Erläuternder Bericht

längst nicht alle Opfer eines Cyberangriffs diesen auch publik machen und es sehr schwierig ist, die indirek- ten Kosten von Cyberangriffen (z. B. Reputationsschäden, Vertrauensverluste, Kundenunzufriedenheit) adä- quat zu messen. Die Nutzeneffekte lassen sich zudem kaum auf einzelne Sicherheitsmassnahmen herunter- brechen. Es ist jedoch unbestritten, dass die Schäden durch Cyberangriffe längst eine volkswirtschaftlich relevante Dimension erreicht haben. Massnahmen zur Reduktion dieser Kosten wirken sich daher unmittel- bar positiv aus.

Es wird generell davon ausgegangen, dass sich die Cybersicherheit immer stärker zu einem Wettbewerbs- faktor bei der Digitalisierung entwickelt.⁴⁵ Damit die Schweiz ihre Standortvorteile auch in der digitalen Wirt- schaft nutzen kann, müssen auch auf regulatorischer Ebene die nötigen Voraussetzungen geschaffen wer- den. Mindestanforderungen an die Anbieterinnen von Internetzugängen in Bezug auf die Sicherheit tragen dazu bei, dass das volkswirtschaftliche Potential der Digitalisierung genutzt werden kann.

Während sich damit die vorgeschlagenen Massnahmen gesamtwirtschaftlich und gesellschaftspolitisch (vgl. Ziff. 4.3.2) positiv auswirken werden, sind sie für die IAP mit Kosten verbunden. Es ist nicht möglich, die Kos- ten zu beziffern, da viele Faktoren, wie zum Beispiel das Ausmass der heute bereits umgesetzten Massnah- men durch die Anbieterinnen oder die Reduktion der Kosten durch technische Entwicklungen, nur sehr schwer zu erheben sind. In diesem Abschnitt wird deshalb eine qualitative Einschätzung zu den Kosten ge- macht und jeweils spezifisch darauf eingegangen, welche Auswirkungen insbesondere auf kleinere Anbiete- rinnen zu erwarten sind. Zwar konzentrierten sich Stand 2019 gemessen an der Kundenzahl 86% der Markt- anteile auf fünf grosse IAP. Gleichzeitig machen diese Unternehmen nur einen Bruchteil aller in der Schweiz tätigen IAP aus. Insgesamt sind rund 170 IAP in der Schweiz tätig. Davon haben ca. 60% zwischen 1 und 1’000 Internet-Kundinnen und Kunden, 25% der IAP haben zwischen 1’000 und 10’000 und 15% verfügen über mehr als 10'000 Kundinnen und Kunden.⁴⁶

4.2.2.1 Kosten der Massnahme 1: Pflicht der Anbieterinnen, zur Filterung von IP-Paketen mit gefälschter Quell-IP-Adresse (Spoofing)

Die Einführung von Methoden zur Filterung von IP-Paketen mit gefälschter Quell-IP-Adresse führt zu einem technischen und administrativen Aufwand bei den Anbieterinnen. Sie müssen die Filter technisch implemen- tieren und die berechtigten Netze identifizieren. Die Filter müssen zudem stets aktualisiert werden, damit keine legitimen IP-Pakete gefiltert werden. Da die Methodik der Ingress-Filterung jedoch bereits vor 20 Jah- ren entwickelt wurde, ist die Umsetzung heute sehr viel einfacher geworden. Es gibt zahlreiche frei zugängli- che Hilfsmittel und Guidelines dazu⁴⁷ und technische Hindernisse für die Umsetzung der Filterung sind in den letzten Jahren stark gesunken.

Bei der Beurteilung der Kosten ist wichtig festzuhalten, dass die Kosten für kleinere Anbieterinnen deutlich tiefer sind als für grössere Anbieterinnen.⁴⁸ Die kleineren Anbieterinnen haben einen deutlich geringeren Auf- wand bei der Feststellung, welche Netze berechtigt sind und werden auch beim Betrieb des Filters mit weni- ger komplexen Anforderungen konfrontiert. Zudem sollen ausgehende Verbindungen mit gefälschten Adres- sierungselementen nur dann verhindert werden, wenn dies für die IAP mit vertretbarem Aufwand technisch möglich ist.

4.2.2.2 Kosten der Massnahme 2: Pflicht der Anbieterinnen, die Sicherheit der von ihnen

den Kunden zur Verfügung gestellten Geräte gemäss dem aktuellen Stand der Tech-

nik zu gewährleisten.

Die Massnahme 2 kann für die Anbieterinnen bei der Beschaffung und der Wartung von CPE zu höheren Preisen führen. Entscheidend sind die vertraglichen Vereinbarungen mit den Herstellern der CPE. Die tech- nischen Anforderungen an die Geräte können von den Herstellern zu geringen Kosten erfüllt werden. Die Anbieterinnen müssen aber sicherstellen, dass die Hersteller vertraglich dazu verpflichtet werden. Sicher- heitsmassnahmen bei der Fernwartung, das zeitnahe Einspielen von Sicherheitsupdates und der Ersatz der