Menschen im Cyber­space schützen

Noch ist das Bewusst­sein unge­nü­gend, aber auch NGOs sind Ziele von Cyber­at­ta­cken. Fran­ce­sca Bosco, Senior Advi­sor Stra­tegy and Part­ner­ships vom Cyber­Peace Insti­tute, erläu­tert, wie sie das ändern können und weshalb huma­ni­täre NGOs ins Visier von Cyber­kri­mi­nel­len geraten.

Das Cyber­Peace Insti­tute wurde im Jahr 2019 gegrün­det. Was genau gab den Anstoss? 

Es war der Gesund­heits­sek­tor, der bereits wegen der COVID-19-Pande­mie unter enor­mem Druck stand. Dieser sah sich mit Cyber­an­grif­fen und ‑bedro­hun­gen konfron­tiert, die die Fähig­keit des Sektors unter­gru­ben, erfolg­reich auf Bedürf­nisse der Menschen in der Gesund­heits­ver­sor­gung zu reagie­ren. Vermehrt wurde kriti­sche Infra­struk­tur ange­grif­fen. Das waren Angriffe auf die Funk­ti­ons­tüch­tig­keit unse­rer Gesell­schaft. Das Cyber­Peace Insti­tute wurde als neutrale NGO in Genf gegrün­det, mit dem Ziel, den Scha­den durch die Atta­cken zu begren­zen, um vulnerable Commu­ni­ties zu unter­stüt­zen und um das verant­wor­tungs­volle Verhal­ten im Cyber­space zu fördern. Damals wurde erkannt, dass die eska­lie­ren­den Angriffe nicht nur Compu­ter betref­fen, sondern Menschen­le­ben bedro­hen und den Zugang zu grund­le­gen­den Diens­ten wie der Gesund­heits­vor­sorge gefährden. 

Wer steht dahinter?

Gestar­tet sind wir mit einer Anschub­fi­nan­zie­rung aus dem priva­ten Sektor. Seed Money kam unter ande­rem von Micro­soft, Master­card und der William and Flora Hewlett Foundation. 

Der Name ist spezi­ell für ein Insti­tut, das sich im Wesent­li­chen mit Daten­si­cher­heit beschäf­tigt. Verste­hen Sie sich als Friedensorganisation?

Der inte­grierte Ansatz hat mich und auch viele andere inspi­riert, für das Cyber­Peace Insti­tute zu arbei­ten. Sich als Frie­dens­or­ga­ni­sa­tion betä­ti­gen und gleich­zei­tig einen umfas­sen­den analy­ti­schen Ansatz im Thema Cyber­si­cher­heit entwi­ckeln stellt eine doppelte Heraus­for­de­rung dar. Wir verfol­gen den Grund­ge­dan­ken eines posi­ti­ven Cyberfriedens. 

Das ist?

Frie­den bedeu­tet für uns nicht nur, keine Konflikte zu haben, sondern auch, mögli­che Brand­herde proak­tiv und voraus­schau­end zu verhin­dern. Denken wir darüber nach, dass der Cyber­space fast alle Aspekte unse­rer Exis­tenz umfasst, wird klar, er beinhal­tet ebenso faszi­nie­rende Möglich­kei­ten wie tiefe Abgründe. Deshalb haben wir einen inte­grier­ten Ansatz gewählt. Von Anfang an war klar, der Cyber­space birgt nicht nur Gefah­ren, er bietet auch Chan­cen. Er ermög­licht bei sach­dien­li­cher Anwen­dung Sicher­heit. Unser Ange­bot achtet auf Menschen­würde und Gleich­be­rech­ti­gung. Und es stellt sicher, dass Cyber­at­ta­cken keine Menschen­le­ben bedrohen.

Also eine Friedensorganisation.

Ja, wir sind eine Frie­dens­or­ga­ni­sa­tion, und sogar eine sehr aktive. Vieles ist zurzeit im Wandel. Deshalb haben wir einen sehr konkre­ten und prak­ti­schen Ansatz gewählt: Wir unter­su­chen, wir unter­stüt­zen und wir setzen uns ein.

Das heisst konkret?

Wir unter­stüt­zen vulnerable Commu­ni­ties, NGOs, die im huma­ni­tä­ren Sektor und in der Entwick­lungs­zu­sam­men­ar­beit tätig sind. Wir recher­chie­ren, analy­sie­ren und infor­mie­ren die Poli­tik in den jewei­li­gen Ländern. Und wir anti­zi­pie­ren disrup­tive Tech­no­lo­gien, die eine Bedro­hung für die vulner­ablen Commu­ni­ties sein können. 

In wie vielen Ländern sind Sie aktiv? 

