Fast täglich lesen wir über Cyberattacken in den Tageszeitungen. Betroffen davon sind nicht nur Firmen, Online-Shops, Spitäler oder weltweite Zahlungsdienstleister. Gemäss den beiden Halbjahresberichten der NCSC (National Center for Cybersecurity) wurden im 2021 21'700 Cybersicherheitsvorfälle an das NCSC gemeldet. Gegenüber dem Vorjahr, in welchem ca. 10'700 Meldungen verzeichnet wurden, ist dies eine Steigerung von 102% oder einfacher, eine Verdoppelung der Anzahl Meldungen.

Mittlerweile sind auch öffentliche Verwaltungen zur Zielscheibe von Cyberkriminellen geworden. Zwei bedeutende Beispiele in diesem Jahr,

• 10.01.2022: Cyberangriff auf IT-Dienstleister der Gemeinde Yverdon-les-Bains
• 18./19.07.2022: Cyberangriff auf die Stadtverwaltung Bülach

Ein Cyberanariff muss nicht unmittelbar auf eine öffentliche Verwaltung zielen. Angriffe auf die Lieferkette (Supply Chain) von IT-Dienstleistern sind viel effizienter, da diese meist mehrere Kunden auf ihren Systemen als Mandanten beherbergen. Zudem impliziert eine Mehrlieferanten-Strategie das Risiko eines erhöhten Ausfalls von mehreren Fachapplikationskomponenten oder von Geldforderungen aufgrund fremdverschlüsselter Daten. Wie bei allen Arten eines Angriffs erfolgt ein Cyberangriff immer auf potenzielle Schwachstellen, meist auf Schnittstellen zwischen zwei Komponenten. Komponenten können zwei IT-Systeme oder IT-System zu Menschen sein. Im letzteren Fall ist die grösste Schwachstelle der Mensch selbst.

Wir bitten den Stadtrat um die Beantwortung folgender Fragen:

• Sicherheitskonzept
  • Wurde das Sicherheitskonzept mit Experten (intern und extern) erarbeitet?
  • Wurden die Lieferanten bei der Erstellung miteinbezogen?
  • Mit welchen Stellen (Bund, Kanton) arbeitet die Stadt Kloten zusammen?
  • Ist das Bug Bounty-Programm (Kopfgeldprogramm für das Auffinden von Programmfehlern in Systemen) Teil des Sicherheitskonzepts?
  • Durch wen wird das Sicherheitskonzept regelmässig überprüft?
• Sicherheitsprophylaxe in der Stadtverwaltung
  • Wie werden die Mitarbeitenden der Stadtverwaltung sensibilisiert?
  • Wie werden Personen sensibilisiert, die nicht in der Stadtverwaltung?
  • Werden die Lieferanten ebenfalls berücksichtigt, bzw. eingebunden?
• Notfallplan (Teil des Sicherheitskonzepts)
  • Wie sieht die Notfallorganisation aus?
  • Wie sieht der Notfall-Ablauf aus?
• Werden derzeit Cyberangriffe detektiert?
  • Wenn ja,
    • seit wann?
    • werden diese der NCSC gemeldet?
    • werden daraus Trend-Analysen zu Handen des Stadtrats erstellt?
    • Wie viele Angriffe hat die Stadt Kloten abwehren können?

Besten Dank für das zeitnahe Beantworten der obenstehenden Fragen, besonders angesichts der sich momentan abzeichnenden kritischen Situation.