestehende Netzwerkinfrastruktur. Dies haben beispielsweise in der Medizintechnik auch die regulativen Organe erkannt und erlassen Anforderungen zur Cyber Security von Medizinprodukten, z.B. die FDA in den USA sowie die MDR durch die EU. «Security by Design» lautet die Devise für Hersteller Eine umfassende Sicherheitsbetrachtung muss deshalb bereits in der Produktentwicklung miteinbezogen werden. Fehlende Sicherheitskomponenten und -funktionen in IIoT-Produkten nachzurüsten, ist riskant und teuer. Sicheres Hardware- und

Um ein IoT-Ökosystem umfassend und «end to end» zu schützen, braucht es zusätzlich sichere IIoT-Devices und Know-how für eine sichere Integration in eine bestehende Netzwerkinfrastruktur. Secure IoT Connectivity Operator (Industrial) User / Customer

Cloud Provider Edge Router

Current Understanding of Security

Betreiber müssen die SecurityAspekte einfordern Auch die Betreiber sind in der Verantwortung: Bei der Evaluation eines neuen netzwerkfähigen IIoT-Device muss genauer hingeschaut werden. Betreiber müssen beim Hersteller detailliertere Angaben bezüglich der Sicherheitsaspekte Konnektivität, sichereres IIoT-Produkt, sichere Integration und Datenhaltung einfordern und prüfen. Nur so können sie sich darauf verlassen, dass ihre IT/OT-Infrastruktur mit den neu eingekauften vernetzten Produkten nicht zum Risikofaktor wird. IloT Security: Erfolgsfaktor für Hersteller und Betreiber Mit «IloT Security by Design» verschaffen sich Hersteller einen entscheidenden Wettbewerbsvorteil und den weiteren Marktzugang, indem sie die CyberRisiken für ihre Produkte und Anwendungen minimieren. Die Betreiber können sich auf eine sichere Lösung verlassen, so ihre Betriebsrisiken minimieren und die Lebensdauer der Produkte verlängern. Somit lohnt es sich für alle Parteien, zukünftig vermehrt in IIoTSecurity bzw. Product Cyber Security zu investieren. Ganzheitliche IoT Security erfordert spezifische Kompetenzen Die spezifischen Fachkompetenzen zu den drei IoTSecurity-Aspekten, die sich über den gesamten Lebenszyklus eines Produkts erstrecken, differenzieren sich klar von den klassischen Cyber-Security-Fachkompetenzen für IT-Infrastrukturen, die sich in den letzten Jahren in den Unternehmen etabliert haben. Es lohnt sich, projektspezifische IoT-Security-Experten beizuziehen, um eine ganzheitliche und nachhaltige IloT-Security zu erreichen. Dadurch können sich die Entwicklungsteams der Hersteller auf ihr Kerngeschäft – innovative IloT-Devices zu entwickeln – konzentrieren und personelle Ressourcen schonen.

Internet

Manufacturer

Secure IoT Integration

Softwaredesign mit Validierungen und Plausibilitätsprüfungen, konsequente Datentrennung, Nachvollziehbarkeit, sichere Schnittstellen, Monitoring und Updatefähigkeit sind darum von Anfang an zwingend einzuplanen und konsequent umzusetzen. «Security by Design» ist dabei der effiziente und nachhaltige Ansatz. Nur so können Hersteller updatefähige Produkte entwickeln, welche sich im Betrieb den sich verändernden Cyber-Risiken stetig anpassen können und für die Betreiber länger einsetzbar bleiben.

4G / 5G Telco Provider

(I)IoT Devices

Secure IoT Device

Die drei relevanten Aspekte in der IoT Security: Sicherheit punkto Konnektivität, Produkt und Integration

Text Reto Amstad

BRANDREPORT • INSEYA AG

SASE – die neue Mitte in der Cybersecurity-Evolution Vernetzung ist der wichtigste Treiber der Digitalisierung. Gleichzeitig macht sie die angebundenen Systeme hochgradig verletzlich, insbesondere mit dem Vormarsch der Cloud und dem Homeoffice. Wie weiter?

Reto Heutschi

aptops und Smartphones sind nicht mehr nur auf dem Campus; Cloudservices werden ebenfalls ausserhalb betrieben. Fliesst der Datenverkehr direkt vom Gerät zum Service, was aus Sicht der Verbindungskapazitäten anzustreben ist, werden alle klassischen Sicherheitseinrichtungen umgangen. Die moderne Antwort darauf gibt die Industrie mit der von Gartner 2019 als Secure Access Service Edge (SASE) bezeichneten Lösungskategorie. Sie verschmilzt Vernetzung und Security in eine einzige Plattform und wird aus der Cloud als Service angeboten. Exemplarisch voran geht dabei Cato Networks, welche von Gartner 2021 schon zum dritten Mal als «Sample Vendor» in der SASE-Kategorie in deren «Hype Cycle for Enterprise Networking» ausgezeichnet wurde.

Secure Access Service Edge (SASE) entstand aus der Erkenntnis, dass die separate Behandlung von Netzwerk- und Security-Anforderungen nicht zum Ziel führt. Traditionelle Netzwerk- und Netzwerksicherheitsarchitekturen, die das Unternehmens-Rechenzentrum als Mittelpunkt für den Zugriff positionieren, sind in der neuen Cloud-Welt gemäss Gartner zunehmend ineffektiv – selbst mit der Einführung einiger cloudbasierter Dienste wie Secure Web Gateways, SD-WAN, Web Application Firewalls usw. Gemäss dem 2020 Mid Year Report Data Breach QuickView von RiskBased Security sind die grössten Treiber von exponierten Datensätzen, falsch

NETWORK Router

WAN Op mizer

Edge SD-WAN

konfigurierte Datenbanken und Services. Muss man also viele einzelne Services konfigurieren und aufeinander abstimmen, steigt dieses Risiko stark. SASE ist die Verschmelzung von Netzwerken und Sicherheitslösungen in einem ganzheitlichen, agilen und anpassungsfähigen Service, um digitale Geschäftsmodelle bereitzustellen. Mit SASE findet ein Paradigmenwechsel statt – durch eine voll integrierte Netzwerk- und Sicherheitsplattform, die identitätsgesteuert, cloudnative und global verteilt ist, sowie alle Randbereiche (WAN, Cloud, Mobilgeräte und IoT) sicher miteinander verbindet, sinkt die Komplexität enorm. Parallel wird die Security,

CATO Cloud

SECURITY Network Security as a Service

Next-gen Firewall

Stateful Firewall

z.B. durch die direkt integrierte Managed Detection and Response (MDR) Engine, deutlich gesteigert. Die Möglichkeit, SASE als Service zu beziehen, bietet eine weitere spannende Chance. Viele Organisation hatten zwischenzeitlich einen schönen Teil der IT an externe Anbieter vergeben, da es sehr aufwändig ist, von der Hardware bis zur Applikation alles selbst zu betreiben. Dabei ging viel Flexibilität verloren und der Service für die Nutzer wurde oft schlechter. Da sich Unternehmen bei Cloudservices nicht mehr um den Unterbau kümmern müssen, können sie diese mit wenig Aufwand selbst «betreiben». Man gewinnt Flexibilität und vor allem die Kontrolle zurück und kann wieder einen «Best of Breed»-Ansatz fahren, da nicht alles von ein und demselben Outsourcer bezogen werden muss. Zum Autor: Reto Heutschi ist Mitgründer, Geschäftsleiter und Verwaltungsrat der IT-Security Firma Inseya AG. Inseya ist Cato Networks Distinguished Provider.

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

ARHUB • BRANDREPORT 9

Next-Generation-Technologie für Sicherheit zu Hause Alarmieren bevor etwas passiert – das ist das Motto des Lausanner Start-Ups Arhub. Gemeinsam mit der ZHAW forscht das Unternehmen an einer besonderen Alarmanlage, die durch die Wand sehen und menschliche Präsenz erkennen kann. Was unmöglich klingt, soll bis zum Jahr 2023 die Anzahl der Einbrüche um bis zu 15 Prozent reduzieren.

ie Technologie ist heute in vielen Bereichen bereits weit fortgeschritten und vereinfacht unseren Alltag in vielerlei Hinsicht. Trotzdem ist es für Einbrecher immer noch möglich, in fremde Häuser oder Geschäfte einzudringen und Wertgegenstände zu stehlen. Oft ist es aber nicht die gestohlene Ware, die in trauriger Erinnerung bleibt, sondern das ungute Gefühl, das die Einbrecher zurücklassen.

Next-Generation-Technologie auf akustischer Basis Um dieses Problem zu lösen und der Bevölkerung mehr Sicherheit zu schenken, hat das junge Westschweizer Unternehmen eine neue Art von Alarmsystemen entwickelt: Die Technologie von Arhub alarmiert bereits, bevor die Tür oder ein Fenster geöffnet werden kann, wohingegen gewöhnliche Alarmanlagen erst alarmieren, wenn sich der Einbrecher bereits im Haus befindet. Die smarte Heimlösung arbeitet nämlich, im Gegensatz zu gewöhnlichen Alarmanlagen, nicht mit Bewegungsmeldern, sondern mit Geräuschsensoren für tiefe Frequenzen. Verdächtige Geräusche und Vibrationen, wie ein Kratzen an der Tür oder ein Rütteln am Schloss, werden sofort erkannt und der Alarm wird ausgelöst. Natalya Lopareva, CEO von Arhub, erklärt: «Unser Ziel ist es, die Menschen in ihren eigenen vier Wänden vor Einbrechern zu schützen und gleichzeitig ihre Privatsphäre zu bewahren. Wir verwenden eine Kombination aus verschiedenen Technologien und haben so private und präventive Sicherheitslösungen der nächsten Generation entwickelt, die Menschen proaktiv vor Einbrüchen schützen und gleichzeitig ihre Privatsphäre respektieren. Uns war ebenfalls wichtig, dass die mit Arhub verbundenen Dienste bestmöglich geschützt sind und sich in der Schweiz befinden.»

der ZHAW an einem Forschungsprojekt. Ziel ist es, ein Gerät zu entwickeln, das durch die Wand hindurchsehen kann. Durch maschinelles Lernen sollen menschliche Präsenz und die verbundenen Absichten durch die Wand erkannt und sofort Alarm geschlagen werden, wenn verdächtiges Verhalten ausserhalb des Hauses erkannt wird. Marcel Rupf vom Institut für Signal- und Informationsverarbeitung der ZHAW begleitet die Forschungsarbeiten und meint dazu: «Eine solche Technologie ist im Bereich Sicherheit und Gebäudeschutz etwas ganz Neues. Das Projekt verlangt viel Expertise aus den Bereichen Elektronik, Wireless und Machine Learning und ist deshalb eine spannende Herausforderung für uns alle.»

Arhub erhält Unterstützung von Innosuisse Laut dem Global Innovation Index 2021 ist die Schweiz das Land mit der weltweit höchsten Innovationskraft. Auch das junge Unternehmen Arhub wurde für seine Arbeit bereits ausgezeichnet und erhält für sein einzigartiges Projekt Unterstützung von der Schweizerischen Agentur für Innovationsförderung Innosuisse. Für Natalya Lopareva ist dies eine grosse Ehre und auch eine tolle Bestätigung für ihr Entwicklerteam: «Wir sind sehr dankbar für die Möglichkeiten, die sich dadurch für uns ergeben und möchten weitere junge Innovatoren ermutigen, an ihren Visionen festzuhalten. Die harte Arbeit wird sich auszahlen.»

Über Arhub Arhub ist ein preisgekröntes Schweizer Technologieunternehmen, das sich auf die Entwicklung der nächsten Generation von Smart-Home-Sicherheitslösungen spezialisiert hat. Ein Arhub-Sensor kann ein ganzes Gebäude überwachen und die Geräusche eines potenziellen Einbruchs erkennen, bevor er überhaupt passiert. Neben einer einzigartigen Kombination aus Audioüberwachung, digitaler Überwachung und sicherer Datenspeicherung werden Arhub-Systeme weltweit eingesetzt, wobei heute bereits über 16 000 Systeme im Einsatz sind. Der Preis für das System und damit für die komplette Abdeckung des ganzen Gebäudes beträgt CHF 3500. Das Arhub-Arhub-Alarmsystem ist bei diversen Fachhändlern schweizweit erhältlich.

Innovation soll mit Machine Learning weiter ausgebaut werden Um ihre Alarmsystem-Technologie noch weiter zu revolutionieren, arbeitet Arhub jetzt gemeinsam mit

www.arhub.swiss

BRANDREPORT • WANZL (SCHWEIZ) AG

ECONIS • BRANDREPORT

Stay healthy – Hygienelösungen beim Zutritt

ie Covid-19-Pandemie hat dazu geführt, dass das Sicherheitsbedürfnis in der Gesellschaft zunimmt. Ein Fokus liegt dabei auf dem Schutz vor unberechtigtem Zutritt sowie der Begrenzung der maximalen Personenzahl in bestimmten Bereichen. Hierfür hat der Access-Experte Wanzl seine bewährte Zutrittsschleuse Galaxy Gate passgenau modifiziert sowie das Personenzählsystem 3D People Counter entwickelt. Zutrittsberechtigung nur mit Einhaltung von Hygienebestimmungen Bei der Protect-Version koppelt Wanzl seine Galaxy Gates an einen Desinfektionsmittelspender und integriert ein Kamerasystem, das sowohl die Körpertemperatur misst als auch das Tragen einer Maske prüft. Erst wenn die Vorgaben erfüllt sind, erhalten Kunden, Gäste oder Mitarbeitende die Zutrittsberechtigung. Optional kann zudem eine maximale Personenanzahl festgelegt werden. Der 3D People

Counter zählt alle Ein- und Ausgänge, wahlweise in Kombination mit dem Galaxy Gate oder als Standalone-Lösung über Deckenkameras. So verknüpft Wanzl zuverlässig Zutrittskontrolle mit Infektionsschutz und trifft damit den Nerv der Zeit. «Seit Pandemie-Beginn erleben wir eine erhöhte Nachfrage nach den Protect-Versionen unserer Zutrittssysteme, mit denen wir die gestiegenen Anforderungen an den Infektionsschutz im Alltag erfüllen», gibt sich Werner Reifler, Geschäftsführer Wanzl Schweiz, zufrieden. Die Hygienelösungen von Wanzl können je nach Bedarf neu installiert oder jederzeit nachträglich in bestehende Systeme integriert werden. www.wanzl.com

Leichtes Spiel für Cyberkriminelle Roger Bruder

Leiter Presales & Backoffice Econis AG in Dietikon (ZH)

Die Zutrittsschleuse Galaxy Gate Protect in der Augsburger Hessing-Klinik.

Wer die IT selbst betreibt, braucht fundiertes Security-Know-how im Bereich Netzwerk, Storage & Back-up, Server & Virtualisierung und Identity & Access Management. Nur schon in einem minimalen Set-up benötigt es eine klare Firewall-Zonierung und eine benutzerfreundliche, aber sichere Zwei-Faktor-Authentifizierung.

Und wer bei einem professionellen IT-Cloudanbieter unter Vertrag steht, darf auf keinen Fall blind darauf vertrauen. Es liegt im eigenen Interesse, auch bei einem IT-Dienstleister genauer hinzusehen und die entsprechenden Nachweise und Sicherheitsvorkehrungen einzufordern. Jedes Unternehmen sollte wissen, wo seine Daten liegen und wer auf diese zugreifen kann.

