Erläuternder Bericht

3. Abschnitt Störungsmeldung (Art. 96)

Die Pflicht der FDA, dem BAKOM Störungen im Betrieb der Netze zu melden, wurde am 1. April 2007 im Ar- tikel 96 FDV eingeführt. Die Einzelheiten der Meldung von Störungen werden in den technischen und admi- nistrativen Vorschriften des BAKOM betreffend die Meldung von Netzstörungen (SR 784.101.113/1.8) gere- gelt.

Störungen werden dem BAKOM mittels Webformular oder e-Mail gemeldet. Es gibt auch eine Reservelö- sung per Telefon. Die Meldungen werden während der Bürozeiten bearbeitet und an die mitinteressierten Stellen verteilt.

Um die Bearbeitung und Verteilung der eingegangenen Störungsmeldungen zu verbessern, ist es vorgese- hen, in Zukunft mit der Nationalen Alarmzentrale (NAZ) zusammenzuarbeiten. Der Empfang solcher Meldun- gen ist eine Kernaufgabe der NAZ. Sie hat dafür eine sichere Informatikinfrastruktur und einen 24-Stunden-Betrieb. Die NAZ wird die Störungsmeldungen in Echtzeit bearbeiten und verteilen können. Damit steigt der Nutzen der Meldungen insbesondere hinsichtlich Krisenbewältigung.

Zum Teil stellen FDA Störungsmeldungen heute nicht nur dem BAKOM zu, sondern auch der NAZ. Durch die vorgesehene Zusammenarbeit zwischen dem BAKOM und der NAZ wird diese Doppelspurigkeit beseitigt und das Meldewesen vereinfacht.

Zur Umsetzung der vorstehenden Ausführungen wird Artikel 96 FDV dahingehend ergänzt, dass entspre- chende Störungen der NAZ zu melden sind. Das BAKOM seinerseits wird von der NAZ über die gemeldeten Störungen informiert. Im Weiteren wurde der wichtigste Grund für die Pflicht zur Meldung einer Störung (po- tenzielle Betroffenheit von mindestens 30'000 Kundinnen und Kunden) aus den technischen und administra- tiven Vorschriften in die FDV verschoben.

4. Abschnitt Unbefugte Manipulation von Fernmeldeanlagen

Einleitend sei an dieser Stelle festgehalten, dass die Bestimmungen dieses Abschnitts einzig für Anbieterin- nen von Internetzugängen gelten, da erfahrungsgemäss nur diese von unbefugten Manipulation von Fern- meldeanlagen betroffen sind.

Art. 96a Sicherheitsmassnahmen

Absatz 1 der vorliegenden Bestimmungen regelt die Bekämpfung von Angriffen auf die Verfügbarkeit von Internetdiensten durch eine Vielzahl von Anfragen (bekannt als «Distributed Denial of Service»-Angriffe,

DDoS). Dieser Fall wird in der Botschaft zur Revision des FMG auch explizit erwähnt. Ein wichtiger Bestand- teil im Kampf gegen DDoS ist die Verhinderung der Nutzung gefälschter IP-Adressen durch die Angreifer («Spoofing). Dadurch werden ausgehende DDoS-Angriffe, welche auf IP-Spoofing basieren, verunmöglicht. Zu diesem Zweck werden die Anbieterinnen von Internetzugängen verpflichtet, vernünftige technische Mög- lichkeiten zu nutzen, mit denen aus ihrem Netzwerk stammende IP-Pakete mit gefälschter Quell-IP-Adresse gefiltert werden können. Zur Einrichtung solcher Ingress-Filter müssen die Anbieterinnen eine aktuelle Liste der berechtigten Netze führen. Eine solche Liste lässt sich automatisch aus der Routingtabelle generieren. Die nötigen technischen Schritte beschreibt die Internet Engineering Task Force (IETF) in den «Best Current Practices» BCP38 für single-homed networks (Netzwerke, bei welchen jedes Gerät über eine IP-Adresse verfügt) und BCP84 für «multi-homed networks» (Netzwerke, bei welchen ein Gerät über mehrere IP-

Adressen verfügt).

Die Anbieterinnen von Internetzugängen stellen ihren Kundinnen und Kunden häufig Geräte zur Verfügung (sogenanntes «Customer Premises Equipment», CPE). Diese spielen wegen ihrer sehr grossen Verbreitung bei der Bekämpfung von Cybervorfällen eine wichtige Rolle. Absatz 2 legt deshalb fest, dass die Sicherheits- eigenschaften aller Fernmeldeanlagen, die den Kundinnen und Kunden zur Verfügung gestellt werden, ge- mäss den anerkannten Regeln der Technik zu konfigurieren und zeitnah zu aktualisieren sind, sofern die entsprechenden Anbieterinnen weiterhin die Kontrolle über diese Anlagen ausüben. Dies schliesst die Mög- lichkeit ein, Sicherheitslücken in solchen Geräten mittels pdates zu schliessen. Um die Risikoexposition bei solchen Geräten möglichst gering zu halten, wird das BAKOM technische und administrative Vorschriften erlassen. Die werden insbesondere folgende Grundsätze berücksichtigen müssen:

− Für den Zugriff auf CPE dürfen keine Standardzugangsdaten (Benutzername, Passwort) verwendet werden. Die Zugangsdaten müssen individuell pro Gerät vergeben werden. Falls dies technisch