Erläuternder Bericht

nicht möglich ist, muss bei der Inbetriebnahme des Geräts einen Wechsel der Zugangsdaten er- zwungen werden.

− Nicht benötigte Dienste auf dem CPE müssen deaktiviert sein.

− Ausgehender SMTP Traffic auf Port 25 muss standardmässig bei allen Kundenanschlüssen im Pri- vatkundenbereich («Residential»-Anschlüsse, in der Regel dynamische IP-Adressen) gesperrt sein. Bei spezifischem Bedarf oder auf berechtigten Kundenwunsch ist eine Freischaltung denkbar.

− Im Auslieferungszustand eines CPE dürfen keine vom Internet her frei erreichbaren Ports offen sein. Für den Betrieb des CPE nötige offene Ports müssen durch technische Massnahmen (z.B. IP-Restriction) abgesichert werden.

− Die für die Fernwartung durch die Anbieterin verwendeten Ports müssen möglichst weit einge- schränkt werden (z.B. auf ein von der Anbieterin dafür verwendetes IP-Adress-Segment).

− Das für den Fernwartungszugriff verwendete Protokoll muss mit einer zeitgemässen Verschlüsse- lungstechnologie geschützt sein.

− CPE müssen zeitnah mit vom Hersteller als kritisch eingestuften Sicherheitsupdates versorgt wer- den. Werden die CPE vom Hersteller als «End of Life» klassifiziert, müssen sie ausgetauscht wer- den.

Wenn Fernmeldeanlagen mit Malware infiziert sind, können sie weitere Fernmeldeanlagen, mit denen sie eine Verbindung aufbauen können, gefährden. Über die Verbindung kann die Malware weiterverbreitet wer- den, oder sie kann für andere schädliche Aktivitäten verwendet werden, beispielsweise den Versand von Spam, Phishing oder die Teilnahme an einer DDoS-Attacke. Aus diesem Grund ist es notwendig, in Absatz 3 Massnahmen gegen infizierte oder verwundbare Fernmeldeanlagen vorzusehen. Verschiedene Massnah- men sind vorstellbar. Bei schädlichen Aktivitäten kann der Internetanschluss gesperrt oder eingeschränkt werden, um die Aktivität zu unterbrechen. Eine Sperrung kann auch dann eingesetzt werden, wenn ein ver- wundbares Gerät über längere Zeit betrieben wird. Dies dient oft nicht nur dem Schutz der anderen Teilneh- mer, sondern auch dem Schutz der betroffenen Person/Firma (Stichwort Ransomware Angriffe). Infizierte Geräte können sonst in einen Sandbox Modus («Walled Garden») versetzt werden, wobei der Internetan- schluss zur Fernmeldedienstanbieterin aufrecht bleibt aber die Verbindung zum Internet stark eingeschränkt oder gesperrt wird. Damit stellt die Fernmeldeanlage keine Gefahr mehr für andere dar. Wenn schädliche Aktivitäten in Verbindung mit bestimmten Adressierungselementen (IP-Adressen oder Domain-Namen) ste- hen, können diese für Kundenzugriffe gesperrt werden.

Weil Nutzer von Sperrungen und Einschränkungen des Internetanschlusses stark getroffen werden, ist ihre zeitnahe Information durch die Anbieterinnen von Internetzugängen zwingend. Diese sollen die Nutzer daher transparent über die ihrerseits getroffenen Massnahmen informieren.

Die zur Sperrung oder Nutzungseinschränkung nach der vorliegenden Bestimmung berechtigten Anbieterin- nen werden auf die entsprechenden Massnahmen verzichten oder sich zumindest mit dem Dienst Überwa- chung Post- und Fernmeldeverkehr ÜPF in Verbindung setzen müssen, wenn sie wissen, dass der entspre- chende Internetzugang oder das entsprechende Adressierungselement Gegenstand einer

Überwachungsanordnung ist. Dies dürfte bereits aus Artikel 26 Absatz 2 Buchstabe a des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF; SR 780.1) sowie Artikel 29 Absatz 2 und 3 der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF; SR 780.11) hervor- gehen.

Art. 96b Meldestelle

Artikel 96b sieht vor, dass die Anbieterinnen von Internetzugängen eine spezialisierte Stelle zur Meldung un- befugter Manipulationen von Fernmeldeanlagen durch fernmeldetechnische Übertragungen (sogenanntes «Abuse Desk») betreiben, der Manipulationen von Fernmeldeanlagen gemeldet werden können. Den Anbie- terinnen steht es frei, dieses «Abuse Desk» selber zu betreiben oder Dritte damit zu beauftragen. Das «A- buse Desk» kann nach den Bedürfnissen der Anbieterinnen ausgestaltet werden. Es ist jedoch sicherzustel- len, dass innert angemessener Frist geeignete Abwehrmassnahmen eingeleitet werden können. Im Übrigen sind grundsätzlich folgende technischen und administrativen Anforderungen zu erfüllen:

− Bei der zuständigen «Regional Internet Registry» (RIR) ist grundsätzlich für jeden «Network Range» (IP-Adressblöcke) ein Kontakt (E-Mail-Adresse) zu hinterlegen («abuse-c»). Geschieht dies nicht, müssen die Anbieterinnen einen generellen Kontakt für technische Fragen («tech-c») hinterlegen. Sie müssen sicherstellen, dass dieser Kontakt die Funktion des «Abuse Desks» wahrnehmen kann.