Herr Bruder, die Nachrichten über Cyberangriffe in der Schweiz häufen sich. Worum geht es bei diesen? Meistens handelt es sich um simple Erpressungsversuche. Die Angreifenden verschlüsseln sämtliche Daten der Unternehmen und verlangen Lösegeld in Form von Kryptowährungen. Früher waren vor allem Finanzinstitute und Grossunternehmen im Fokus, heute sind es eher die klassischen Schweizer KMUs von nebenan. Diese verfügen oft nicht über die entsprechenden IT-Ressourcen, um sich umfassend vor Cyberangriffen zu schützen.

Wo würden Sie mit der Sicherheit starten? Es empfiehlt sich, mit den Massnahmen anzufangen, welche leicht umsetzbar sind und einen grossen Nutzen bringen. Die Erfassung und Bewertung aller Assets unterstützt bereits bei der Risikoeinschätzung und ein simpler Medienbruch zwischen Daten und dem Back-up hilft im Angriffsfall. Fehlen noch ein effektiver Mail-Filter sowie Awareness bei den Anwendenden – und schon ist ein grosser erster Schritt gemacht.

er auf illegalem Weg zum schnellen Geld kommen will, braucht schon lange keine Waffengewalt mehr. Heutzutage reicht ein einfacher Computer mit Internetzugang bereits aus. Der grösste Vorteil dieses Online-Business: Es geht von überall her – jederzeit, weltweit.

Was empfehlen Sie solchen Unternehmen? Eine ganzheitliche Betrachtung, heruntergebrochen auf die für das Unternehmen tragbaren Risiken. Dabei sollte das Unternehmen wissen, welche Assets es hat, von der Infrastruktur über Applikationen bis zu Daten, und wie kritisch diese für den Geschäftsalltag sind.

Die Zutrittsschleuse Galaxy Gate Protect mit Personenzählung.

Für weitere Awards nominiert Arhub hat durch ihre Innovation bereits verschiedene internationale Preise gewonnen und wurde vom Amt für Wirtschaft und Innovation des Kantons Waadt, von Forbes und der Innovation World Cup Series ausgezeichnet. Auch in diesem Jahr ist das junge Unternehmen Finalist in zwei Kategorien beim Security & Fire Excellence Award 2021 – einer der angesehensten Nominierungen im Bereich der Sicherheits- und Brandschutzbranche. Es bleibt spannend, inwiefern das Unternehmen die Sicherheitsbranche noch weiter revolutionieren wird.

Weiterführende Informationen: info@econis.ch econis.ch

Es liegt im eigenen Interesse, auch bei einem IT-Dienstleister genauer hinzusehen und die entsprechenden Nachweise und Sicherheitsvorkehrungen einzufordern.

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

10 GEOFENCING

FOKUS.SWISS

Gesteigerte Unternehmenssicherheit dank Geofencing? Geofencing ist heutzutage fast überall im Alltag anzutreffen: Ob bei Diebstahlsicherungen in Geschäften, Luftraumbegrenzungen bei Drohnen oder im eigenen Smart Home. Die Technologie leistet einen essenziellen Beitrag zur Digitalisierung und dazu, die Sicherheit in Unternehmen zu steigern.

rüher hat man um Burgen oder ganze Städte herum Mauern errichtet, damit die Bevölkerung vor Angriffen geschützt ist. Heutzutage sind solche Schutzmauern nicht mehr sichtbar und Einlasskontrollen nicht ausschliesslich reell. Denn mit Geofencing ist es möglich, solche Grenzen auch virtuell zu erstellen. «Geofencing ist ein zusammengesetztes Kunstwort, bestehend aus ‹geographic› (geographisch) und ‹fence› (Zaun)», erklärt Prof. Dr. Christian Matt, Mitdirektor des Instituts für Wirtschaftsinformatik an der Universität Bern. Er führt aus: «Damit verbunden ist das Auslösen von Aktionen, sobald eine geolokalisierte Position auf der Erdoberfläche oder in der Luft überschritten wird. Häufig handelt es sich dabei um geschlossene Flächen, sprich virtuelle Räume.» Reaktionen auf das Überschreiten der Grenzen können beispielsweise das automatische Schliessen der Haustüre beim Verlassen des Hauses, die Verweigerung einer Starterlaubnis für Drohnen in der Nähe eines Flughafens oder der ausgelöste Alarm bei einem Diebstahlsversuch sein. Hinter all diesen Alltagsbeispielen steckt die Technologie des Geofencing. Standortbestimmung notwendig Voraussetzung dafür, dass das Überschreiten der Grenzen überhaupt erst erkannt wird, ist die Standortbestimmung von Menschen oder Objekten. «Von Interesse sind häufig auch die aktuellen Distanzen zu Räumen, Gebäuden oder Ladengeschäften, um in Abhängigkeit dessen eine Aktion auslösen zu können. Dazu braucht es IT-Geräte (z.B. Smartphones oder Wearables), die regelmässig ihre Position senden oder diese zumindest auf Nachfrage zur Verfügung stellen können», sagt Matt. Es gibt verschiedene Möglichkeiten, anhand derer Geofencing umgesetzt werden kann – Global Positioning System (GPS), Wi-Fi, Bluetooth, Radiofrequenz-Identifikation (RFID) oder hybride Varianten davon. Je nach Anwendung

empfiehlt sich eine andere Technologie basierend auf Kriterien wie Standortgenauigkeit oder Reichweite. Geofencing zur Steigerung der Unternehmenssicherheit Geofences sind aber nicht nur in unserem Alltag nützlich. Auch für Unternehmen ist die Technologie von Interesse und kann unter anderem zur Steigerung der Sicherheit beitragen. Bekannte Beispiele dafür sind Geldtransporter oder Mietwagen, bei denen mittels Geofencing sichergestellt wird, dass sie einen vordefinierten Bereich nicht verlassen. «Dank Geofencing ist es auch möglich, dass ein Gerät von Mitarbeitenden immer nur dann uneingeschränkt genutzt werden kann, wenn diese sich innerhalb des festgelegten geographischen Gebiets aufhalten. Gleichzeitig kann so beispielsweise Hacker:innen das Leben erschwert werden, falls gewisse Operationen innerhalb eines festgelegten Bereichs ausgeführt werden müssen, oder aber nicht autorisierte Anwendungen innerhalb des vordefinierten Geofence-Bereichs blockiert werden. Auch können E-Mail- und Netzwerkzugangseinstellungen an Arbeitsplätzen automatisch aktiviert werden. Darüber

Beispiel Baustelle Zahlreiche Ereignisse haben gezeigt, dass die Brandgefahr auf Baustellen nie unterschätzt werden darf. Ein nicht rechtzeitig entdeckter Brand kann zu grossen Sach- und Vermögensschäden führen. Zu schützen sind aber auch alle Personen, die auf Baustellen arbeiten oder sich vorübergehend dort aufhalten. Zündquellen sind unter anderem Arbeitsgeräte, Fahrzeuge und Baumaschinen, elektrische Installationen sowie grosse Mengen von brennbaren Materialien, wie z.B. herumliegende Dämmstoffe, Stromversorgungsleitungen,

Zahlreiche Ereignisse haben gezeigt, dass die Brandgefahr auf Baustellen nie unterschätzt werden darf.

Da Geofencing mit standortbezogenen Daten arbeitet, existiert ausserdem ein Gefahrenpotenzial zur Verletzung der Privatsphäre. Datenschutzrechtliche Aspekte müssen folglich vor der Implementierung von Geofencing durchdacht werden, und zwar auf beiden Seiten: «Produktanbieter, die Daten auf einem eigenen Server verarbeiten, bergen grundsätzlich ein Risiko des Missbrauchs (‹Verkauf von Daten›) oder werden möglicherweise selbst zu Opfern eines Datenlecks», führt Matt aus.

Text Lisa Allemann

Mobiles, Drahtloses Brandmeldeund Evakuierungssystem

Geofencing kann zusätzlich an der Kundenschnittstelle und damit als Teil eines Produkts oder einer Dienstleistung bereitgestellt werden. Vor allem im Marketing erfreut sich die Technologie einer grossen Beliebtheit, da potenzielle Kundschaft dank ihr sogleich mit einer Push-Benachrichtigung und standortbezogenen Anzeigen, Verkäufen oder Werbeaktionen angelockt werden kann, wenn sie sich in der Nähe des Geschäfts oder dessen Konkurrenz befindet. «Es ergeben sich auch Möglichkeiten, Geofencing in Produkten bei Endkund:innen zu verwenden, so kann bei Mietwagen oder E-Scootern festgelegt werden, in welchem Gebiet sich das jeweilige Fahrzeug bewegen darf oder wo es abgestellt werden muss. Auch ergeben sich weitere direkt auf der Technologie aufbauende, kreative Möglichkeiten in der Produktentwicklung, etwa durch die Nachverfolgung von Haustieren und der entsprechenden Alarmierung, beispielsweise bei nächtlichem Verlassen des Grundstücks», meint Matt.

Grenzen der Technologie Die Technologie hat aber, wie jede andere auch, einige Einschränkungen. Einerseits ist Geofencing darauf angewiesen, Daten bezüglich des Standortes zu erhalten. Ist ein IT-Gerät also ausgeschaltet oder wurde die Standortfreigabe deaktiviert, wird Geofencing nicht funktionieren. «Andererseits verbraucht die Standortbestimmung zumeist kontinuierlich Strom, ist nicht immer zu 100 Prozent verlässlich und die Erkennung der Bewegungsereignisse kann gestört sein. Diese Einschränkungen können dazu führen, dass in einer Umgebung mit erhöhten Risiken der Sicherheitszustand nicht angepasst wird und daher das entsprechende Gerät zur Schwachstelle wird», erläutert Matt.

Geofencing bringt für Unternehmen also einige Vorteile und Möglichkeiten mit sich. «Die Implementierung ist flexibel und einfach. Dadurch entstehen tendenziell weniger Sicherheitslücken, insofern vertrauenswürdige Schnittstellen genutzt werden. Ausserdem gibt es Möglichkeiten, die Technologie relativ kostengünstig zu implementieren», so Matt. Trotzdem gilt es, bei der Umsetzung genau zu überlegen, für welche Anwendung Geofencing genutzt werden soll und wie daraus entstehende potenzielle Sicherheitslücken und Datenschutzprobleme von vornherein vermieden werden können.

BRANDREPORT • JOMOS BRANDSCHUTZ AG

ES ist eine mobile Brandmelde- und Evakuationsanlage, die ohne aufwändige Verkabelung und ohne Fachkenntnisse installiert werden kann. Sie eignet sich besonders für Baustellen, temporäre Bauten und Veranstaltungen, aber auch als permanente Sicherheitslösung in Gebäuden und Anlagen sowie Stallungen, Feuerwehrmagazine etc. WES ermöglicht die rasche Alarmierung und zügige Evakuation im Fall von Feuer und Rauch.

hinaus besteht für Unternehmen die Möglichkeit, smarte Türschlösser zu nutzen, die sich automatisch ver- und entriegeln, sobald ein Smartphone in der Nähe ist oder diesen Bereich verlassen hat», so Matt.

Verpackungsmaterialien und Abfälle. In einem Unglücksfall sind die Alarmierungs- und Evakuierungsbedingungen an Baustellen oft sehr schwierig: Lärm, ständige Änderung der Rettungswege und die fehlende Löschwasserversorgung sind nur einige Gründe. Höchster technischer Standard nach EuroNorm EN 54 Projektspezifische Lösungen mit WES haben ihre Wirksamkeit als Notfall- und Brandmeldesystem zum Schutz von Menschen, Gebäuden und Anlagen bewiesen. Als erstes mobiles, drahtloses Brandmelde- und Evakuierungssystem nach Norm EN 54 entspricht WES dem höchsten Stand der Technik. Früh warnen, sofort alarmieren und den Brandherd identifizieren – so haben die betroffenen Personen genug Zeit, sich in Sicherheit zu bringen. Interventionskräfte werden automatisch alarmiert, die Rettungsarbeiten und Brandbekämpfung können rasch möglichst beginnen. Immer wieder verwendbar WES besteht aus handlichen, robusten Einzelkomponenten, die über ein drahtloses Netzwerk kommunizieren und eine Echtzeit-Überwachung ermöglichen. Das System wächst mit dem Gebäude und ist in kürzester Zeit wieder demontiert, um beim nächsten Einsatz weitere Menschenleben und Sachwerte mit der höchsten Sicherheit zu schützen. Weitere Informationen via QR-Code oder auf www.wesfire.ch

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

SEDIMENTUM AG • BRANDREPORT 11

Drei Fragen an:

Sandro Cilurzo

CEO und Mitgründer von Sedimentum

Wie ist die Idee entstanden? Ich war in einer schweizerischen psychiatrischen Klinik für die Information und Cyber Security verantwortlich. Im Rahmen meiner Funktion war ich ebenfalls Mitglied eines Think Tanks mit Kadermitarbeitern und medizinischen Fachleuten. Eine der Hauptherausforderungen jeder Institution im Gesundheitswesen ist die unterbrechungsfreie Gewährleistung der Patienten- und Bewohnersicherheit über 24 Stunden hinweg. Akuter Personalmangel in der Pflege, veraltete sowie mangelhafte technologische Hilfsmittel oder Geräte mit Kameras und Mikrofonen, welche die Privatsphäre massiv beeinträchtigen – so sah leider die Realität aus. Dieses Problem liess mich nicht mehr los. Deshalb habe ich Sedimentum gegründet.

Sicher und autonom Leben dank intelligentem Sturzmelder In der Schweiz entstehen jährlich Kosten von rund 1,8 Milliarden Franken, welche durch Sturzereignisse verursacht werden. Mit dem intelligenten, kontaktlosen und anonymen Sturzmelder will Sedimentum dieses Problem lösen und das Leben unzähliger Menschen sicherer sowie autonomer machen.

ährlich stürzen in Wohneinrichtungen weltweit über 16,4 Millionen Menschen, die anschliessend eine medizinische Nachversorgung benötigen. 82 Prozent der Stürze älterer Menschen ereignen sich, wenn sie alleine sind und mehr als 50 Prozent von ihnen sind nicht in der Lage, nach einem Sturzereignis ohne fremde Hilfe aufzustehen. Obwohl ein Teil der älteren Menschen ein Notrufsystem besitzt, kann dieses häufig nicht aktiviert werden. Die Hauptgründe dafür sind Bewusstlosigkeit oder die sturzbedingte Unfähigkeit, den Alarm auszulösen. Auf dem Boden zu liegen kann zu ernsthaften Komplikationen führen, wie beispielsweise einer Thrombose,

aber auch Muskel- und Gewebeschäden. Darum ist es essenziell, nach einem Sturzereignis rapide zu intervenieren, um ernsthafte gesundheitliche Komplikationen zu vermeiden. Gerade bei älteren Menschen ist eine sogenannte «Long-Lie Condition» besonders gefährlich, also wenn diese nach einem Sturzereignis länger als eine Stunde liegen bleiben. Die gesundheitlichen Folgeschäden, psychisch und körperlich, sind für die Betroffenen leider häufig gravierend. Aus diesem Grund hat Sedimentum einen intelligenten Sturzmelder entwickelt, welcher für passive Sicherheit in den eigenen vier Wänden sorgt. Der Sturzmelder muss nicht aktiv bedient oder getragen werden, sondern funktioniert kontaktlos, ähnlich wie ein Brandmelder, aber für Sturzereignisse.