Unser Netz­werk ist global und erstreckt sich auf rund 120 Länder. Unser Team besteht aus 27 Voll­zeit­be­schäf­tig­ten aus zwölf Ländern. 50 Prozent davon sind Frauen. Darauf sind wir stolz. Die Viel­falt ist eine unse­rer gröss­ten Stär­ken, vor allem wenn man bedenkt, dass wir uns für Cyber­frie­den einset­zen. So kombi­nie­ren wir ein brei­tes Spek­trum an Kompe­ten­zen bei der Cyber­si­cher­heit mit den sehr unter­schied­li­chen kultu­rel­len Hinter­grün­den unse­res Teams. Von Genf aus arbei­ten wir mit den regio­na­len Cyber­Peace Buil­dern in Nairobi (Kenia) und Bogotà (Kolum­bien) eng zusam­men. Wir unter­stüt­zen NGOs
in 120 Ländern direkt. Diese NGOs sind eben­falls inter­na­tio­nal tätig, was unse­ren Impact deut­lich vergrös­sert. Unser Ziel ist, global tätig zu sein. 

Welche Stif­tun­gen und Verbände sind beson­ders gefährdet?

Das ist eine inter­es­sante Frage – und keine einfa­che. Wie unsere Erfah­rung zeigt, hängt es von unter­schied­li­chen Fakto­ren und den Bedin­gun­gen bei den Orga­ni­sa­tio­nen ab. In der Covid­pan­de­mie haben wir den Gesund­heits­sek­tor als einen der verletz­lichs­ten iden­ti­fi­ziert. Zurzeit fokus­sie­ren wir uns auf zivil­ge­sell­schaft­li­che Orga­ni­sa­tio­nen und auf solche mit einem huma­ni­tä­ren Kontext.

Weshalb genau auf diese Themenbereiche? 

Huma­ni­täre Orga­ni­sa­tio­nen setzen für ihre Akti­vi­tä­ten zuneh­mend auf IT-Tech­no­lo­gien. Eine gute Sache, denn so erhö­hen sie ihre Reich­weite. So können sie Menschen in Not kriti­sche Dienste liefern. Die neuen Tech­no­lo­gien bieten wunder­bare Möglich­kei­ten. Sie erwei­tern aber gleich­zei­tig die Angriffs­ober­flä­che. Es wird über­le­bens­wich­tig, sich über einen physi­schen Angriff hinaus mit dem Schutz der Daten zu befas­sen. Dabei geht es um die verwen­dete Soft­ware. Ein sehr wich­ti­ger Punkt ist, zu verste­hen, dass Cyber­at­ta­cken auch physi­sche Konse­quen­zen haben können. Dabei denke ich vor allem an die huma­ni­tä­ren Orga­ni­sa­tio­nen. Was sie online tun, etwa auf Social Media, kann grosse Auswir­kun­gen in der realen Welt haben. 

Das IKRK erlebte vor einem Jahr eine Attacke …

Ja, das war ein Weck­ruf für die inter­na­tio­nale Gemein­schaft. Es wurden hoch­sen­si­ble persön­li­che Daten im Zusam­men­hang mit dem Programm zur Zusam­men­füh­rung von Fami­lien gestoh­len. Die Trans­pa­renz, die das IKRK mit der Veröf­fent­li­chung von Infor­ma­tio­nen über den Cyber­an­griff ermög­licht hat, ist wich­tig. Dies, weil
es Menschen­le­ben betrifft. Der Scha­den, den solche Angriffe anrich­ten, ist uner­mess­lich und wird noch jahr­zehn­te­lang nach­wir­ken. Der Angriff auf das IKRK machte Schlag­zei­len
in den Medien, Die Hilfs­or­ga­ni­sa­tion ist mit diesem Vorfall nicht allein.

Warum sind die Daten von huma­ni­tä­ren Orga­ni­sa­tio­nen für Cyber­kri­mi­nelle so attraktiv?

Häufig sind NGOs Opfer von Angrif­fen, die auf kriti­sche Dienste abzie­len. Cyber­an­griffe auf huma­ni­täre Orga­ni­sa­tio­nen verfol­gen das Ziel, die Fähig­keit ihrer Akti­vi­tä­ten zu beein­träch­ti­gen. Cyber­kri­mi­nelle zielen auf die Daten von Begüns­tig­ten und sie steh­len Gelder, Daten und Infor­ma­tio­nen. Auch bösar­tige Infor­ma­tio­nen und poli­tisch moti­vierte Botschaf­ten werden verbrei­tet, durch Verun­stal­tung von Websei­ten oder den Miss­brauch von Iden­ti­tä­ten. Gestoh­lene Daten werden mani­pu­liert für Desin­for­ma­ti­ons­kam­pa­gnen. Der huma­ni­täre Sektor sammelt jähr­lich über 30 Milli­ar­den Dollar für Schutz und Unter­stüt­zung. Zyni­scher­weise sehen Cyberangreifer:innen dies wahr­schein­lich als eine lukra­tive Geschäfts­mög­lich­keit. NGOs gelten für Cyberangreifer:innen als risi­ko­arm und lukra­tiv. Erste­res, weil sie in tech­ni­scher Hinsicht ein leich­tes Ziel sind, und Letz­te­res, weil sie durch Löse­geld­for­de­run­gen, betrü­ge­ri­sche Über­wei­sun­gen usw. an Geld­mit­tel gelan­gen können.

