Die SBB kämpfen derzeit an vielen Fronten. Im Wochentakt sorgen ihre kleinen und grösseren Baustellen für Schlagzeilen. Davon einmal abgesehen, schlagen sich die Bähnler seit einigen Jahren auch mit Problemen herum, die alle Grossunternehmen beschäftigen – erst recht, wenn sie kritische Infrastrukturen betreiben: Die Bundesbahnen müssen immer wieder Angriffe von Hackern abwehren. Fast täglich seien ihre Informatiksysteme solchen ausgesetzt, erklärt ein SBB-Sprecher.

Allgemein gilt: Die Einfallstore für Hacker sind in Grossunternehmen zahlreich, ein Angriff ist bisweilen nur einen Mausklick entfernt. Oft bleiben die Gegner unerkannt, manchmal entstammen sie regelrechten Hacker-Fabriken in Osteuropa, China oder Südamerika. Nicht selten stehen finanzielle Interessen im Vordergrund.

Mal versuchen die Interneträuber mittels Schadsoftware ein Computernetz zu blockieren und dann Geld zu erpressen. Mal verschicken sie E-Mails mit Schadcode, probieren, in Systeme einzudringen und sehen es auf sensible Zugangsdaten ab. Mal überhäufen sie eine Website mit so vielen Anfragen, dass diese lahmgelegt wird. DDoS-Attacke nennt sich das.

Einer solchen sind auch die SBB schon zum Opfer gefallen. Im Frühjahr 2016 war ihre Website – dank Fahrplan und Ticketshop zählt sie zu den beliebtesten im Land – nach einem DDoS-Angriff kurzzeitig kaum mehr zu erreichen. Zu keinem Zeitpunkt seien die Hacker dem Sicherheitssystem für den Zugverkehr auch nur nahe gekommen, beruhigte das Unternehmen damals gleich vorsorglich. Tatsächlich gliche es einem Albtraum, wenn Kriminelle in SBB-Systeme eindringen und sich in die Steuerung des Zugverkehrs einmischen. Heute halten dies viele noch für Science Fiction.

Auftragsvolumen von bis zu 50 Millionen Franken

Über Cyberattacken ist öffentlich wenig bis nichts bekannt, aus nachvollziehbaren Gründen. Konzerne wie die SBB wollen keine Nachahmer auf den Plan rufen und schon gar nicht ihre Kunden aufschrecken. Als bei der Deutschen Bahn nach einer Cyberattacke vor zwei Jahren plötzlich Anzeigetafeln dunkel blieben und sich Ticketautomaten tot stellten, war manch ein Bahnfahrer verunsichert. Zahlen zu diesem delikaten Thema wollen die SBB keine nennen. Ein Unternehmen ihres Kalibers dürfte jährlich mehrere Zehntausend kleinere oder grössere Hackerangriffe und viele Millionen Spam-Mails abwehren, sagt ein Fachmann, der nicht namentlich zitiert werden will.

Die Cyberwehr muss rund um die Uhr funktionieren. Bei den SBB ist in den Informatikabteilungen eine Heerschar von Spezialisten damit betraut. Im Zeitalter des «Internets der Dinge» scheint das aber nicht zu genügen. Immer mehr Geräte sind mit dem Internet verbunden, andere kommunizieren zumindest über ein internes Netzwerk.

Längst durchdringt die Digitalisierung den Bahnbetrieb in allen Belangen. «Automatisierung und Vernetzung von Technologien» führten dazu, dass sicherheitskritische Anlagen «vermehrt Cyberbedrohungen ausgesetzt und entsprechend zu schützen sind», warnen die SBB-Informatiker in einem Bericht.

Diese Bedrohung war allseits noch nie so gross wie heute. Die Bundesbahnen wollen deshalb nun das Dispositiv für den Schutz ihrer Informatiksysteme zünftig verstärken: Sie werden dafür eine eigene Einheit aufbauen, ein «Cyber Defence Center», wie es ein wenig martialisch heisst.

Allein schaffen die SBB das nicht. Deshalb suchen sie nach strategischen Partnern. Dies enthüllt eine öffentliche Ausschreibung, die kürzlich auf der Beschaffungsplattform Simap publiziert worden ist.

Die Partner sollen Expertise und Fachleute beisteuern, um das Center aufzubauen. Als zentrale Stelle ist es künftig für alle Fragen der Informatiksicherheit zuständig. Damit wolle man mit der zunehmenden Risikolage weiterhin Schritt halten, bestätigen die SBB gegenüber der «Schweiz am Wochenende».

Die Dimensionen des Projekts sind eindrücklich: Der Rahmenvertrag sieht vor, dass die externen Partner in den nächsten fünf Jahren ein Auftragsvolumen von bis zu 50 Millionen Franken aufbringen müssen. Der zuständigen Projektgruppe sollen rund 50 Angestellte angehören. Intern stocken die SBB für die neue Einheit ihr Personal auf, ebenso wollen sie «das bestehende, sehr gute Personal weiter ausbilden».

Der Angriff, der aus der Zukunft kommt

Die SBB-Pläne zeigen beispielhaft, wie aufwendig es geworden ist, sicherheitstechnisch stets auf dem neusten Stand zu sein. Die Herausforderung: Keiner kann genau voraussagen, wie der nächste Angriff aussieht, wann er stattfindet und wo im weitverzweigten Informatiknetz der Bahn er passiert. «Besonderes Augenmerk müssen wir künftig verstärkt auf Angriffe richten, welche wir nicht ausreichend schnell erkennen», sagt der SBB-Sprecher. «Dazu braucht es weitgehendes Spezialwissen.»

«Detektion und Reaktion», so nennen die Spezialisten dies in ihrer Sprache. Sie suchen überdies permanent nach Sicherheitslücken und schliessen diese, bevor Hacker einfallen können. Zu ihrem Werkzeugkasten gehören unter anderem sogenannte Belastungstests.

Die Bundesbahnen sind mit ihren Bemühungen nicht allein. Überall rüsten Unternehmen auf. Weit über 120 Milliarden US-Dollar werden im laufenden Jahr weltweit in die Informationssicherheit investiert, schätzt das Beratungsunternehmen Gartner. Und die Summe soll weitersteigen.