«Wie gut sind die Informationssysteme der Schweizer Kernkraftwerke geschützt?»

«Stuxnet»-Anfrage im Nationalrat

Nationalrat Dominique Baettig, Kanton Jura, hat am 7. Juni 2011 in der Fragestunde folgende Anfrage eingereicht (Nr. 11.5219):

Dominique Baettig. Schutz vor dem Computervirus «Stuxnet»
Die Wochenzeitschrift «Horizons et débats» berichtete in ihrer Ausgabe vom 23. Mai 2011 über das Computervirus «Stuxnet». Das Virus, dessen Urheberschaft möglicherweise auf ­Israel und die USA zurückzuführen ist, wurde mit dem Ziel eingesetzt, das Atomprogramm in Iran zu sabotieren. «Stuxnet» ist ein hochentwickeltes und zerstörerisches Schadprogramm.
•    Wie gut sind die Informationssysteme der Schweizer Kernkraftwerke gegen ein Virus dieses Typs geschützt?
•    Gab es nach der Sabotage Kollateralschäden in militärischen oder zivilen Informationssystemen der Schweiz?

Antwort von Bundesrat Ueli Maurer, Vorsteher des Departements für Verteidigung, Bevölkerungsschutz und Sport (VBS):

Die Informatiksicherheit der Schweizer Kernkraftwerke im Bereich der Reaktorschutzsysteme und weiterer sicherheitsbezogener Systeme wird vom Eidgenössischen Nuklearsicherheitsinspektorat beaufsichtigt. Dies schliesst auch Systeme ein, welche dem Schutz vor Sabotage und Terrorismus dienen. Die Steuer- und Kontrollsysteme sowie die Sicherheitssysteme der Schweizer Kernkraftwerke umfassen technische und organisatorische Schutzvorkehrungen und Kontrollmassnahmen, wie beispielsweise die physische Netzwerktrennung oder Redundanz und Diversität. Die Schutzsysteme sind mehrfach und unabhängig voneinander ausgelegt und unterscheiden sich in ihrem Aufbau. Die Massnahmen zur Informatiksicherheit in den Schweizer Kernkraftwerken umfassen die Abwehr von bekannten Bedrohungen wie auch die Eliminierung von Verwundbarkeiten.
Der Fall Stuxnet zeigt allerdings, dass es unter bestimmten Umständen möglich bleiben wird, hochspezialisierte bösartige Software in ein elektronisches System einzuschleusen, auch wenn dieses System isoliert ist. Solche Angriffe setzen in aller Regel jedoch detaillierte Insiderkenntnisse über das Angriffsziel voraus, damit man die Schutzmechanismen überwinden und den angestrebten Schaden erzielen kann. In der Schweiz wurden bisher weder in zivilen noch in militärischen Informatiksystemen Auswirkungen des Virus Stuxnet festgestellt.

Quelle: <link http: www.admin.ch>www.admin.ch

zf. Nationalrat Dominique Baettig greift zu Recht den Artikel in Horizons et débats vom 23. Mai bzw. in Zeit-Fragen vom 16. Mai mit dem Titel «Strom-, Gas- und Wasserversorger wurden nicht von einem ‹ausserirdischen› Computerwurm befallen» auf. Der Titel nimmt unmittelbar Bezug auf eine in 14 Ländern durchgeführte, internationale Umfrage, der zufolge allein «in Deutschland insgesamt 59 Prozent der befragten Strom-, Gas- und Wasserversorger den Cyber-Wurm auf ihren Systemen entdeckten».

Quelle: «Deutsche Energieversorger anfällig für Computerwurm Stuxnet», Spiegel Online vom 16.4.2011, <link http: www.spiegel.de spiegel vorab>www.spiegel.de/spiegel/vorab/0 %2C1518%2C757472%2C00.html

Am Tage nach dem bundesrätlichen Damenentscheid liess Bundesrätin Doris Leuthard bei Radio DRS selbstsicher verlauten, sie hätte in den letzten Tagen so viele Ordner durchgelesen, dass keiner mehr behaupten solle, sie würde sich nicht auskennen. «Die spricht ein grosses Wort gelassen aus!» dachte man und wusste nicht, ob man weinen oder lachen soll …
Wenn dem so ist, wie sie sagte, dann muss sie auch in der Lage sein, die Fragen von NR Baettig wahrheitsgetreu zu beantworten.
Es empfiehlt sich für alle sich als staatstragend verstehende Parteien ebenso wie für alle zivilgesellschaftlichen Gruppierungen, den obenerwähnten Text zu «Strom-, Gas- und Wasserversorger wurden nicht von einem ‹ausserirdischen› Computerwurm befallen» mit allen darin enthaltenen Links genau zu lesen.    •

Hintergrundinformationen
Zeit-Fragen, 16.5.2011, <link http: www.zeit-fragen.ch>www.zeit-fragen.ch/index.php
Frankfurter Allgemeine Zeitung, 22.9.2011, <link http: www.faz.net>www.faz.net/-01i43d 
<link http: www.computerworld.com s article stuxnet_code_hints_at_possible_israeli_origin_researchers_say>www.computerworld.com/s/article/9188982/Stuxnet_code_hints_at_possible_Israeli_origin_researchers_say
«Israeli Test on Worm Called Crucial in Iran Nuclear Delay», New York Times vom 16.1.2011, <link http: www.nytimes.com world middleeast>www.nytimes.com/2011/01/16/world/middleeast/16stuxnet.html ;
<link http: www.spiegel.de netzwelt web>www.spiegel.de/netzwelt/web/0 ,1518,757680,00.html
Symantec (2011), «W32.Stuxnet Dossier», <link http: www.symantec.com content en us enterprise media security_response whitepapers w32_stuxnet_dossier.pdf>www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_stuxnet_dossier.pdf;
McAffee (2011), «In the Dark. Crucial Industries Confront Cyberattacks»; auch in französisch und deutsch verfügbar: «Im Dunkeln – Wichtige Industrien im Kampf gegen Internetangriffe», «Des menaces tapies dans l’ombre – Les infrastructures critiques face aux cyberattaques», <link http: www.mcafee.com apps view-all>www.mcafee.com/apps/view-all/publications.aspx, bzw. =de oder =fr)