Es ist essenziell, nach einem Sturzereignis rapide zu intervenieren, um ernsthafte gesundheitliche Komplikationen zu vermeiden.

Passive Sicherheit dank dem KISturzmelder von Sedimentum Der Sturzmelder von Sedimentum sorgt für mehr Sicherheit, indem dieser Stürze automatisiert erkennt und bei Bedarf gleich den Alarm auslöst. Die proprietäre KI-Software (künstliche Intelligenz) hat ein «intuitives» Verständnis bezüglich Sturzvorgängen – alltägliche Bewegungen wie eine Yogaübung, eine herumtollende Katze oder eine auf dem Boden liegende Person nach einem effektiven Sturzereignis, werden unterschieden – eine intelligente und kontaktlose Sturzerkennung, welche mittels Plug & Play zum Einsatz kommt. Die intelligenten Sturzmelder von Sedimentum sind bereits in diversen Gesundheitseinrichtungen wie Pflegeheimen, Psychiatrien und Alterswohnungen im Einsatz. Sedimentums Vision ist, das Leben von tausenden schutzbedürftigen Personen komplett automatisiert und nachhaltig sicherer zu machen: «Unsere Sturzerkennung ist passiv und einfach zu handhaben, das heisst, es braucht keine aktive Aktion, um Hilfe zu bekommen – keinen Hilferuf, keinen Knopfdruck, nichts. Dies unterstützt und entlastet das Pflegepersonal und Angehörige von sturzgefährdeten Personen und die Privatsphäre wird bestmöglich geschützt», erklärt Cilurzo, CEO und Mitgründer von Sedimentum. Datenschutz als Alleinstellungsmerkmal Gerade im Gesundheitswesen sind die Datenschutzanforderungen besonders hoch. Gesundheitsdaten werden im Datenschutzgesetz als besonders schützenswert klassifiziert, da es sich um äusserst sensitive Daten handelt. Dank diesen Gesetzen und Datenschutzbestimmungen müssen solch heikle Daten bestmöglich geschützt werden. Der Sturzmelder von Sedimentum arbeitet zwar weder mit Kameras noch Mikrofonen, doch Anonymität bedarf weit mehr als das. Sensordaten sind nämlich nicht, wie oft fälschlicherweise gedacht, per se anonym. Ohne zusätzliche Anonymisierungsmassnahmen können auch Sensordaten einem Individuum zugeordnet werden. In diesem Falle gilt es, die Rechte der Betroffenen zu wahren und die geltenden Datenschutzvorschriften zu beachten.

Arthur Habicht, Sandro Cilurzo und Eugenie Nicoud sind die Geschäftsleitung der Sedimentum AG.

Für Sedimentum sind die Datenschutzvorgaben ein Innovationstreiber und deshalb entwickelte das Startup ein innovatives Daten-Anonymisierungsverfahren, welches die Interessen der Institutionen und der sturzgefährdeten Personen bestmöglich schützt. «Unsere Lösung ist aus juristischer Sicht komplett anonym. Damit bietet sie unseren Kunden einen klaren Mehrwert und ist zudem ein Game-Changer auf dem Gesundheitsmarkt», betont Cilurzo.

Was macht euch einzigartig? Erstens, unsere intelligente Sturzerkennung: Zuverlässig Stürze kontaktlos zu erkennen, ist eine extrem anspruchsvolle Disziplin. Es gibt wortwörtlich eine unendliche Anzahl Möglichkeiten, zu stürzen. Damit eine technische Lösung über das gleiche «intuitive» Verständnis bezüglich einem Sturzereignis verfügen kann wie ein Mensch, braucht es künstliche Intelligenz. Deshalb haben wir ein anspruchsvolles und neuartiges KI-Verfahren entwickelt, welches Sturzereignisse zuverlässig erkennt, ohne dabei Fehlalarme zu senden, wenn jemand eine Fitnessübung auf dem Boden macht oder eine Katze in der Wohnung herumtollt. Zweitens, die Einfachheit der Installation: Eine Kalibration unseres Sturzmelders ist nicht notwendig und dieser kann überall an der Decke montiert werden. Drittens, unser einzigartiges Daten-Anonymisierungsverfahren: Dieses erlaubt uns eine anonymisierte Datenverarbeitung und schützt somit die Privatsphäre bestmöglich. Wo siehst du Sedimentum in fünf Jahren? «Sich sicher fühlen, da wo man lebt» – ist ein Bedürfnis ohne geografische Grenzen. Deshalb erachte ich es als unsere Pflicht, sich innert fünf Jahren auf dem globalen Markt zu etablieren. Unsere Vision ist es, das Leben von Tausenden schutzbedürftigen Personen sicherer zu machen. Bis in fünf Jahren soll sich deshalb unser intelligenter Sturzmelder als «Standard» für ein autonomes, sicheres und selbstbestimmtes Leben etabliert haben.

Erklärungsvideos: So funktionierts

Sturzmelder

Kontakt: Sedimentum AG Dorfplatz 6 6330 Cham info@sedimentum.com www.sedimentum.com

Daten-Anonymisierung

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

12 INTERVIEW • ROGER HALBHEER

FOKUS.SWISS

«Die Diskussion um Cyber-Security ist eine sehr emotionale» Die Zeiten, in denen Hacker nur internationale Konzerne ins Visier nahmen, sind längst vorbei. KMU, Privatpersonen sowie Behörden finden sich heute ebenso im Fadenkreuz wieder. Welche Auswirkungen hat dies auf eine Gesellschaft, die privat und beruflich immer mehr in der digitalen Sphäre unterwegs ist? Und was müssen die grossen Tech-Anbieter tun, um mit ihren Produkten den sich verändernden Sicherheitsansprüchen zu genügen? Interview mit Roger Halbheer, Chief Security Advisor bei Microsoft Interview SMA Bild zVg Roger Halbheer, das Thema IT- und DatenSicherheit wird in einer zunehmend digitalisierten Welt immer wichtiger. Welches sind Ihres Erachtens die grössten Stolpersteine für Unternehmen, wenn es um Cyber-Security geht? Wir stehen heute an einem Punkt, an dem wir sozusagen das «Erwachsenwerden» der IT erleben. Bisher traf man vor allem in KMU häufig die Situation an, dass jemand aus dem Team quasi «nebenamtlich» noch die IT unter sich hatte. Hier lässt sich nun verstärkt ein Wandel feststellen: Immer mehr Unternehmen machen den nächsten Schritt hin zu einer professionellen IT. Das ist auch notwendig, denn wie unter anderem die zunehmenden Ransomware-Fälle exemplarisch aufzeigen, ist die Gegenseite hochprofessionell aufgestellt. Dieses Ungleichgewicht müssen wir beheben. Wie einfach oder schwierig sich dies in der Praxis gestaltet, hängt direkt mit dem Know-how der jeweiligen Firma zusammen. Gängige Stolpersteine liegen im Vernachlässigen von grundlegenden Sicherheitsaspekten, wenn etwa das System oder die Benutzer-Authentifizierung nicht regelmässig upgedatet wird. Denn beim Grossteil der erfolgreichen Angriffe handelt es sich gar nicht um hochkomplexe Attacken. Vielmehr gelingen sie, weil IT-Sicherheit nicht zum Kerngeschäft der betroffenen User gehört. Hinzu kommt, dass das Gefährdungspotenzial vielerorts noch generell unterschätzt wird.

Argumentation. Technisch und regulatorisch entbehrt das jeder Grundlage. Auch dass die Daten zwingend in der Schweiz gelagert werden müssen, damit sie Schweizer Recht unterliegen, ist inkorrekt. Vielmehr müssen sich die Nutzerin oder der Nutzer beim Entschlüsseln der Daten in der Schweiz aufhalten. Wir möchten diese Vorbehalte aber keineswegs kleinreden, denn sie gehen mit einem empfundenen Kontrollverlust einher, was verständlich ist. Wir haben in Sachen IT die «Sturm und Drang»-Periode hinter uns gelassen und bewegen uns in eine Ära der Professionalisierung. Dafür müssen wir uns daran gewöhnen, die Server nicht mehr selber anzuschaffen und zu betreiben, sondern diese Aufgabe in professionelle Hände zu legen. Das ist nicht immer einfach, weil es darum geht, mit Ängsten umzugehen und die eigene Komfortzone zu verlassen.

Wir bewegen uns in eine Ära der Professionalisierung.

Warum denken Sie, ist das der Fall? Lange lebten vor allem KMU in dem Glauben, dass ihr Betrieb für Cyberattacken nicht genügend attraktiv wäre. «Von uns will ja niemand etwas», lautete der Tenor. Doch diese Zeiten sind vorbei: «HumanOperated-Ransomware-Angriffe» werden gezielt auf unterschiedlichste Marktteilnehmer und Organisationen gerichtet. Die Hackerattacke auf die Gemeinde Rolle VD, die Ende August bekanntgeworden war, ist dafür ein Paradebeispiel. Jeder und jede kommt als Opfer eines Angriffs in Frage. Vereinfacht gesagt stehen also professionelle Hacker KMU gegenüber, die in Sachen IT-Sicherheit erst langsam aufholen. Wird sich der technologische Rückstand jemals ganz ausgleichen lassen? Da bin ich absolut zuversichtlich. Doch damit das funktionieren kann, müssen Unternehmen das Thema «Sicherheit» in die Hände der Profis legen. Einer der Gründe, warum ich von meiner letzten Anstellung als CISO (Chief Information Security Officer) zu Microsoft zurückgekehrt bin, hängt mit genau dieser Erkenntnis zusammen. Welchen Einfluss hat demnach der Sicherheitsgedanke auf die Produkte und Dienstleistungen eines TechAnbieters wie Microsoft? Einen wesentlichen, wobei das Kunden-Feedback für uns absolut zentral ist. Wir halten konstanten Kontakt und gelangen so ständig zu neuen Einsichten. Diese Rückmeldungen sowie weitere Erkenntnisse fliessen laufend in unseren Planungszyklus mit ein. Dieser umfasst einen Zeithorizont von 18 Monaten, der in drei sechsmonatige Blöcke unterteilt ist. Den ersten Block planen wir sehr detailliert, hier besteht eine konkrete Roadmap. Der nächste Block ist ebenfalls noch relativ klar umrissen. Der dritte Block wiederum, und damit der Zeitraum der letzten sechs Monate, befindet sich noch in einer Konzept-Phase. Dieses Planungsvorgehen hat sich bewährt, da es uns eine konkrete Stossrichtung vorgibt, ohne uns dabei in unserer Agilität einzuschränken.

Wie genau kommen Sie zu den Kundeninformationen beziehungsweise -daten bezüglich Sicherheit – und wie werten Sie diese aus? Da gibt es verschiedene Ansätze. Ein erprobter Weg besteht etwa darin, einen neuen Service zu lancieren und dann zu analysieren, welche Usergruppen diesen wie nutzen. Dadurch gewinnen wir anonyme Nutzerdaten, die uns neue Einsichten liefern. In Bezug auf Sicherheitshandlungen sammeln wir viel Telemetrie, unter anderem aus unseren KMU-, B2B-, B2C- sowie XBox-Umgebungen. Dort können wir beispielsweise eruieren, wie sich Userinnen und User für die verschiedenen Services anmelden und ob Anomalien bei diesen Vorgängen auftauchen. Hierfür setzen wir auch auf künstliche Intelligenz sowie Machine Learning. Sicherheit wird von der Userschaft verlangt, aber diese steht oft der Nutzerfreundlichkeit im Weg. Ein Dilemma? Ich würde es mehr als Risikoabwägung bezeichnen – wie letztlich alles im Leben. Wir bemühen uns, den Security-Aspekt für die Endbenutzer:innen so unsichtbar wie möglich zu machen, ohne dadurch die Sicherheit zu beschneiden. Gleichzeitig muss die Frage, wie man Sicherheit und Usability gegeneinander abwägt, für jedes Produkt und damit jedes Kundensegment individuell beantwortet werden. Im B2C-Bereich etwa geniesst die einfache Handhabung einen hohen Stellenwert. Doch bei

Wir bemühen uns, den SecurityAspekt für die Endbenutzer:innen so unsichtbar wie möglich zu machen, ohne dadurch die Sicherheit zu beschneiden.

Anwendungen für Administrator:innen, Entwickler:innen oder Security-Analyst:innen ist der Sicherheitsgedanke weit höher zu gewichten als die Nutzerfreundlichkeit. Gleichzeitig findet immer mehr ein Verschmelzen von privatem und professionellem IT-Gebrauch statt. Das Nutzen persönlicher Devices für Businessanwendungen zum Beispiel setzt sich immer mehr durch. Was ist die Folge davon? Dies führt in der Tat zu einer spannenden Ausgangslage, da man zwar ein privates Gerät nutzt, dieses aber entsprechend den Spielregeln der Firma einsetzen sollte. Meine persönliche Grundhaltung hierzu lautet: Meine Mitarbeitenden sollen, wenn dies möglich und gewünscht ist, ihren eigenen Rechner oder ihre Handys benutzen, dabei aber die Vorgaben des Unternehmens beachten. Klappt das nicht, müssen ein Geschäftshandy oder ein Firmenrechner her. Wir ermöglichen es unseren User:innen darum, auf ihren Devices ein privates sowie ein «Work Profil» anzulegen. Aus dem privaten Profil kann man nicht auf die Geschäftsumgebung zugreifen und der Arbeitgeber wiederum hat keinerlei Zugang auf das persönliche Profil. Solche praktischen Lösungen werden meines Erachtens immer wichtiger werden, da die Ansprüche an Benutzerfreundlichkeit insgesamt stiegen. Cloudlösungen sind mittlerweile auch in der Schweiz etabliert. Das Thema «Wo sind meine Daten» ist aber gerade in KMU-Kreisen nach wie vor aktuell und Serverumgebungen in der Schweiz daher gefragt. Hier findet häufig eine Vermischung von technischen, regulatorischen und emotionalen Themen statt. Alle drei sind wichtig, aber man sollte sie idealerweise auseinanderhalten. Wenn etwa eine KMU-Unternehmerin oder ein -Unternehmer sagt, dass der eigene Betrieb aufgrund des Datenschutzes nicht in der Cloud sein kann handelt es sich um eine rein emotionale

Welche technischen Innovationen kommen auf Hersteller und User im Bereich «Sicherheit» künftig zu? Viele von uns werden sich zwar noch einige Zeit mit dem Thema «Passwörter» herumschlagen müssen, aber das Ende ist absehbar. Wir bieten für Microsoft-User:innen seit Kurzem die passwortlose Autorisierung über unsere Authentificator-App an. Früher oder später werden sämtliche Anwendungen mit dem Finger entsperrt werden. Zwar haben heute noch viele Leute Angst vor Biometrie, doch wenn man diese Authentifizierungsmethode selber aufsetzt, bleibt der eigene Fingerprint immer auf dem Gerät und gelangt nie zu einem Hersteller. Indem wir Passwörter hinter uns lassen, werden wir einen entscheidenden Schritt machen, um im Wettrennen mit Hackern nicht mehr hinterherzuhinken. Denn ein Grossteil der Angriffe zielt heute darauf ab, Passwörter einer Userin oder eines Users zu erlangen und sich so Zugang zu kritischen System zu verschaffen. Also sehen wir einer sicheren digitalen Zukunft entgegen? Ganz so einfach ist es leider nicht. Denn um Cyberattacken nachhaltig Einhalt zu gebieten, müssten wir die Strafverfolgung an die neuen Gegebenheiten anpassen – und das ist leider enorm komplex. Hacker sind international aufgestellt, während die Strafverfolgung vielerorts noch national ausgerichtet ist. Die «Budapest Convention» sollte hier Abhilfe schaffen: Sie dient als Richtlinie für jedes Land, um umfassende nationale Rechtsvorschriften gegen Cyberkriminalität zu entwickeln und die internationale Zusammenarbeit zwischen den Vertragsstaaten dieser Vereinbarung zu fördern. Doch leider haben viele Länder die Budapest Convention nicht ratifiziert, weil sie diese als Eingriff in ihr Hoheitsgebiet sehen. Das zeigt, dass nicht nur Einzelpersonen und Firmen in der neuen digitalen Welt umdenken müssen, sondern auch Behörden und Staaten. Roger Halbheer (54) ist seit rund vier Jahren als Chief Security Advisor bei Microsoft tätig. Das Thema «IT-Sicherheit» zieht sich wie ein roter Faden durch Halbheers Vita. So war er zuvor bei Accenture unter anderem für den Bereich der Sicherheitstechnologie verantwortlich, lehrt als Gastdozent an der ETH Zürich und gehört zum Cybersecurity Advisory Board der «Schweizerischen Akademie der Technischen Wissenschaften».