Gibt es weitere Beispiele?

Ja, leider. Im Sommer 2021 haben Cyber­kri­mi­nelle den Insta­gram-Account der Union for Inter­na­tio­nal Cancer Control (UICC) geka­pert. Sie haben am Welt­krebs­tag 2021 eine Phis­hing­mail versen­det mit falschen Rekla­ma­tio­nen. Viele Follower des Accounts dach­ten, die Mittei­lung stamme von der Orga­ni­sa­tion. Und zwei Tage später gelang­ten die Krimi­nel­len an die Orga­ni­sa­tion, bekann­ten sich zur Über­nahme des Accounts und verlang­ten Löse­geld. Die UICC vertritt die Inter­es­sen der Krebs-Commu­nity. Ihr Haupt­an­lie­gen ist es, einen fairen Zugang zu Vorsor­ge­un­ter­su­chun­gen und Präven­ti­ons­mass­nah­men zu gewähr­leis­ten. Zu diesem Zeit­punkt hatten die Cyber­kri­mi­nel­len die mit dem Konto verknüpfte E‑Mail-Adresse, das Pass­wort und die Tele­fon­num­mer geän­dert und das Konto deak­ti­viert. Es dauerte mehrere Wochen, bis die UICC wieder Zugang zu ihrem Insta­gram-Account hatte.

Wo werden gestoh­lene Daten gehandelt?

Beispiels­weise im Dark­net. Dort gibt es einen Markt für gestoh­lene Iden­ti­tä­ten. Das Ausmass zu quan­ti­fi­zie­ren ist sehr schwie­rig. Es gibt kaum Daten dazu, was ein gros­ses Problem ist. Deshalb arbei­ten wir am Cyber­Peace Insti­tut an einer Methode, den Orga­ni­sa­tio­nen das wirk­li­che Ausmass von mögli­chen Lang­zeit­schä­den zu vermit­teln. Denn viele haben bei einer Atta­cke nur gerade den unmit­tel­ba­ren Vorfall im Auge, denken aber nicht an den mögli­chen Umfang des Scha­dens: Wie viele Daten wurden effek­tiv gestoh­len oder wie hoch sind die Kosten, die über den unmit­tel­bar entstan­de­nen Scha­den hinaus­ge­hen? Denn der Effekt der Lang­zeit­kos­ten ist schwie­rig zu quantifizieren.

Was ist im Falle eines Angriffs zu tun?

Der Vorfall sollte sofort den Behör­den gemel­det werden. Ich weiss, das kann schwie­rig sein. Aus Scham teilen Betrof­fene die Cyber­at­ta­cken den Behör­den oft nicht mit oder sie wissen schlicht nicht, was zu tun ist, wohin sie sich wenden sollen. Ich arbeite seit 2006 im Bereich Cyber­crime. Eines der gröss­ten Probleme ist seit jeher der Fakt, dass Cyber­vor­fälle extrem selten doku­men­tiert werden. Die weni­gen Daten machen es schwie­rig, die Vorfälle einheit­lich zu doku­men­tie­ren. Zum Glück haben heute viele Länder eine Stelle, die sich um Cyber­kri­mi­na­li­tät kümmert und versucht, die Vorfälle zu doku­men­tie­ren. Was die Behör­den weni­ger tun ist, die Cyber­spaces über­prü­fen und Unter­stüt­zung bei der Wieder­her­stel­lung von Daten leisten. 

Was würden Sie einer Orga­ni­sa­tion, die nur wenige Ressour­cen und mögli­cher­weise keine Mitar­bei­ten­den hat, konkret empfeh­len, um sich zu schützen?

