Erläuternder Bericht

lagen durch fernmeldetechnische Übertragungen z. B. auf die Verhinderung der Verteilung von Schadsoft- ware und auf die Blockierung von Angriffen auf die Verfügbarkeit von Web-Diensten (DDoS-Angriffe) bezieht und nicht auf physische Zugriffe oder die Verhinderung von Hintertüren («backdoors») in Hard- und Soft- ware.

Die vorgeschlagene Änderung der FDV hält sich folglich an die in der Botschaft skizzierte Absicht. Die Mass- nahmen und die Begründung, warum sie eingeführt werden sollen, werden in den folgenden Kapiteln darge- stellt.

1.2.2.1 Massnahme 1: Pflicht der Anbieterinnen zur Filterung von IP-Paketen mit gefälschter Quell-IP-Adresse (Spoofing)

IP-Pakete mit gefälschter Quell-IP-Adresse sind zentrale Treiber von Angriffen auf die Verfügbarkeit von Webdiensten (DDoS-Angriffe). Solche Angriffe werden nach wie vor sehr häufig durchgeführt und generieren grosse Schäden. Die Sicherheitsspezialisten von NetScout haben für das Jahr 2020 global mehr als 10 Milli- onen DDoS-Angriffe festgestellt.²¹ Schätzungen zu den Kosten solcher Attacken sind sehr schwierig, da sie stark davon abhängen, wie wichtig die Webdienste für die kommerziellen Tätigkeiten eines Unternehmen sind. Es ist jedoch klar, dass Angriffe auf die Verfügbarkeit erhebliche finanzielle Auswirkungen für die Opfer haben können. Betreffen die Angriffe die Verfügbarkeit von kritischen Infrastrukturen, gehen die potentiellen Konsequenzen weit über die möglichen finanziellen Schäden hinaus. Wenn beispielswiese die Verfügbarkeit von Spitälern oder Energieversorgungsunternehmen durch Cyberangriffe beeinträchtigt wird, sind auch Ge- fährdungen von Leib und Leben nicht ausgeschlossen.

Über die seit Jahren bekannten technischen Möglichkeiten zur Filterung gefälschter Quell-IP-Adressen, kann die Durchführung von DDoS-Angriffen deutlich erschwert werden.²² Die Umsetzung der Filterung bleibt je- doch unzureichend.²³ Dies lässt sich auf das Problem der fehlenden ökonomischen Anreize zurückführen.²⁴ Bei der Umsetzung der Filterung entstehen den Anbieterinnen Kosten, die Schutzwirkung kann jedoch nicht internalisiert werden (sie besteht ja darin, dass DDoS-Angriffe generell schwieriger durchführbar werden).²⁵ Es besteht daher ein klassisches «Allmende»-Problem, auch wenn dieses durch den Umstand entschärft wird, dass die Kosten für die Umsetzung der Filter tendenziell sinken.²⁶ Mit der Einführung einer generellen Pflicht zur Filterung kann dieses Problem entschärft werden. Alle Anbieterinnen müssen dann dazu beitra- gen, dass es Angreifern erschwert wird, DDoS-Angriffe durchzuführen.

1.2.2.2 Massnahme 2: Pflicht der Anbieterinnen, die Sicherheit der von ihnen den Kunden

zur Verfügung gestellten Geräte gemäss dem aktuellen Stand der Technik zu ge-

währleisten

Die von den Anbieterinnen ihren Kunden abgegebenen Endgeräte (CPE bzw. «Customer Premises Equipe- ment») spielen auf Grund ihrer sehr starken Verbreitung eine grosse Rolle in der Cybersicherheit. Weisen diese CPE flächendeckend Schwachstellen auf, ermöglicht dies Angreifern unter Umständen den Zugriff auf tausende Geräte. Die Rechenleistung dieser Geräte können sie dann für Angriffe, z.B. für DDoS-Angriffe,

nutzen.²⁷ Ein klassisches Beispiel für dieses Problem sind Router, welche mit Standardpasswort ausgeliefert werden. Die Problematik der sicheren Konfiguration von CPE wird mit der sehr rasch voranschreitenden Ver- breitung von «Internet of Things»-Geräten noch wichtiger.²⁸ Wenn die CPE nicht sicher konfiguriert sind, bie-