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

PWC SCHWEIZ • BRANDREPORT 13

Cybersicherheit – Aufholbedarf in der Chefetage? Die zunehmende Digitalisierung bringt hohe Cyberrisiken mit sich. Eine ausgefeilte Technologie allein genügt nicht, um die Sicherheit eines Unternehmens zu garantieren. CEOs müssen Cybersecurity finanziell und kulturell zur Priorität machen. Jahr zu erhöhen, ein Viertel erwartet eine Zunahme der Ausgaben von mehr als 10 Prozent. Doch häufig fehlt ein konkreter Investitionsfokus. Wichtig ist eine genaue Abklärung, wo Anschaffungen am sinn- und wirkungsvollsten sind. Oft übersehen bleiben dabei Sicherheitslücken, die durch die Zusammenarbeit mit Drittanbietern entstehen. 60 Prozent der Befragten verstehen das Risiko von Datenschutzverletzungen durch Dritte nur unzureichend und 20 Prozent kennen es kaum oder gar nicht.

Urs Küderli

Partner, Leader Cybersecurity & Privacy, PwC Schweiz urs.kuederli@pwc.ch Tel: +41 (0) 58 792 42 21

Gianfranco Mautone

Partner, Leader Forensic Services & Financial Crime, PwC Schweiz

Technologieplattformen standardisieren und Lieferketten vereinfachen Trotz der herausfordernden Umstände können Cyberattacken mit entsprechenden Massnahmen verhindert werden. Beispielsweise, indem die Komplexität der Organisation und der Geschäftsbeziehungen reduziert

gianfranco.mautone@pwc.ch Tel: +41 (0) 58 792 17 60

wird. Jeder Integrationspunkt und jede Schnittstelle sind mit Kosten verbunden – auch in Bezug auf die Sicherheit. 75 Prozent der in der Studie befragten Führungskräfte geben an, dass die Komplexität in ihren Unternehmen in Bezug auf Technologie, Daten und Betriebsplattformen zu hoch sei. Dies führe zu einem «besorgniserregenden» Ausmass von Cyberund Datenschutzrisiken. Neue Technologien und die Standardisierung von Prozessen können eine Vereinfachung vorantreiben, sofern die Geschäftsführung eine entsprechende Strategie entwickelt und umsetzt. CEOs überschätzen ihr Engagement häufig Schweizer Unternehmen haben in Sachen Cybersicherheit Fortschritte gemacht: Zum Beispiel bei der Einbindung in allgemeine Unternehmensziele, in der

n unserer digitalen Gesellschaft ist alles miteinander verbunden. Die Pandemie hat diese Entwicklung beschleunigt. Der damit einhergehende Anstieg der Cyberkriminalität macht Cyberrisiken zu einem strategischen Unternehmensrisiko. Dadurch sind der Schutz und die Sicherheit der Daten ins Zentrum der geschäftlichen Aktivitäten gerückt.

Kommunikation von Cyberthemen oder der Schulung von Mitarbeitenden im Umgang mit Phishing-Mails. In anderen Bereichen besteht jedoch Aufholbedarf. Neben neuster Technologie erfordert Cybersicherheit auch einen Kulturwandel im Unternehmen. CEOs sollten Cybersicherheit zu ihrer Verantwortung machen, entsprechende Strukturen und Prozesse einführen und alle Mitarbeitenden dazu anregen, über Sicherheit zu reflektieren. Doch während die befragten CEOs glauben, dass sie einen erheblichen Beitrag zur Cybersicherheit in ihrem Unternehmen leisten, stimmen dieser Aussage nur drei von zehn Führungskräften zu. Ihnen zufolge priorisieren CEOs Cybersecurity nicht genügend und schaffen im Unternehmen auch zu wenig Bewusstsein für die Risiken. Dies ist erstaunlich, da Cyberattacken mittlerweile auch in der Schweiz nicht mehr nur einzelne, exponierte Firmen treffen, sondern alle, vom KMU bis zum Grosskonzern. Ein gut gegen Attacken gewappnetes, resilientes Unternehmen ist folglich kein Zustand, sondern ein kontinuierlicher Prozess. Die Cybergefahren sind latent auf praktisch allen Unternehmensebenen und in sämtlichen Geschäftsinteraktionen vorhanden. Deshalb dürfen sie nicht allein an die IT delegiert werden. Es braucht einen Paradigmenwechsel bis auf die oberste Führungsebene.

Drittanbieter als verkannte Gefahr Gemäss einer neuen Studie von PwC Schweiz, die weltweit mehr als 3600 Führungskräfte zum Thema Cybersicherheit befragt, stellt vor allem die zunehmende Komplexität der Organisationen und der Lieferantennetzwerke eine grosse Herausforderung dar. Insbesondere, dass aktuell viele Unternehmen ihre Mitarbeitenden nach wie vor im Homeoffice beschäftigen, vergrössert die Risikoexposition weiter. Neue Technologien, neue Prozesse und weniger soziale Interaktion schwächen die Cyberabwehr. Zwei Drittel der befragten CEOs und Führungskräfte erwarten für das Jahr 2022 eine weitere Zunahme der Internetkriminalität – und darauf reagieren sie: 69 Prozent planen, das Sicherheitsbudget im nächsten

Die detaillierten Ergebnisse der Studie stellt PwC Schweiz am 20. Oktober 2021 vor und vertieft sie in einer hochkarätigen Diskussionsrunde. Die Veranstaltung wird über LinkedIn live übertragen.

SAFETY MANAGEMENT SMG GMBH • BRANDREPORT

Ruhiger schlafen dank Arbeitssicherheit 4.0 Durchdachte digitale Lösungen schaffen Effizienz und Rechtssicherheit. Was hat das mit ruhig Schlafen zu tun?

Eduard Aregger

Rechtssicherheit können den Schlaf stören. Neue, digitale Hilfsmittel, die mehr Transparenz schaffen, gibt es verschiedene, aber welches ist das richtige?

Kim Reber

Das Dilemma mit den Apps Unternehmen heute sind sehr restriktiv, was das Installieren und Anwenden von spezifischen Tools und Apps betrifft. Dazu kommen noch die laufenden Updates, die teilweise enorme Ressourcen binden. Mit der zunehmenden Digitalisierung schaffen daher flexible, geräte- und anwendungsunabhängige Lösungen den entscheidenden Vorteil.

Sicherheitsingenieur FH / EigV

Spezialist AS&GS

rkannte Risiken schlummern auf ausgefüllten Checklisten in Papierstapeln. Sie warten darauf, bis jemand die Stapel durchgeht, Massnahmen für mehr Sicherheit trifft und umsetzt. Wo sind die grössten Risiken verborgen? Wenn dann doch ein schwerer Unfall passiert, bevor jemand die eigentlich schon bekannte Gefahrenstelle beseitigt hat? Sorge um die Mitarbeitenden und fehlende

Anforderungen an ein digitales Tool Eines der wesentlichen Elemente eines digitalen Tools ist die schnelle und einfache Handhabung. Daran scheitern heute die meisten Anwendungen auf dem Markt. Ein erfolgreiches Tool unterstützt den Anwender, spart Zeit und ist flexibel. Es ist mehrsprachig und mit den gängigen Systemen kompatibel. Welche Lösungen gibt es? Webbasierte Lösungen werden mit bereits verwendeten Programmen wie z.B. Microsoft Teams oder SharePoint verbunden. Es ist keine zusätzliche

Installation einer Software erforderlich. So kann der Betrieb mit der gewohnten Software weiterarbeiten. Safety Management SMG GmbH berät und unterstützt Unternehmen aktiv darin, im Bereich Arbeitssicherheit und Gesundheitsschutz digitale Tools sinnvoll einzusetzen. Die Tools werden auf die Bedürfnisse des Kunden angepasst und stets aktualisiert, sodass Mitarbeitende relevante Inhalte und Informationen immer und überall digital abrufen können. Durch die Transparenz können Massnahmen schnell und effizient umgesetzt werden. Die Sicherheit kann gewährleistet werden. Verantwortliche Mitarbeitende müssen sich keine Sorgen machen und können ruhiger schlafen. In folgenden Bereichen stehen digitale Lösungen bereit: • Schulungen (siehe Kasten) • Checklisten, Audits • Melde-Tools (Ereignisse, Beinaheunfälle, Mängel) • Gefahrenermittlungen • Sicherheitskonzepte Wie funktionieren diese Tools? Schulungen Via Link oder QR-Code rufen die Mitarbeitenden das E-Learning auf ihrem Computer, Tablet oder Smartphone auf. Sie erhalten kurze, prägnante Schulungsinhalte mit Testfragen. Nach erfolgreichem Abschluss erhalten sie das Zertifikat als Nachweis. Dieses wird automatisch digital abgelegt. (Beispielschulung siehe Bild) Checklisten mit Massnahmenverfolgung Eine auf den Betrieb angepasste digitale Checkliste wird via Mail an einen Mitarbeitenden zugestellt, der mit der Überprüfung eines Arbeitsbereichs beauftragt wird. Via Link öffnet er diese und füllt diese aus, die Dokumentation erfolgt automatisch. Massnahmen werden automatisch via Mail und Link an die verantwortliche Person zugestellt. Trotz der fortschreitenden Digitalisierung sind persönliche Kontakte mit Mitarbeitenden und Schulungen vor Ort weiterhin nicht zu vernachlässigen. Der Einsatz der digitalen Tools muss daher im Einklang mit der bestehenden Unternehmenskultur sein.

Alles aus einer Hand Der Sicherheitsingenieur Eduard Aregger von Safety Management wird oft gefragt: «Können Sie uns auch in anderen Bereichen unterstützen?» Safety Management erweitert laufend das Angebot und bildet jüngere Mitarbeitende weiter, um das Fachwissen nachhaltig sicherzustellen. Ab 2022 werden die Firma Safety Management SMG GmbH und die langjährige Partnerfirma Encoma GmbH unter einem neuen Namen auftreten. Damit wird zukünftig das komplette Spektrum in Gesundheitsschutz, Arbeitssicherheit, Umweltschutz und Krisenmanagement aus einer Hand angeboten. Mehr Informationen unter: www.safetymanagement.ch www.HSE.swiss Text Eduard Aregger / Kim Reber Illustrationen Mirabelle Reber

E-Learning Mit E-Learning-Modulen werden Mitarbeitende effizient geschult – mit dem gesetzlich geforderten Nachweis. Die Module werden stets aktualisiert, damit sie dem aktuellen Stand der Technik entsprechen. Mehr Informationen unter www.safetynetwork.ch oder via QR-Code:

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

14 BRANDREPORT • DEXTRA RECHTSSCHUTZ AG

#FOKUSSICHERHEIT

«Ja, es gab letztes Jahr deutlich mehr Rechtsstreitigkeiten» Zwei Rechtsschutzexperten über Zeiten des Umbruchs, in der Welt und in ihrer Branche. Im Gespräch mit CEO Beat Riniker und seinem Produktverantwortlichen Florian Probala von der Dextra Rechtsschutz AG. Beat Riniker, Florian Probala: Ist die Welt unsicherer geworden oder bilden wir uns das nur ein? Riniker: Die globale Coronakrise hat offenbart, dass wir alles andere als unverwundbar sind. Wir sind weltweit vernetzt und voneinander abhängig. Ein zufälliges Ereignis am anderen Ende der Welt kann eine Kettenreaktion auslösen, die uns auch hier in der Schweiz erschüttert. Wir möchten aber keine Panik verbreiten. Insgesamt ist die Welt für uns heute deutlich sicherer als in der Vergangenheit, was sich unter anderem an der weltweit gestiegenen Lebenserwartung zeigt. Das heisst aber nicht, dass unsere Ängste unbegründet sind. Ich kann Menschen gut verstehen, die eher pessimistisch in die Zukunft blicken. Warum? Riniker: Wir erleben gerade eine Zeit des Umbruchs und der Ungewissheit. Das ist belastend. Dazu kommen ganz reale Zukunftssorgen, sei es wegen des Klimawandels oder ökonomischer Abstiegsängste. Bei jungen Menschen wachsen die Zweifel, ob für sie der Lebensstandard ihrer Eltern mit sicherem Job und eigenem Haus noch erreichbar ist. Der technologische Fortschritt bringt neben all seinen Vorzügen auch neue Herausforderungen mit sich: Viele Jobs könnten durch Digitalisierung und Automatisierung wegfallen. Cyber-Mobbing und Datendiebstahl sind zu einer realen Bedrohung geworden. In sozialen Netzwerken werden Inhalte in Echtzeit geteilt, auch «Fake News». Nicht alle sehen diesen rasanten Wandel als Chance. Unsere Welt mag zwar objektiv sicherer sein als früher, aber sie ist zweifellos komplexer geworden. Ob Sie nun ein Haus umbauen oder eine Wohnung vermieten möchten - Sie werden mit administrativen und rechtlichen Hürden konfrontiert, die allein kaum zu überblicken sind. Viele Menschen fühlen sich von dieser Komplexität überfordert. Oft kennen sie ihre Rechte und Pflichten kaum, wodurch sie wiederum Gefahr laufen, in unvorhersehbare Rechtsstreitigkeiten zu geraten. Wie hilft eine Rechtsschutzversicherung Menschen, die in eine solche Situation geraten? Probala: Es ist natürlich zuerst einmal ein Schock, wenn etwa ein Unfall passiert oder unvermittelt ein Strafbefehl im Briefkasten liegt. Unsere Kunden erleben oft auch schwere persönliche Krisen. Sie sind verunsichert und machen sich Sorgen, was auf sie zukommt und mit welchen Kosten sie zu rechnen haben. Gerade in solchen Situationen ist es wichtig, einen verlässlichen Partner zur Seite zu haben, der kompetent und einfühlsam begleitet. Was heisst das konkret? Probala: Im Dextra «Legal Powerhouse» arbeiten rund 70 Juristen und Anwälte, die sich in spezialisierten Teams täglich für das Recht unserer Kunden einsetzen und ihnen mit Rat und Tat zur Seite stehen, etwa bei der Prüfung gewisser Vertragsschriften. Unsere telefonische Rechtshotline unterstützt beratend und präventiv bei Rechtsfragen in allen Landessprachen. Die Rechtsberatung wird jährlich etwa 30 000 Mal in Anspruch genommen. Sollte es zu einem Prozess kommen, übernimmt die Versicherung anfallende Kosten, etwa Anwalts-, Expertise- oder Prozesskosten.