Um NGOs zu unter­stüt­zen, wurde das Programm «Cyber­Peace Buil­ders» ins Leben geru­fen. Es ist ein welt­um­span­nen­des Netz­werk mit Cyber­si­cher­heit­ex­per­tin­nen und ‑exper­ten. Ein echtes Bedürf­nis der zivil­ge­sell­schaft­li­chen Orga­ni­sa­tio­nen. Dies, weil sie oft zu wenig perso­nelle Ressour­cen haben, keine Kompe­ten­zen vor Ort, oder schlicht, weil das Budget fehlt. Und es kommt auch vor, dass NGOs ihre Spen­den­gel­der nicht für diesen Zweck verwen­den dürfen. Bei den Mitglie­dern der Cyber­si­cher­heits-Commu­nity besteht ein riesi­ger Wille zu helfen. Es ist ein Frei­wil­li­gen­pro­gramm mit Expert:innen, die in priva­ten Unter­neh­men arbei­ten. Für NGOs ist das Ange­bot gratis, sie können jeder­zeit um Hilfe bitten. Was wir noch nicht tun können, ist Sofort­hilfe leis­ten. Wir helfen den NGOs in der Präven­tion und darin, ihre Cyber­kom­pe­ten­zen zu verbes­sern. Oder wir unter­stüt­zen sie nach der Atta­cke auf dem Weg zurück in den digi­ta­len Alltag. Mit dem Start des Cyber­se­cu­rity Centers (HCC) am 27. Februar 2023 schaf­fen wir die Möglich­keit, Sofort­hilfe zu leisten. 

Bringt eine Cyber­ver­si­che­rung etwas?

Es ist wich­tig, dass auch kleinste Orga­ni­sa­tio­nen Zeit reser­vie­ren und sich mit ihrer Cyber­re­si­li­enz befas­sen. Wir sensi­bi­li­sie­ren die Orga­ni­sa­tio­nen dahin­ge­hend, selbst Kapa­zi­tä­ten und Fähig­kei­ten aufzubauen.

Wie sieht die Sensi­bi­li­sie­rung aus?

Etwas vom Ersten, was wir dem Führungs­team in klei­nen Orga­ni­sa­tio­nen zeigen, ist, wie die Multi-Faktor-Veri­fi­ka­tion oder ein Pass­wort­ma­na­ger funk­tio­nie­ren. Das ist einfach und effekt­voll. Wich­tig ist dabei, dass die gesamte Orga­ni­sa­tion die Mass­nah­men anwen­det, nicht nur die IT-Mitarbeitenden. 

Was braucht es weiter, um die Cyber­welt noch siche­rer zu gestalten?

Nicht nur NGOs müssen ihr Wissen erwei­tern, auch die Gönner:innen und Spender:innen soll­ten ein Verständ­nis für die Gefah­ren im Netz entwi­ckeln. Im besten Fall unter­stüt­zen sie die Entwick­lung der Cyber­si­cher­heit bei ihren Förder­part­nern mit Geld. Denn die Entwick­lung einer Kultur der Sicher­heit bedarf Inves­ti­tio­nen. Leider ist dieses Bewusst­sein heute noch nicht vorhan­den. Die meis­ten meinen, mit einem Anti­vi­rus­pro­gramm sei es getan. Der tech­ni­sche Dienst ist nur ein Teil der Schutz­mass­nah­men. Es braucht verschie­dene Kompo­nen­ten für den guten Schutz. Und genau das ist der Grund, weshalb wir das Center so vorantreiben. 

Wer nimmt Ihre Dienste in Anspruch?

Die Bedürf­nisse sind je nach Welt­re­gion sehr unter­schied­lich. Deshalb haben wir regio­nale Berater:innen in Afrika und Latein­ame­rika. Wir haben zum Ziel, bis Ende 2022 über 100 NGOs zu unter­stüt­zen. In der Schweiz unter­stüt­zen wir zurzeit 59, wobei die Spann­weite gross ist. Es sind Orga­ni­sa­tio­nen aus dem Gesund­heits­be­reich, aus der huma­ni­tä­ren Entwick­lungs­zu­sam­men­ar­beit und solche, die sich um Kinder­rechte oder das Thema Gewalt gegen Frauen kümmern. Und es gibt auch solche, die anonym blei­ben wollen.

Sie haben ein erstes Ziel erreicht. Was sind die nächs­ten Schritte?

Wir wollen die Kräfte bündeln, um den Sektor mit einer Art Platt­form zu unter­stüt­zen, wo sich Unter­neh­men, Orga­ni­sa­tio­nen und Private zusam­men­tun können, um Hilfe zu leis­ten. Deshalb ist es auch unser Ziel, auf einer künf­ti­gen Platt­form die Atta­cken auf Zivil­or­ga­ni­sa­tio­nen zu tracken, zu visua­li­sie­ren und zu archi­vie­ren. Damit wollen wir huma­ni­täre Akteur:innen unter­stüt­zen. Und wir möch­ten den Orga­ni­sa­tio­nen helfen, die Wider­stands­fä­hig­keit zu stär­ken. Wir sehen die Dring­lich­keit der Sofort­hilfe, möch­ten aber keine Abhän­gig­kei­ten schaf­fen. Deshalb stär­ken wir die Betrof­fe­nen und helfen, ihre Fähig­kei­ten zu erhö­hen, damit sie sich selber besser wehren können.