Kampf gegen Phishing – «Was macht der Bund mit meiner Phishing-Meldung?»

Worum geht es? Das Bundesamt für Cybersicherheit (Bacs) betreibt die spezielle Internetseite antiphishing.ch. Über diese kann Phishing gemeldet werden. Ein Beispiel: Ein Mann aus dem Kanton Bern hat ein Phishing-Mail gemeldet. Auf der Seite liest er: «Achtung: Diese Mailbox wird nicht gelesen, sondern maschinell verarbeitet.» Er fragt sich: «Was macht der Bund mit meiner Phishing-Meldung?» Zudem will er vom SRF-Konsumentenmagazin «Espresso» wissen, wie wirksam die vom Bacs getroffenen Massnahmen sind.

Wie erfasst das Bacs die Phishing-Meldungen? Zunächst analysiert eine künstliche Intelligenz (KI) die eingegangenen Meldungen, sagt Roman Hüssy, Co-Leiter der zuständigen Fachstelle Govcert beim Bacs: «Verdächtige Meldungen werden aussortiert und einem Mitarbeiter oder einer Mitarbeiterin von uns vorgelegt. Diese beurteilen abschliessend, ob es sich tatsächlich um Phishing handelt oder nicht.» Bei rund einer Million Meldungen pro Jahr wäre diese Arbeit ohne KI gar nicht zu bewältigen.

Über das Bundesamt für Cybersicherheit

Box aufklappen Box zuklappen

Zu seinen Aufgaben schreibt das Bacs auf seiner Internetseite:

«Das Bundesamt für Cybersicherheit (Bacs) ist das Kompetenzzentrum des Bundes für Cybersicherheit und damit erste Anlaufstelle für die Wirtschaft, Verwaltung, Bildungseinrichtungen und die Bevölkerung bei Cyberfragen. Es ist verantwortlich für die koordinierte Umsetzung der Nationalen Cyberstrategie (NCS).

Hauptaufgabe des Bacs ist es, die Schweiz im Cyberraum sicherer zu machen. Hierzu sensibilisiert und warnt es die Öffentlichkeit vor Cyberbedrohungen und Cyberangriffen. Das Bacs nimmt Meldungen zu Cybervorfällen entgegen und unterstützt insbesondere Betreiberinnen von kritischen Infrastrukturen bei der Bewältigung. Es erstellt technische Analysen zur Bewertung und Abwehr von Cybervorfällen und Cyberbedrohungen sowie zur Identifikation und Behebung von Schwachstellen beim Schutz der Schweiz vor Cyberbedrohungen.»

Für Ermittlungen gegen Cyberkriminalität sind die Strafverfolgungsbehörden zuständig (Staatsanwaltschaften, Polizei). Das Bacs selbst hat keinen Ermittlungsauftrag.

Ermittelt das Bacs selbst gegen die Täter? Nein. «Das Bundesamt für Cybersicherheit hat keinen Ermittlungsauftrag. Die Eruierung der Täter ist Sache der Straf­verfolgungs­behörden», sagt Roman Hüssy. Stösst das Bacs im Rahmen seiner Arbeit auf Hinweise auf die Täterschaft oder Opfer von Phishing, gebe es diese Informationen selbstverständlich an die zuständigen Stellen weiter.

Welche Massnahmen ergreift das Bacs? Das Bacs weist einerseits die Internetanbieter im In- und Ausland auf die gemeldeten Phishing-Seiten hin, damit sie diese sperren können. Andererseits warne es Unternehmen, in deren Namen Phishing betrieben werde. So können diese Massnahmen ergreifen, etwa ihre Kundschaft warnen. Das Bacs habe aber kein Weisungsrecht, erklärt der Phishing-Spezialist. Zudem sensibilisiert es die Bevölkerung sowie Unternehmen mit Warnungen und Informationen für aktuelle Cybergefahren.

Wie wirksam sind die Massnahmen? «Das ist tatsächlich eine berechtigte Frage dieses Mannes», meint Roman Hüssy vom Bacs. «Phishing-Webseiten sind praktisch Wegwerfseiten», sagt er. Sperre man eine, tauche gleich die nächste auf. «Das Problem ist die Eruierung der Täterschaft, weil diese oft im Ausland sitzt.» Sie zu ermitteln, braucht einen grossen Aufwand der Strafverfolgungsbehörden. Zudem sei die Zusammenarbeit mit gewissen Ländern in diesem Bereich schwierig. Es ist also ein Katz-und-Maus-Spiel.

«Espresso» ist an Ihrer Meinung interessiert

Box aufklappen Box zuklappen

Weshalb soll man Phishing-Seiten dennoch melden? Fürs Bundesamt für Cybersicherheit sei es wichtig, solche Seiten schnell identifizieren zu können, erklärt Roman Hüssy. «Jede Sperrung bedeutet, dass es weniger Opfer gibt, die auf diese Betrügereien hereinfallen. Daher gilt: Jede Meldung zählt.»

Soll man Phishing zusätzlich der Polizei melden? Wenn man darauf hereingefallen ist, soll man auf jeden Fall Anzeige erstatten, rät das Bacs. Zudem sollen die Phishing-Opfer schnellstmöglich betroffene Konten und Kreditkarten sperren lassen. Aber auch sonst kann man durchaus, zusätzlich zum Bacs, cybercrimepolice.ch oder eine vergleichbare Stelle über Phishing-Seiten und Phishing-Mails informieren. Denn das Bacs darf, wie erwähnt, nicht selbst ermitteln.