Beat Riniker (l.), CEO von Dextra, und CPO Florian Probala (r.) im Hauptsitz in Zürich Altstetten. Lohnt sich eine Rechtsschutzversicherung überhaupt? Riniker: In unserer zunehmend durchregulierten und komplexen Welt können Rechtsstreitigkeiten völlig unerwartet eintreten: Die private und berufliche Situation kann sich schlagartig ändern und Unfälle können immer und überall passieren, sei es im Strassenverkehr oder auf der Skipiste. Meinungsverschiedenheiten können schnell in einen Rechtsstreit münden. Dies kann ohne bestehende Rechtsschutzversicherung mit Gerichtskosten und Gutachten sehr teuer werden. Allein eine Stunde bei einem Anwalt entspricht in etwa einer Jahressprämie bei Dextra. Im Arbeitsoder Sozialversicherungsrecht beispielsweise kann ein Fall schnell einmal 10 000 CHF kosten. Diese Kosten übernimmt die Rechtsschutzversicherung. Unsere Kunden schätzen zudem unseren fortlaufenden Support und die präventive Rechtsberatung, welche eine weitere Eskalation verhindern kann. Ein Rechtsstreit ist nämlich nicht nur mit finanziellem Aufwand verbunden. Er kostet die Betroffenen vor allem Zeit und Energie, die anderswo fehlt. Empfehlenswert ist eine Rechtsschutzversicherung natürlich auch für Vermieter und KMU, da sie bei steigenden Umsätzen mit höheren Risiken konfrontiert sind, etwa bei Streitigkeiten mit Kunden und Lieferanten. Welche Ansprüche stellen Kunden heute an eine Rechtsschutzversicherung? Probala: Kunden wollen heute einfache, flexible und personalisierte Lösungen. Unser beliebtestes Produkt ist mittlerweile der «Flex» Rechtsschutz, bei dem Kunden die Rechtsgebiete selbst zusammenstellen können, die sie versichern wollen. Zusätzliche Flexibilität bietet auch die Option, die Versicherungssumme, Wartefrist oder örtliche Deckung zu individualisieren. Ausserdem erwarten Kunden, mit wenigen Klicks online zum Vertragsabschluss zu gelangen oder

Die meisten Fälle verzeichneten wir im Arbeits- und Mietrecht, besonders bei Kurzarbeit, Kündigungen oder Mietzinsaussetzungen.

Rechtsfälle melden zu können. All dies bietet Dextra als eine der ersten digitalen Rechtsschutzversicherungen in der Schweiz. Dennoch realisieren wir immer wieder, wie wichtig der menschliche Kontakt ist. Rechtsstreitigkeiten sind meist emotionale Angelegenheiten, und unsere Kunden sind dankbar, während des gesamten Prozesses von unseren Beratern sachkundig begleitet zu werden.

etwa von insolventen Reisekonzernen oder Betriebsschliessungen unvorbereitet getroffen.

Schliesslich schätzen unsere Kunden, dass wir ein unabhängiger Rechtsschutzversicherer sind: Ohne grossen Konzern im Rücken sind wir agil und kundenorientiert, und potenzielle Interessenskonflikte werden vermieden.

Deshalb blicken wir mit Zuversicht in die Zukunft. Auch wenn niemand mit Gewissheit vorhersehen kann, welche künftigen Herausforderungen auf uns zukommen – wir stehen unseren Kunden in allen Lebenslagen als verlässlicher, unkomplizierter und unabhängiger Partner zur Seite.

Hat Dextra die Pandemie im Rechtsschutzgeschäft besonders zu spüren bekommen? Riniker: Ja, es gab letztes Jahr deutlich mehr Rechtsstreitigkeiten: Die Pandemie verursachte bei Dextra weit mehr als 10 000 zusätzliche Beratungs- und Rechtsfälle. So wurden unsere Kunden

Die meisten Fälle verzeichneten wir im Arbeits- und Mietrecht, besonders bei Kurzarbeit, Kündigungen oder Mietzinsaussetzungen. Erfreulicherweise haben unsere Kompetenzteams den Mehraufwand bisher souverän und mit grossem Engagement gemeistert.

Ratgeber Rechtsschutzversicherung Typische Rechtsgebiete, die eine Rechtsschutzversicherung abdecken kann: 1. Arbeit (insbesondere Streitigkeiten mit Arbeitgebern) Beispiele: Sie wollen ein schlechtes Arbeitszeugnis anfechten. Ihr Arbeitgeber will geleistete Überstunden nicht auszahlen. Sie wurden fristlos gekündigt. 2. Wohnen (Streitigkeiten mit Vermietern, Mietern oder Nachbarn) Beispiele: Ihr Vermieter möchte aufgetretene Mängel nicht beheben. Sie wollen eine ungerechtfertigte Mietzinserhöhung oder eine fehlerhafte Nebenkostenabrechnung anfechten. 3. Familie (Streitigkeiten im Zusammenhang mit Schul-, Kindes- und Erwachsenenschutzbehörden sowie im Familien- und Erbrecht) Beispiele: Ihre Tochter wird nicht im gewünschten Schulkreis eingeschult. Ihr ehemaliger Partner verletzt die Unterhaltspflicht. Sie sind mit der Erbteilung nicht einverstanden. 4. Mobilität (Streitigkeiten im Zusammenhang mit Fahrzeugen, Verkehrsdelikten und Reisen) Beispiele: Sie werden von einem Raser angefahren und dabei verletzt. Sie sind innerorts zu schnell gefahren und erhalten einen Strafbefehl. Ihr Reiseveranstalter storniert kurzfristig Ihre Reise nach Costa Rica. 5. Alltag (Streitigkeiten aus Verträgen, Datenschutz, Persönlichkeitsverletzungen sowie mit Versicherungen, Ärzten und Spitälern) Beispiele: Sie wurden auf Instagram namentlich erwähnt und beleidigt. Kriminelle haben Ihre Kreditkarte gehackt und Waren auf Ihre Rechnung gekauft. Sie wurden von einem Hund gebissen. Ihre Krankenkasse möchte die Behandlungskosten nicht übernehmen. Darüber hinaus kann die Rechtsschutzversicherung für Privatpersonen und Unternehmen mit zusätzlichen Leistungsbausteinen individuell gestaltet werden. Bei weiterführenden Fragen zur Rechtsschutzversicherung steht Dextra Ihnen gerne zur Verfügung: Unter info@dextra.ch, per Telefon (+41 44 296 60 60) oder auf www.dextra.ch.

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

SCHWEIZERISCHE KRIMINALPRÄVENTION SKP • BRANDREPORT 15

Digitale Identitäten – vom Passwort zur E-ID Bekannte auf der Strasse zu erkennen, ist nicht schwer. Jeder Mensch ist individuell und unterscheidet sich von anderen über Aussehen, Stimme oder die Art, sich zu bewegen. Aber wie identifiziert man jemanden im digitalen Raum? Und wie kann man seine eigene digitale Identität vor Cyberkriminalität schützen?

m zu überprüfen, ob im Internet die richtige Person auf einen Dienst zugreift, fragt der Anbieter bestimmte Informationen ab, meist einen Nutzernamen bzw. E-Mail und ein Passwort. Zunehmend werden auch Sicherungsmittel eingesetzt, die direkt mit der Person verbunden sind: Bei solchen Multifaktor-Authentifizierungen verfügt die zugangsberechtigte Person nebst den üblichen Login-Daten beispielsweise über einen persönlichen Gegenstand wie das Smartphone oder über bestimmte biometrische Besonderheiten wie einen Fingerabdruck. Dadurch wird es deutlich schwieriger, eine digitale Identität zu stehlen. Dennoch lässt sich die Identität im Internet viel einfacher kompromittieren als im realen Leben. Einbruch in die digitale Persönlichkeit Digitale Identitäten sind ein beliebtes Angriffsziel von Cyberkriminellen. Wer ein Konto gehackt hat, kann beispielsweise im Namen der bestohlenen Person deren Freunde wegen einer Notlage um Geld bitten. Oder ihnen einen scheinbar interessanten Link schicken, der in Wirklichkeit Malware installiert. Natürlich sind auch Zugangsdaten zu Bankkonten für Cyberkriminelle interessant und wenn sie nach einem Hackerangriff irgendwo unverzichtbare oder kompromittierende Inhalte finden, ist die Erpressung nicht weit. Viele Warnungen von Betrügern bezüglich angeblich gehackter Konten (oder Webcams) sind allerdings auch nur ein Bluff. Wer unsicher ist, ob er oder sie wirklich gehackt wurde, kann sich an die Schweizerische Kriminalprävention wenden. Gut vernetzt mit den kantonalen und städtischen Polizeikorps sowie mit Cybersicherheitsorganisationen, kennt die Fachstelle die aktuellen Vorgehensweisen und hilft einzuschätzen, wo welche Gefahren drohen. Sie zeigt Handlungsoptionen auf und vermittelt bei Bedarf an die zuständigen Behörden.

Mit fünf Schritten zu mehr Cybersicherheit Zum Schutz von digitalen Identitäten lancierte die Schweizerische Kriminalprävention im Frühjahr

gemeinsam mit dem Nationalen Zentrum für Cybersicherheit NCSC und weiteren Partnern die S-U-P-E-R-Kampagne (www.s-u-p-e-r.ch). S-U-P-E-R dient dabei als Merkwort für fünf Schritte, die zu mehr digitaler Sicherheit führen: Sichern der Daten; Updaten der Systeme; Prüfen, ob ein Virenschutz vorliegt; Einloggen nur mit sicheren Passwörtern und Reduzieren von Risiken durch gesundes Misstrauen. Die Inhalte wurden gemeinsam mit der Plattform «eBanking – aber sicher!» der Hochschule Luzern (HSLU) erarbeitet und liegen auch als Broschüre vor. Da viele digitale Identitäten nach wie vor primär über ein Passwort gesichert werden, sollten die User ein paar Grundregeln beachten: Sichere Passwörter bestehen aus mindestens zwölf Zeichen, Gross- und Kleinbuchstaben, Sonderzeichen und sind nirgends in einem Wörterbuch zu finden. Zudem sollte ein Passwort nie mehrfach verwendet werden.

Schweizerische Kriminalprävention SKP E-Mail: info@skppsc.ch Tel. 031 511 00 09 www.skppsc.ch

Schützen Sie Ihre Zugänge, damit sie niemand knackt.

Digitale Identitäten sind geduldig Digitale Identitäten geben zwar mehr oder weniger sicher Aufschluss darüber, ob wirklich diejenige Person auf ein Konto zugreift, die sich dafür registriert hat. Sie sagen aber nichts über die reale Identität der Person aus. Bei Internetbekanntschaften ist also Vorsicht geboten. So mancher kanadische Ingenieur im Aussendienst und so manche alleinerziehende Lehrerin aus Weissrussland sitzen in Realität irgendwo in einem Cybercafé in Westafrika und haben den Auftrag, das Vertrauen der Leute auszunutzen, um Geld zu ergaunern. Gemäss der Schweizerischen Kriminalprävention sollte die Identität einer Person im Internet spätestens dann hinterfragt werden, wenn es zu einer Geldforderung kommt. Eindeutige Identitäten mit Vor- und Nachteilen Da sich immer mehr online abspielt, steigt das Bedürfnis nach sicheren digitalen Identitäten, die sich eindeutig einer realen Person zuordnen lassen. Mit dem Gesetz über elektronische Identifizierungsdienste

wird es für die Cyberkriminellen. Die Vermittlung der dazu benötigten Informationen ist eine der Aufgaben der Schweizerischen Kriminalprävention.

(E-ID-Gesetz) lag die Grundlage für eine vom Bund anerkannte elektronische Identität vor. Das Gesetz wurde jedoch im März 2021 vom Volk abgelehnt. Nebst dem zunehmenden Misstrauen gegenüber Datensammlungen gab wohl auch die Angst vor Missbrauch solcher Identitäten den Ausschlag. Der erhöhte Datenschutz wird im neuen Diskussionspapier zum «Zielbild E-ID» stärker berücksichtigt. Bei Missbrauch hingegen gilt wie bei anderen Delikten auch: Je besser das Vorgehen bekannt ist, desto schwieriger

nd tückisch, asswörter si ist P e ch a w h Sc eit Cybersicherh

Nationales Zentrum für Cybersicherheit NCSC

EBANKING - ABER SICHER! • BRANDREPORT

So bleibt E-Banking sicher Nicht erst seit der Covid-Pandemie erfreuen sich digitale Finanzdienstleistungen einer wachsenden Beliebtheit. Der digitale Bankschalter steht rund um die Uhr zur Verfügung: Den Kontostand von zu Hause aus oder unterwegs Prüfen, Überweisungen online Aufgeben oder bargeldlos Bezahlen ist bequem – birgt aber auch Gefahren. Mit dem richtigen Verhalten lassen sich diese minimieren.

ie Finanzinstitute in der Schweiz bieten mit zahlreichen Massnahmen die bestmögliche Sicherheit beim E-Banking. Sie schützen ihre Systeme, den Datenaustausch mit Kunden und überprüfen sogar einzelne Transaktionen auf Korrektheit. Aber auch E-Banking-Anwendende leisten einen wichtigen Beitrag, indem sie ihre eigenen Geräte und Daten schützen und sich im Umgang mit ihrem Online-Konto sicherheitsbewusst verhalten. Schützen der Geräte und Daten Die Voraussetzung für sicheres E-Banking sind sichere Geräte und Daten. Einfach zu bewerkstelligen ist dies mit den «5 Schritten für Ihre digitale Sicherheit» von «eBanking – aber sicher!»: Zu diesem Basisschutz (auch für Smartphones und Tablets) gehören eine regelmässige Datensicherung (sog. Backup), ein installiertes Virenschutzprogramm, das Einspielen von Software-Updates, die Verwendung von sicheren Passwörtern sowie aufpassen und wachsam sein. Wichtig beim Anmelden Die Anmeldung beim E-Banking sollte auf sichere Art und Weise erfolgen, indem die Adresse zum E-Banking des Finanzinstituts immer manuell in der

Adresszeile des Browsers eingetippt wird. Nur so wird sichergestellt, dass man auch beim E-Banking seiner Bank landet und nicht auf einer nachgebauten Website eines Angreifers. Bevor dann die Anmeldedaten eingegeben werden, ist unbedingt auf eine sichere Verbindung (Schloss-Symbol, richtiger Name des Finanzinstituts und korrekter Domänen-Name) zu achten. Wichtig beim Abmelden Wenn im E-Banking alles erledigt ist, sollte dies dem Finanzinstitut mitgeteilt werden, damit die E-Banking-Sitzung sicher beendet wird. Das Beenden dieser passiert korrekt über die dafür vorgesehene Funktion (meist mit «Abmelden», «Logout» oder «Beenden» gekennzeichnet). Das nachträgliche Löschen des Browserverlaufs (auch Browser-Cache) entfernt schlussendlich alle erzeugten Spuren. Verwendendung einer Mobile Banking App Im Gegensatz zum klassischen E-Banking mittels Browser erhält der Kunde beim Mobile Banking via Smartphone oder Tablet vom Finanzinstitut eine vorgefertigte und speziell fürs elektronische Banking zugeschnittene Software, welche entsprechend gut abgesichert ist. Damit entfällt für die Anwendenden die manuelle Eingabe der Bankadresse und die Überprüfung der sicheren Verbindung – beides erledigt die

Die Voraussetzung für sicheres E-Banking sind sichere Geräte und Daten.

Banking-App im Hintergrund automatisch und minimiert damit viele Gefahren wie zum Beispiel Phishing. Wollen Sie es noch genauer wissen und Ihre digitale Sicherheit – nicht nur beim E-Banking – verbessern? In knapp zwei Wochen beginnen die beliebten «eBanking – aber sicher!» Kurse (siehe Box) und es hat noch freie Plätze! Weitere und detaillierte Informationen unter www.ebas.ch

Eine Dienstleistung der Hochschule Luzern Die Dienstleistung «eBanking – aber sicher!» (EBAS), welche vom Departement Informatik der Hochschule Luzern angeboten wird, unterstützt Schweizer Bürgerinnen und Bürger sowie Bankmitarbeitende rund um das Thema Informationssicherheit mit Fokus E-Banking. Es ist die schweizweite Awareness-Kampagne, welche seit nunmehr über 13 Jahren die Schweizer Bevölkerung sowie Bankmitarbeitende erfolgreich für sicheres E-Banking sensibilisiert. Gestartet mit drei Partnerbanken (Credit Suisse, PostFinance und Zürcher Kantonalbank) wird die Kampagne heute von knapp 50 Banken aus der ganzen Schweiz unterstützt.

«eBanking – aber sicher!» Kurse für verschiedene Zielgruppen Grundkurs Am Grundkurs werden die aktuellen Bedrohungen im Internet behandelt und wie man sich mit einfachen Massnahmen – mit den «5 Schritte für Ihre digitale Sicherheit» – vor solchen schützen kann. Einfache Regeln für sicheres E-Banking runden den Kurs ab. Praxiskurs Am Praxiskurs können die «5 Schritte für Ihre digitale Sicherheit» an bereitgestellten Computern mit Windows oder macOS in einer geschützten Umgebung angewendet und das Wissen zu sicherem E-Banking überprüft werden. Online-Kurs für unter 30-jährige Dieser Online-Kurs richtet sich an die junge Generation und stellt hauptsächlich das täglich im Einsatz stehende Smartphone ins Zentrum. Neben Basics wird gezeigt, was im Umgang mit Social Media (WhatsApp, Instagram & Co.) wichtig ist und wie Clouds sicher verwendet werden. Fehlen darf natürlich auch die Sicherheit beim Mobile Banking und Mobile Payment nicht. Online-Kurs für KMU Neue gesetzliche Anforderungen, wachsende Informatik-Komplexität, vermehrter Einsatz mobiler Technologien, Auslagerung in die Cloud sowie organisierte Kriminalität verlangen Sicherheit – insbesondere Informationssicherheit. Dieser Kurs zeigt die wichtigsten digitalen Bedrohungen und erste Massnahmen für mehr Informationssicherheit in Unternehmen auf. Informationen und Anmeldung: www.ebas.ch/course

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

16 CYBERSECURITY

FOKUS.SWISS

Sicherheitslücken in der IT bergen reale Risiken Homeoffice, Cloudworking und Internet of Things (IoT): Die Digitalisierung bringt auch für Unternehmen neue Möglichkeiten mit sich und vereinfacht den Arbeitsalltag in vielerlei Hinsicht. Das gilt jedoch nicht für einen Bereich. Die Informationssicherheit sieht sich angesichts der zunehmenden Vernetzung zahlreicher Geräte und der immer professioneller werdenden Hackerszene mit neuen Herausforderungen konfrontiert.

hishingmails gehören mittlerweile fast für jede:n zur Tagesordnung. Immer häufiger wird in den Medien auch von Cyberattacken auf Unternehmen berichtet. Mithilfe der verschiedensten Tricks erbeuten Cyberkriminelle datenrechtlich geschützte Daten, verschlüsseln sie oder legen ganze Netzwerke lahm. «Die momentan aktuellste Bedrohung geht wohl von sogenannten Ransomware-Attacken, also von Verschlüsselungstrojanern aus. Davon gibt es allerdings zwei verschiedene Varianten. Bei der einen Variante wird versucht, möglichst viele zu infizieren, von denen sich die am schlechtesten Vorbereiteten erpressen lassen. Und dann gibt es die massgeschneiderte Variante, bei der ganz gezielt ein Unternehmen attackiert wird. Diese Angriffe sind sehr aufwendig, komplex und in den meisten Fällen erfolgreich», erläutert Herr Dr. Christian Thiel, ICT-Risk Experte und Vorstandsmitglied der ISSS. Um die Veröffentlichung der Daten zu verhindern oder die verschlüsselten Daten wieder freizugeben, fordern die Hacker:innen Lösegelder. Sicherheitslücken aufgrund fehlenden Bewusstseins Problematisch ist vor allem das fehlende Bewusstsein für die Wichtigkeit einer systematischen Beschäftigung mit Cybersecurity-Themen in Unternehmen. «Der Mensch ist sehr selektiv in der Risikowahrnehmung und denkt meist, dass es lediglich die anderen trifft. Hinzu kommt, dass die Umsetzung eines Sicherheitskonzepts Aufwand und die Verwendung von Ressourcen wie Geld und Knowhow bedeutet. Trotzdem würde ich allen dringendst empfehlen, sich über die IT-Sicherheit Gedanken zu machen. Denn schützt man das Unternehmen nicht, riskiert man nicht nur einen Schaden, sondern seine gesamte Existenz», so Thiel. ISO Standards wie ISO 27001 oder der BSI IT-Grundschutz bieten entsprechend

Hilfestellungen bei der Umsetzung einer vollumfänglichen Cybersicherheit. Es existieren also bereits einige Best Practices, an denen Unternehmen sich orientieren können. «Präventiv sollten auch immer aktuelle Backups erstellt werden, die gesichert sind und es im Ernstfall ermöglichen, verschlüsselte Daten wiederherzustellen. Und natürlich ist ein Virenschutz Pflicht. Darüber hinaus können strengere Regeln bezüglich des Umgangs mit per Mail empfangenen Dateien eingeführt und beispielsweise keine Office-Dokumente mehr als Anhänge akzeptiert werden», führt Thiel aus. Jüngst stellte auch die rasche Einführung von Homeoffice in vielen Unternehmen ein Sicherheitsrisiko dar. «Es gibt durchaus Möglichkeiten, die Mitarbeitenden und das Unternehmen auch im Homeoffice zu schützen. Viele waren jedoch nicht darauf vorbereitet und die Lösungen eher improvisiert. Entsprechend traten Schwachstellen auf, die für Angriffe ausgenutzt werden konnten», so Thiel. Aber auch bei der Verwendung von Cloud-Diensten fehlt vielerorts das nötige Know-how. «Das Wichtigste dabei ist, dass sich die Unternehmen bewusst sind, dass sie ihre Daten blind einem Provider anvertrauen. Wird die

Cloud in Verbindung mit Kunden-, Geschäfts- oder anderen datenschutzrelevanten Daten verwendet, sollten diese zusätzlich abgesichert werden. Auch dazu gibt es entsprechende Rahmenwerke», meint Thiel. Das grösste Risikopotenzial sieht Thiel aber in der zunehmenden Verwendung von IoT: «In Unternehmen wurde bisher die IT in der Produktion strikt von der Business-IT, sprich derjenigen im Büro, getrennt. Sicherheitstechnisch stand vor allem die Büro-IT im Vordergrund, nicht aber die industrielle IT. Mit IoT werden diese Bereiche miteinander verknüpft, woraus neue Sicherheitslücken entstehen.» Dies soll heissen, dass es durch die Vernetzung möglich wird, über die neu digitalen Maschinen auf das gesamte Netzwerk zuzugreifen. «Entsprechende Angriffe betreffen aufgrund vorherrschenden Sicherheitslücken auch zunehmend den Bereich der Konsument:innen. So beispielsweise bei ‹distributed denial of service›-Attacken, die sich über smarte Konsumergeräte – sei es das smart TV oder die vernetzte Kaffeemaschine – ereignen. Angreifende können Hunderttausend Kaffeemaschinen hacken, von diesen auf das Netzwerk zugreifen und so den gesamten Webserver abstürzen lassen», veranschaulicht Thiel.

Professionelle Strukturen werden verlangt Um solche Risiken vollumfänglich anzugehen und effektiv zu managen, braucht es drei Handlungsfelder. «Technisch gesehen, braucht es in Zukunft mehr Fachkräfte, die sich im riesigen Feld der Informatik auf die Sicherheit spezialisieren. Doch die Technik allein reicht nicht aus. Vieles hängt auch mit der Organisation in Unternehmen zusammen. Es sollten regelmässig Risikoanalysen vorgenommen, bewertet und daraufhin technische und organisatorische Massnahmen getroffen werden. Benötigt wird neben dem technischen Knowhow also auch eines im Sicherheitsmanagement. Und letztlich muss ein Bewusstsein dafür geschaffen werden, dass von der Informationstechnologie reale Risiken ausgehen, die eigentlich jede:n treffen können und es sich lohnt, sicherheitstechnische Massnahmen einzuführen. Im unternehmerischen aber auch im privaten Kontext ist ein gesundes Misstrauen schon ein guter Anfang», erklärt Thiel. Cyberkriminelle, die den ganzen Tag in ihrem dunklen Keller sitzen, Cola trinken und Pizza essen, gehören der Vergangenheit an. «Was sich abzeichnet, ist, dass der Hackerszene immer besser ausgebildete Leute angehören und die Angriffe professioneller und besser vorbereitet sind. Das geht so weit, dass man mittlerweile von einer organisierten Kriminalität sprechen kann», sagt Thiel. Gezielte Angriffe auf ein Unternehmen sind deswegen in der Regel erfolgreich. Aber auch wenn man sie noch nicht verhindern kann, kann man mit den richtigen Vorbereitungen den Schaden massiv minimieren. Thiel erläutert: «Unternehmen brauchen Mechanismen und Methoden, um Angriffe möglichst schnell zu erkennen und darauf zu reagieren. Im Extremfall zieht man halt den Stecker, auch wenn das nur sehr selten nötig ist. Professionelle Strukturen wie ein Security-Operation-Center aufzubauen, wird in Zukunft entscheidend sein.» Text Lisa Allemann

AFCAKADEMIE

SICHERHEITSBEAUFTRAGTE/R BRANDSCHUTZ (SiBe) Mit AFC zum Zertifikat Sicherheitsbeauftragter Brandschutz gem. ISO 17024 von S-Cert AG

www.afc.ch/ausbildung-sibe

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

ETH ZÜRICH • BRANDREPORT 17

IT als die grösste Baustelle unserer Zeit Die Welt wird digital. Was einerseits viele Vorteile verspricht, geht auch mit neuen Risiken einher. Für diese kommenden Herausforderungen gerüstet zu sein, heisst, die Grundlagen zu verstehen. Das Institute of Information Security der ETH Zürich bietet deshalb Weiterbildungen im Bereich Cyber Security an.

Dr. Siniša Matetić

Programmkoordinator & Dozent, ETH Zürich

ie Pandemie hat vielen verdeutlicht, dass die Digitalisierung nicht nur Chancen bietet, sondern notwendig ist, um weiterhin erfolgreich und konkurrenzfähig zu sein. Das gilt sowohl für Unternehmen als auch den öffentlichen Sektor. Um diesen Prozess aber gewinnbringend zu beginnen und zu begleiten, muss man den Überblick behalten. Während CybersicherheitSachkundige tiefgreifende Kompetenzen aufweisen, sollten weitere Mitarbeitende ebenfalls über Kenntnisse der Sicherheit verfügen. Programmkoordinator und Dozent an der ETH Zürich, Dr. Siniša Matetić stimmt zu: «Auch Führungskräfte brauchen ein grundlegendes Verständnis für Cybersicherheitsprobleme in ihren Organisationen.» Nicht zu unterschätzende Gefahren Privatpersonen machen sich eher Sorgen um den Datenschutz, derweil Unternehmen vor allem monetäre Verluste fürchten. Im digitalen Bereich gibt es gleich mehrere Risiken, die finanzielle Einbussen nach sich ziehen können. Auf Unternehmen bezogen, scheinen vor allem Erpressungsversuche oder unerwünschte Einblicke in interne Daten ein Problem zu sein. «Die grössten Risiken sind Ransomware, Malware, Schwachstellen in der Cloud sowie Phishing und Social Engineering», erklärt Dr. Matetić. Diese Risiken werden wiederum durch ein verbreitetes Problem befeuert: einen Mangel an Fachkräften für Cybersicherheit.

Die Digitalisierung als Baustelle Im Kern befindet sich die gesamte ausbreitende IT im Bau. Daten werden immer häufiger in Cloud-Infrastrukturen verlagert und das Angebot an digitalen Vertrauensdiensten wächst laufend. Gleichzeitig werden Kryptowährungen und die Blockchain-Technologie stetig populärer. Letztere dringt auch in ehemals stationäre Branchen vor. Die IT kann also kaum noch als separater Bereich angesehen werden. Im Gegenteil, Digitalisierungsthemen sind zur selben Zeit genauso Cybersicherheitsbaustellen. Dr. Matetić beschreibt die Situation folgendermassen: «Die IT steuert heute eigentlich alles, ob ganze Lieferketten, Geschäftsprozesse oder die Medizin. Die Folgen von Cyberproblemen können unerwartet sein, beispielsweise kann ein Angriff auf eine Pipeline zu einem Benzinmangel führen, der dann weiteres Unheil nach sich zieht.» Grundlegende Kompetenzen verhindern Schäden Um Sicherheitslücken zu erkennen und zu schliessen, benötigen auch Führungskräfte Grundkenntnisse in Cybersicherheit. Dies ist erklärtes Ziel der CAS- und DAS-Programme in Cyber Security der ETH Zürich. Die Programme richten sich nicht nur an Fachleute mit einem Informatikhintergrund. Zielgruppe sind auch Personen in Positionen, in denen Kenntnisse über technische und politik- oder strategiebezogene Aspekte der Cybersicherheit entscheidend sind. «Unser Ziel ist es, dass die Absolventinnen und Absolventen auf die Komplexität der heutigen Cybersicherheit vorbereitet sind und die Vielfalt der Aspekte verstehen, um nachhaltige und rationale Entscheidungen zu treffen», führt Dr. Matetić aus. Geboten wird keine ganzheitliche Ausbildung in Cyber Security. Der Kern der Programme ist es, zusammenhängende Forschungskonzepte wie die Grundlagen

der Cybersicherheit vermittelt. So erhalten Absolventinnen und Absolventen eine solide Wissensbasis über die Komplexität und unterschiedlichen Aspekte im Umgang mit der Informationssicherheit.

Das Angebot an digitalen Vertrauensdiensten wächst laufend. der Kryptografie Nicht-Expert:innen zugänglich zu machen. Diese Weiterbildungen wurden entwickelt, um einen Bedarf an Kenntnissen in Führungspositionen zu decken, der in Gesprächen mit Industrie- und Technologiesektoren sowie staatlichen Organisationen und dem Militär erkannt wurde. Gerüstet für die Herausforderungen der Digitalisierung Die Teilnehmenden des CAS erhalten zuerst ein Gesamtbild der Cybersicherheit und erlernen deren «Sprache». In einem Seminar wird ihnen ein aktuelles Thema zugewiesen, in das sie sich vertiefen, um weitergehende Zusammenhänge zu erkennen. Schlussendlich wird ein breiter Überblick über den heutigen Stand der Forschung und Entwicklungen

Das DAS in Cyber Security richtet sich an Fachkräfte mit einem Bachelorabschluss in Informatik oder einem verwandten Gebiet. Das Teilzeitstudium ist detaillierter aufgebaut als das CAS und vermittelt weitreichende Kompetenzen der heutigen Forschung der Cybersicherheit. Theoretisches Wissen wird sowohl vertieft als auch durch praktische Experimente ergänzt. So erlangen die Teilnehmenden ein Verständnis der Probleme und Herausforderungen der Informationssicherheit und können über die Wahlfächer eigene Schwerpunkte setzen. Weiterführende Informationen: inf.ethz.ch/cas-cybersecurity inf.ethz.ch/das-cybersecurity

Alina Tyukhova, Software Engineer bei Google: «2017 hatte ich zwar etwas Erfahrung in IT, aber nach einigen erfolglosen Bewerbungsgesprächen habe ich realisiert, dass ich mein Wissen, meine Praxis und meinen Lebenslauf verbessern muss, um voranzukommen. Als das Programm Cyber Security an der ETH startete, hatte ich das Glück, zu den ersten Teilnehmenden zu gehören. Ich bin tief in die Cybersicherheit eingetaucht inklusive, aller wichtigen und aufregenden Themen, Teamprojekte und Hackathons. Ich kann das Programm nur empfehlen. Es stellt eine Möglichkeit dar, die Chancen auf dem Arbeitsmarkt zu erhöhen und die Karriere voranzutreiben.» ANZEIGE

Mit Sicherheit zum beruflichen Erfolg Mit einer Weiterbildung zum Cyber Security Specialist (eidg. Fachausweis) oder ICT Security Expert (eidg. Diplom)

Arbeitgeber/innen schätzen die unabhängige Prüfungsinstanz und den eidgenössischen Abschluss

Mehr Informationen auf https://www.ict-weiterbildung.ch/

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

18 EINBRUCHSCHUTZ

FOKUS.SWISS

Wie gehen Einbrechende vor? Wie kann man sich schützen? Mit dem Anbruch der dunklen Winterzeit erhöht sich das Einbruchsrisiko. Fokus hat Experten befragt, wie Einbrechende vorgehen und wie man sich am besten vor Einbrüchen schützen kann.

eder kennt das klassische Bild des Einbrechers oder der Einbrecherin: Schwarz gekleidet, Lederhandschuhe, Mütze auf dem Kopf und einen Strumpf über dem Gesicht. Heimlich steigt er über das Fenster ein und steht aus heiterem Himmel im Zimmer. Doch wie gehen die Kriminellen tatsächlich vor? Einbrüche sind nur selten minutiös geplant Im Jahr 2020 wurden in der ganzen Schweiz 32 819 Einbruchdiebstähle registriert. Das sind ungefähr 90 Einbrüche pro Tag. Davon sind die meisten spontan ausgeübte Taten: «Die Einbrechenden begeben sich in Quartiere und kundschaften die Objekte aus. Dort, wo niemand zu Hause ist, wird eingebrochen», sagt Peter Strohmaier von der Sicherheitsberatung der Kantonspolizei Zürich. Sauber geplante Einbruchsaktionen wie in Filmen gibt es eher selten: «Die meisten Einbrechenden planen ihre Taten nicht minutiös. Das kommt nur vor, wenn es Einbrechende gezielt auf ganz konkretes Deliktsgut abgesehen haben, beispielsweise ein Bilderdiebstahl», so Strohmaier. Mehr Einbrüche am Jahresende Die zunehmende Dunkelheit des Winters bietet den Kriminellen einen wichtigen Schutz, entsprechend steigt das Einbruchsrisiko. «In der Tat werden Ende Jahr am meisten Einbrüche verzeichnet. Die Einbrechenden möchten unerkannt ihre Delikte verüben, deshalb schätzen sie die Dunkelheit. Oft sind es sogenannte Dämmerungseinbrüche», weiss Peter Strohmaier.

Fenster sind die grösste Schwachstelle Sie gehen dabei immer ähnlich vor: Nachdem das Quartier ausgekundschaftet wurde, wird spontan in das ausgewählte Objekt eingebrochen, oftmals sind das Häuser oder Parterrewohnungen. Ihre Methoden unterscheiden sich dabei je nach Häuserart nicht wesentlich. Ihre liebsten Hilfsmittel sind der Schraubenzieher oder andere Hebelwerkzeuge. Damit werden vor allem Terrassenfenster aufgebrochen oder in Mehrfamilienhäusern via Treppenhaus die Eingangstüren aufgehebelt. Einbrechende bevorzugen dabei alles, was gut begehbar oder einfach zu erklettern ist. Denn so ist auch eine schnelle Fluchtmöglichkeit gewährleistet. Besondere Schwachstellen vieler Häuser sind die Fenster. Auffallend ist auch, dass Einbrüche oftmals in ganz gewöhnlichen Wohngegenden stattfinden, nicht etwa in vermögenden Quartieren. Einbrechende sind meist nicht bewaffnet Bei all dem Einbruchsrisiko gibt es aber festzuhalten, dass Einbrechende nicht wirklich gefährlich sind. Ihr Motiv ist meistens, schnell zu Geld zu kommen und nicht, Menschen zu verletzen. Sicherheitsexperte Peter Strohmaier: «Mir sind keine bewaffneten Einbrechenden bekannt. Sie sind so gesehen nicht gefährlich. Sie wollen unerkannt in ein Objekt eindringen, dieses schnell durchsuchen und meistens Geld und Schmuck stehlen. Dabei agieren sie menschenscheu und wollen unerkannt bleiben.»

Anwesenheit simulieren hilft Diese Scheuheit kann man sich zunutze machen, wenn man sich vor den Einbrechenden schützen will. Denn laut Peter Strohmaier sei das Simulieren von Anwesenheit nach wie vor das A und O der einfachen Mittel, um Einbrechende effektiv abzuschrecken. Weitere Massnahmen sind das Abschliessen der Türen und Fenster. Zusätzlich gibt es noch einen ganzen Katalog, wie man die Aussenhülle des Hauses effektiver schützen kann. In gewissen Situationen kann beispielsweise eine Alarmanlage hilfreich sein: «Der Alarm soll dann auch an eine Zentrale weitergeleitet werden, damit interveniert werden kann», so Peter Strohmaier. Videoüberwachung hingegen verhindert laut dem Sicherheitsberater kaum einen Einbruchsdiebstahl. Was tun bei einem Einbruch? Für viele Menschen ist ein weiteres Horrorszenario die Vorstellung, dass jemand in das Haus einsteigt, während man daheim ist. Tritt dieser Fall ein, wird dazu geraten, das Licht anzumachen, laut zu schreien und sofort den Notruf zu wählen. Auch wenn beim nach Hause kommen bemerkt wird, dass Einbrechende am Werk sind, soll unverzüglich der Notruf gerufen werden. Statt sich bemerkbar zu machen, soll man hier aber besser den Rückzug antreten und auf die Fluchtrichtung sowie das Aussehen und die besonderen Merkmale der Kriminellen achten. Was tun bei Verlusten? Entdeckt man zu Hause den Einbruch, ist wichtig zu beachten, dass man nichts unnötig anfassen

soll, um keine Spuren zu verwischen und auch dann sofort den Notruf zu wählen. War der Diebstahl erfolgreich, bekommt man das Diebesgut nur dann wieder zurück, wenn die Kriminellen verhaftet, das Deliktsgut sichergestellt und zugeordnet werden kann. Die Aufklärungsquote von Einbrüchen liegt momentan bei zehn bis fünfzehn Prozent. Hausratversicherung deckt Einbrüche nicht unbedingt Wenn also die Einbrechenden nicht gefasst werden, erhält man die Beute nicht zurück. Kommt dann wenigstens eine Versicherung für den Schaden auf ? Das ist leider falsch. In der Versicherungspolice der Hausratversicherung ist genau festgehalten, wann eine Deckung besteht. Eine Deckung besteht nur, wenn sich jemand gewaltsam Zutritt in ein Gebäude oder Raum verschafft hat. Ausserdem auch, wenn ein Behältnis darin aufgebrochen wird. Das heisst, wenn die Langfinger beispielsweise eine offene Türe oder ein offenes Fenster vorfinden und so gewaltfrei ins Haus eindringen können, muss die Versicherung nicht für den zustande gekommenen Schaden aufkommen. Da die Reaktionen auf eine derartige Verletzung der Intimsphäre sehr unterschiedlich sein kann, bieten diverse Polizeistellen kostenlose Sicherheitsberatungen an und empfehlen bei länger andauernden Beschwerden psychologische Unterstützung. Text Severin Beerli

GEGEN EINBRUCH KANN MAN SICH SCHÜTZEN! Prüfen Sie Ihr Zuhause auf Schwachstellen. Nutzen Sie dazu unsere Angebote. Wir beraten Sie kostenlos, unabhängig und kompetent. www.zh.ch/einbruchschutz sicherheitsberatung@kapo.zh.ch

2. November 2021

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

#FOKUSSICHERHEIT

TELECONEX • BRANDREPORT 19

Wer digitale Schliess- und Schutzsysteme braucht Bereits Ali Baba und seine vierzig Räuber wollten ihre Schätze sicher abschliessen und verwahren. Seit Ali Baba hat sich viel getan, unsere Welt wurde globaler und die Zusammenarbeit komplexer. Doch eines hat sich nicht verändert: Das Sicherheitsbedürfnis.

as menschliche Sicherheitsbedürfnis ist auch nach vielen Jahrhunderten präsenter denn je. Dies gilt für Zutritte zu Büroräumen oder Gebäuden wie auch für Zugänge zu Wertbehältnissen wie Tresore, Tresorräume oder auch Bankomaten. Dank der Digitalisierung gibt es heute viel sicherere Varianten als Zauberwörter. Das magische Wort heisst heute Gebäudeinformatik. Dank der modernen Gebäudeinformatik können Unternehmen und Filialbetriebe heute remote steuern und überwachen, wer wann Zutritt zu Büros, Serverräumen, Tresoren oder gar Bankomat-Befüllräumen hat. Dies ist zum einen viel sicherer als herkömmliche Varianten wie Zauberwörter oder verschiedene Schlösser und Schlüssel. Zum anderen sind digitale Schliesssysteme viel schneller und effizienter als die herkömmlichen Varianten. Mit den aktuellen digitalen Möglichkeiten, die sich heute bieten, hätten Ali Baba und seine 40 Räuber Freudensprünge gemacht. Schweiz hat Nachholbedarf Doch wer ist Spitzenreiter bei den digitalen Schliess- und Schutzsystemen? Christoph Widler, Gründer der Firma TeleConex, dem Schweizer Marktführer für Gebäudeinformatik: «Unternehmen in den Arabischen Emiraten, Belgien, Frankreich und Südafrika sind viel sicherer aufgestellt als Schweizer Unternehmen. Schweizer KMU, Filialbetriebe, Banken und auch Grossunternehmen sind oftmals old-school bei ihrer Sicherheit. Dies sehen wir praktisch bei jedem Neukunden.» Passiert ein schlimmer Vorfall wie ein Raub oder Missbrauch, dann werden die Sicherheitslücken von Unternehmen gnadenlos aufgedeckt. «Das ist der Zeitpunkt, bei welchem wir die meisten Telefonanfragen von Neukunden erhalten», erzählt Christoph Widler, der neben seiner Firma auch langjähriger Präsident vom Schweizer Verband für Gebäudeinformatik war. Zu

seinen Kunden gehören in diesem Bereich insbesondere Gemeinden, Kantonale Hochbauämter, Filialbetriebe, Facility- und Asset-Manager sowie Banken. Referat von Christoph Widler an der Smidex Suisse Wann: 17. November 2021, 14:00 – 14:45 Uhr Smart ID Exposyum, Track 4 Christoph Widler ist Gründer der TeleConex, dem Schweizer Marktführer in Gebäudeinformatik, Mitinitiator des Gebäudeinformatik Verbands SwissGIN, Stiftungsrat der SmartTech Education und Dozent.

Christoph Widler: Referat an der Smidex Aber es muss ja nicht jedes Mal zuerst etwas Schlimmes passieren, bevor ein Unternehmen sein Schliess- und Sicherheitssystem überprüft und auf den neuesten Stand bringt. Das ist auch der Grund, weshalb Christoph Widler am 17. November um 14 Uhr an der Smidex Suisse an der Messe Zürich Oerlikon als Referent auftritt. Die Smidex ist ein Exposyum, welches eine Übersicht über intelligente ID-Erkennung, Cyber Security, industrielle Sicherheit, Früherkennung von Gefahren, Risikominimierung und Facility Management bietet. Für Gebäudebetreiber zum Beispiel ist das Verwalten von physischen Zutrittsmedien eine Qual. Verlorene Schlüssel hier, wechselnde Personen da und verklemmte Türen dort. In seinem Referat, welches Widler am Eröffnungstag zur Prime Time hält, geht er auf die

Möglichkeiten von Smart Buildings ein. Er zeigt, wie digitale Lösungen als Bestandteil der Gebäudetechnikund Gebäudeinformatik Infrastruktur als Cloud-Service mit Security-Reportings genutzt werden können. Keine Märchen – nur Facts Nach seinem Referat an der Smidex beantwortet Christoph Widler Fragen aus dem Publikum. Zwei davon nehmen wir vorweg. Christoph Widler, wie wird man Schweizer Marktführer in Gebäudeinformatik? Nach meinem Schulabschluss begann ich 2001 mit der Lehre zum Telematiker bei der Firma Elektro Stoffelberg GmbH in Hittnau. Dieses Themenfeld faszinierte mich so sehr, dass ich bereits im zweiten Lehrjahr anfing, Aufträge von Freunden und Nachbarn anzunehmen und zu bearbeiten. Aus dieser Leidenschaft heraus gründete ich mit meinem damaligen Lehrmeister die TeleConex. Heute beschäftigt das Unternehmen zwanzig Spezialisten aus den Bereichen Informatik, Telekommunikation, Automation, Sicherheit und Multimedia. Ich tue einfach, was ich liebe und am besten kann.

Dabei geht es nicht nur um die Sicherheit der Unternehmen, sondern auch um den Datenschutz der Kunden dieser Unternehmen. Securitylecks passieren nicht nur bei Facebook, sondern auch bei kleineren Unternehmen. Und sie kosten eine Firma sehr viel Geld. Banken und Filialbetriebe mit viel Bargeldumsatz haben zusätzlich das Bedürfnis nach einem EchtzeitProtokoll beziehungsweise Reporting, wer wann in den Tresorraum geht, wie oft eine Öffnung stattfindet und wie lange eine Tresortür offensteht. Auch beim Befüllen eines Bankomaten. Digitalisierung in Kombination mit Gebäudeinformatik bietet so viele Mehrwerte gegenüber veralteten Lösungen, dass eben diese Unternehmen jetzt ihre Hausaufgaben gut lösen können und ihre Werte wirklich sicher und geschützt sind. Weitere Informationen: www.teleconex.ch www.lionsecurity.ch

Was sind die häufigsten Probleme beziehungsweise Bedürfnisse von Kunden beim Thema digitale Schliess- und Schutzsysteme? Die meisten Unternehmen sind sich bewusst, dass sie mit veralteten Zutritts- und Sicherheitssystemen arbeiten, die oftmals viel zu kompliziert, zu teuer und noch dazu sehr anfällig und letztlich unsicher sind. Im Grunde genommen haben die Kunden – egal aus welcher Branche – eines gemeinsam: Sie wollen ihr Büro, ihr Gebäude und ihren Tresor zentral steuern, damit sie sicher und effizient arbeiten können. Zum Beispiel, wer wann zu welcher Türe respektive Raum Zutritt hat – sei dies zum Büro, den Server- oder Tresorraum.

UNIQCONSULTING AG • BRANDREPORT

Cyberangriff – wie viel Stillstand können sich Unternehmen leisten? Die Zerstörung der Backup-Infrastruktur ist ein zunehmendes und immer stärker verbreitetes Phänomen bei Cyberangriffen. Durch das hohe operationelle Risiko, das von solchen Attacken ausgeht, sehen sich viele Unternehmen herausgefordert, eine umfassende Cyber-Resilienz-Strategie zu etablieren.

n der Schweiz zählt uniQconsulting zu den führenden herstellerübergreifenden IT-Dienstleistern. Mit einem breiten Technologie- und Lösungsportfolio wird die voranschreitende Digitalisierung und Konsolidierung von komplexen IT-Systemen gestützt. Begründet in der steigenden Vernetzung legt uniQconsulting ihren Fokus beim Design ihrer Lösungsarchitekturen auch auf die Einhaltung eines risikobasierten ISMS (Informationssicherheit- Managementsystem). Die Business Unit TQMi (Total Quality Management integral), welche sich auf die Einführung von Managementsystemen und das Consulting einer an das Unternehmen angepassten Cyber-Resilienz-Strategie fokussiert hat, unterstützt uniQconsulting in der Konzeption von Resilienz-Lösungen. Cyber Recovery als Bestandteil jeder Cyber-Resilienz-Strategie Trotz enormen Investitionen in ein ganzes Abwehrdispositiv beweisen jüngste Angriffe auf Schweizer Unternehmen, dass in der komplexen Umgebung Lücken bleiben, die nicht geschlossen werden können. Die Wahrscheinlichkeit, dass sämtliche Malware entdeckt wird, bevor Schaden entsteht, ist gering. Es entsteht ein unvermeidbares Zeitfenster, um einen Angriff zu planen, der zu Erpressungen bis hin zur völligen Zerstörung geschäftskritischer Systeme führt. Um dies zu vermeiden, gehört eine umfassende Cyber-Resilienz-Strategie zwingend auf die Agenda des obersten Managements. Deshalb bringen uniQconsulting und TQMi alle relevanten Stakeholder und die Unternehmensverantwortlichen an

einen Tisch. Nach risikobasiertem Ansatz werden in Workshops ein gemeinsames Verständnis geschaffen und sowohl finanzielle, operative, marktspezifische oder strategische Risiken bewertet. Detailliert werden die kritischen Geschäftsdaten und -Prozesse definiert, welche in der Cyber-Recovery-Lösung abgebildet werden. Um Ausfallzeiten zu verhindern, umfasst die Architektur einer Cyber-Recovery-Lösung somit nicht nur die Technologie, sondern auch die Strategie, die Verantwortlichkeiten und die Schulungen, die zum Schutz und zur Wiederherstellung der Informationssysteme erforderlich sind. Entwicklung einer resilienten Lösung Das Gesamtkonzept von uniQconsulting umfasst somit die Definition von Prozessen, Abläufen und Zuständigkeiten im Wiederherstellungsprozess, andererseits die technische Lösung. Das Konzept wird in regelmässigen Managed Disaster Recovery Services geprüft, geübt und getestet. Für die technische Lösung sieht uniQconsulting eine isolierte «Cyber Vault»-Umgebung vor, die mittels sogenanntem «Air-Gap» vom produktiven Netzwerk und dessen Services getrennt wird. Durch diese physische Trennung werden Daten von der Angriffsoberfläche wegbewegt. In dieser «Cyber Vault Zone» werden Workflows zur Integritätsprüfung ausgelöst, die Offline-Daten analysiert und von sauberen Daten automatisiert unveränderliche Datenkopien erstellt. Die isolierte Umgebung stellt sicher, dass im Falle eines Ransomware-Angriffs die geschäftsrelevanten Daten und Systeme unter Verwendung

Die Wahrscheinlichkeit, dass sämtliche Malware entdeckt wird, bevor Schaden entsteht, ist gering.

bestehender Disaster-Recovery-Verfahren ein Vorfall behoben und die Umgebung wiederhergestellt werden kann. Dadurch werden kostspielige Ausfallzeiten drastisch reduziert und geschäftskritische Systeme und Daten gesichert. Vertraulichkeit, Verfügbarkeit und Integrität von Informationen Ein Informationssicherheits-Managementsystem (ISMS) hilft Unternehmen, zu erkennen und zu definieren, welches die wichtigsten, schützenswerten Assets sind und schafft gleichzeitig die Voraussetzung für eine erfolgreiche Zertifizierung nach der Norm ISO 27001. Diese Assets und die informationsverarbeitenden Systeme müssen kontinuierlich hinsichtlich sich verändernder Risiken überprüft werden. Der Massnahmenkatalog unterstützt dabei, geeignete Werkzeuge für den technologischen, physischen und logischen Schutz zu identifizieren und dadurch Informationen vor Verlust, Verfälschung und unerwünschter Offenlegung zu schützen. Den Weg, um die Standards zu erreichen und zu erhalten und optional erfolgreich nach internationaler Norm zertifizieren zu lassen, begleitet TQMi mit Lehrgängen, Audits aber auch individuellen Mandaten. Für Unternehmen schafft dies Transparenz, Sicherheit und kann sich gegenüber Dritten positiv auf die Reputation auswirken.

Wieviel Stillstand können Sie sich leisten?

über uniQconsulting uniQconsulting wurde im Jahr 2000 gegründet und ist seit 2017 eine Tochtergesellschaft der Netcloud AG. Zusammen verfügen die beiden Unternehmen über umfassende Kompetenzen im Bereich von IT-Infrastrukturdienstleistungen inklusive eines entsprechenden Servicenetzes. Das Lösungsportfolio des ICT-Komplettanbieters wird durch Cloudsolutions aus der Schweiz und einem eigenen Cyber-Defence-Center ergänzt. www.uniQconsulting.ch

your experts in IT uniQconsulting ag Bassersdorf • Basel • St. Gallen • uniQconsulting.ch

Lehrgänge • Consulting • Framework ISO 9001

ISO 27001

ISO 14001

E I N E P U B L I K AT I O N VO N S M A RT M E D I A

20 INNOVATION IM SCHWERVERKEHR

FOKUS.SWISS

Technologischer Fortschritt erhöht die Verkehrssicherheit Die Vision ist klar: Die Technologie soll in Zukunft voll automatisiert die Fahraufgabe übernehmen. Bis dahin muss man sich mit Fahrassistenten zufriedengeben, die Komfort und Sicherheit erhöhen sollen. Aber heisst automatisiert tatsächlich auch sicherer?

m Jahr 2020 ereigneten sich im Schweizer Strassenverkehr laut Bundesamt für Statistik BFS rund 16 900 Unfälle. Für 227 Menschen endeten die Vorfälle tödlich. Über einen längeren Zeitraum betrachtet, bestätigt sich der Trend abnehmender Verkehrsunfälle. Seit den 1970er-Jahren lässt sich eine kontinuierliche Abnahme feststellen. Zurückführen kann man dies einerseits auf rechtliche und erzieherische Ursachen als auch auf die fortschreitende Technologie sowie bessere Infrastrukturen. «Um den Verkehr allgemein sicherer zu gestalten oder zumindest auf diesem Niveau zu halten, müssen wir auf die Triade aus Mensch, Fahrzeug und Infrastruktur achten», erklärt Markus Deublein, BFU-Experte für automatisiertes Fahren. Hier kann man ansetzen, um die Schweizer Strassen noch sicherer zu machen, denn bei Fussgänger:innen und Fahrradfahrenden steigt die Inzidenz von Unfällen. Was bedeutet Automatisierung eines Fahrzeugs? Die Beratungsstelle für Unfallverhütung BFU orientiert sich, wie viele Institutionen, an der Einteilung der Automatisierungsstufen der SAE International. Die sechsstufige Skala reicht von konventionell und assistiert über Teil- und bedingte Automatisierung bis hoch und voll automatisiert. Bei den heutigen Fahrerassistenzsystemen handelt es sich um Automationen bis einschliesslich der Stufe zwei. Deublein konkretisiert die Einteilung: «Es sind Systeme, die kontinuierlich die Fahraufgabe unterstützen und auch Teile derselben übernehmen. Allerdings müssen die Fahrzeuglenkenden weiterhin die Überwachung wahrnehmen und konzentriert bleiben.»

Fahrerassistenzsysteme können auch nach deren Zweck eingeteilt werden. Ziele der Assistenten Fahrerassistenzsysteme können auch nach deren Zweck eingeteilt werden. Eine erste Gruppe sind die warnenden Systeme. Das Fahrzeug ist mit Sensorik ausgestattet, die Gefahrensituationen erkennt und die Lenkenden durch Signaltöne oder Warnlampen

darauf aufmerksam macht. Diese Systeme übernehmen jedoch keine Teile der Fahraufgabe; die Handlungsverantwortung bleibt bei den Fahrer:innen. Eine zweite Gruppe stellen die aktiven Sicherheitssysteme dar. Unauffällig im Hintergrund laufend, greifen diese nur punktuell bei akuten Gefahren ein. Zu dieser Kategorie zählt beispielsweise der Notbremsassistent. Dazu kommt noch die Gruppe der komfortorientierten Systeme, die das Fahren angenehmer machen sollen. Sie übernehmen beispielsweise Teile der Lenkführung oder des Abstandhaltens. Bequemes Fahren mit Risiken Komfortorientierte Systeme wie Spurhaltesysteme sind aber skeptisch zu sehen, da sie das Unfallpotenzial erhöhen können. Denn wenn Teile der Fahraufgabe nicht mehr von den Fahrenden selbst übernommen werden müssen, kann das zu Unachtsamkeit verleiten. «Der Mensch ist durch das System unterfordert, was zu mangelnder Aufmerksamkeit führen kann», erklärt Deublein. Insbesondere wenn dann Situationen aufkommen, in denen eine schnelle Reaktion erforderlich ist, sind sich die Lenkenden der

Verhältnisse nicht bewusst. Deublein äussert weitere Bedenken: «Wir sehen grosse Risiken im Hinblick auf falsche Anwendungen, wenn diese Systeme zweckentfremdet werden.» Es gibt Wege, die Systeme fahren zu lassen, während die Fahrer:innen Nebentätigkeiten nachgehen. Kritische Situationen können dann kaum noch antizipiert und vermieden werden. Erhöhung der Sicherheit durch Assistenten Hinter aktiven Sicherheitssystemen verbirgt sich hingegen einiges Potenzial, die Verkehrssicherheit zu erhöhen. «Die Notbremsassistenten gelten als die vielversprechendsten Systeme. Je stärker derartige Systeme in der allgemeinen Fahrzeugflotte verbreitet sind, desto grösser ist der Nutzen für die Verkehrssicherheit», führt Deublein aus. Die Auswirkung auf die Sicherheit von Schweizer Strassen in genauen Zahlen auszudrücken, gestaltet sich jedoch schwierig, da Studien im Ausland nur bedingt aussagekräftig sind und sich die Technologie rasant entwickelt. Trotzdem wagt Deublein eine vorsichtige Stellungnahme: «Innerorts sind die häufigsten Konfliktsituationen zwischen Autos und Velos oder Fussgänger:innen. Hier zeigt

Besonders bei Sicherheitssystemen ist wichtig, dass man sich mit den Funktionen und dem Betriebsbereich befasst. unser Bericht über Notbremsassistenten, dass sie ein Unfallvermeidungspotenzial von bis zu 50 Prozent entfalten.» Gerade in diesem Bereich der schwächsten Verkehrsteilnehmenden, deren Unfallrate seit Jahren steigt, ist dieses Potenzial nicht zu vernachlässigen. Blindes Vertrauen Fahrzeugassistenzsysteme sind keineswegs nur Gimmicks. Es ist also nicht ratsam, sie spontan einmal auszuprobieren. Besonders bei Sicherheitssystemen ist wichtig, dass man sich mit den Funktionen und dem Betriebsbereich befasst. Denn das Autounternehmen selbst konzipiert die Assistenten für einen genau definierten Einsatzbereich. Obwohl die Systeme von sich aus bereits möglichst viele Risiken ausschliessen, kann es ausserhalb des Betriebsbereiches zu gefährlichen Situationen kommen. Dies wird von Deublein bestätigt: «Man muss sich im Klaren sein, dass ein Fahrassistenzsystem Grenzen hat und diese berücksichtigen.» Innovationen im Schwerverkehr Der Eindruck, dass Sicherheitssysteme vor allem für den Privatverkehr gedacht sind, täuscht. Das Gegenteil ist der Fall. Die Verbreitung der Systeme ist im Schwerverkehr bereits weiter fortgeschritten. Beispielsweise ist der Notbremsassistent in der EU für neu zugelassene Lkw über acht Tonnen verpflichtend. Das derzeitige Problem im Schwerverkehr ist, dass die Systeme zwar eingebaut sind, jedoch von den Fahrenden oftmals ausgeschaltet werden. «Die Systeme sind wertvoll, aber wie kann man verhindern, dass sie deaktiviert werden?», präzisiert Deublein. Ausserdem dreht sich die Diskussion im Lastverkehr vor allem um Abbiegeassistenten, die den toten Winkel überwachen. Diese sollen in der EU ab 2022 bei neuen Lkw-Fahrzeugtypen Pflicht sein, ab 2024 für alle Neuzulassungen im Schwerverkehr. Text Kevin Meier

GEFLASHT VON DER HERBSTMODE Sichtbarkeit kann im Strassenverkehr Leben retten und sie ist der neue Megatrend. Immer mehr Brands und Shops erkennen, dass reflektierende Kleidung und Accessoires stylisch und gefragt sind. Der Touring Club befeuert diesen Trend und präsentiert unter dem Label «MADE VISIBLE® selected» aktuelle Looks für Pendler*innen. Lass dich inspirieren!

SICHTBARER UND SICHERER UNTERWEGS

Adidas | Jacke CHF 220 bei Zalando.ch SHIOK | Schwarzer Reflex-Sticker 13.90 bei Veloplus.ch

Der einfachste Weg zu mehr Sicherheit ist mehr Sichtbarkeit. Dunkel gekleidet erkennt man dich im Strassenverkehr erst in 25 Meter Entfernung. Reflektierende Elemente verbessern deine Sichtbarkeit auf 140 Meter. Das ist wichtig, denn ab der Dämmerung ist die Unfallgefahr 3x höher als am Tag.

New Balance | Sneakers 91.73 bei Zalando.ch Freitag F155 Clapton | Rucksack CHF 290 bei Freitag.ch

Finde das reflektierende Teil, das zu dir passt! Über 300 Produkte auf MADEVISIBLE.SWISS

Regenschirm CHF 46 bei Velokiosk.ch Sputnik | Rucksack ZOA CHF 198 bei Sputnik.ch Urban Classics | Gürtel CHF 23.99 bei Galaxus.ch Reflex-Klebestoff CHF 6.95 bei Migros.ch

Mach dich sichtbar, aber mit Stil

Spesen: Einfach. Genial. Gelöst Mehr als 100‘000 Mal im Einsatz Die revolutionäre Lösung für Spesenmanagement mit künstlicher Intelligenz.

r h e m t z t Je erfahren!

spesen.ch