Im Frühjahr 2018 startete der damalige Chef FUB ein internes Projekt für die Erhöhung der Sicherheit der IKT-Systeme der Schweizer Armee. Auslöser dafür war ein Cyber-Security-Vorfall bei der RUAG, aber auch Schwachstellen in den IKT-Systemen der Armee, die durch Reviews, Tests und Penetration Testing entdeckt worden waren. Bei genauerer Analyse der Ausgangslage stieg der Handlungsbedarf exponentiell mit jeder gewonnenen Erkenntnis. Die Umsetzung wird noch bis in die nahe Zukunft andauern. Um die Zusammenhänge zu beleuchten, braucht es aber zuerst einen Blick zurück.

Die Geschichte der FUB

Die heutige Führungsunterstützungsbasis besteht in der heutigen Form seit 2005. Damals wurde die Untergruppe Führungsunterstützung (UG FU) mir der Direktion Informatik und Kommunikation (DIK-VBS) fusioniert. Dies war auch der Zeitpunkt, als die zivile und die militärische Informatik des VBS verflochten wurden. Die beiden Bereiche hatten zuvor einen komplett unterschiedlichen Zweck verfolgt, in den Personalbeständen wurden unterschiedliche Sicherheitskulturen gelebt, und die Arbeiten in den Silosystemen liessen sich nur schwer miteinander vereinbaren. Der Fusion zwischen UG FU und DIK-VBS ist es zuzuschreiben, dass die Führungsunterstützungsbasis heute noch Leistungen zugunsten der Armee und des Sicherheitsverbunds Schweiz (SVS) erbringt, aber auch zugunsten der zivilen Bundesverwaltung im und ausserhalb des Departement VBS.

Im April 2016 hat der damalige Departementschef VBS Guy Parmelin vor dem Hintergrund des RUAG-Vorfalls entschieden, die IKT-Systeme der Armee und der Verwaltung wieder zu entflechten. Nur so bekäme die FUB eine Chance, der rasanten technologischen Entwicklung, der zunehmenden Bedrohungen aus dem Cyberraum und den stark wachsenden Bedürfnissen der Armee gerecht zu werden und sich auf ihre Kernaufgabe zu fokussieren.

Entflechtung der zivilen und militärischen IKT

Mit dem Programm «Entflechtung der Basisleistungen» werden die einsatzrelevanten Systeme der Armee und des SVS, die hohe Anforderungen an Sicherheit und Robustheit stellen, konsequent von den Systemen der Bundesverwaltung getrennt. Die einsatzrelevanten Systeme müssen in Zukunft komplett autonom und getrennt von den zivilen Systemen funktionieren. Das Konzept der Entflechtung sieht vor, dass militärische Systeme sicher und kontrolliert Informationen mit der übrigen Bundesverwaltung und der zivilen Welt austauschen können. Die Entflechtung der Basisleistungen und die Bildung der neuen Zonen bewirken drei wesentliche Vorteile:

• Die IKT-Sicherheit der einsatzrelevanten Systeme wird dadurch massiv erhöht;
• Die Zuständigkeiten für die IKT-Sicherheit in den unterschiedlichen Zonen werden klar geregelt;
• Die FUB kann sich voll auf die Leistungserbringung zugunsten der Armee und des SVS fokussieren.

Der Betrieb der sogenannten Basisleistungen, die dutzende zivile Fachanwendungen umfasst, soll mit der Entflechtung ausgelagert werden. So wird die komplette Büroautomation mit rund 15'000 Nutzenden an das Bundesamt für Informatik und Telekommunikation (BIT) abgegeben. Durch Skaleneffekte können die IT-Kosten in der Verwaltung reduziert werden. Bei der hochsicheren Umgebung des Zentrums Elektronische Operationen, wo Leistungen im Cyber- und Elektromagnetischen Raum erbracht werden, ist diese Trennung der Systeme bereits seit langem etabliert.

Von der alten in die neue Welt

Um die Entflechtung vollziehen zu können, musste ein weiterer Grundsatzentscheid getroffen werden: Entweder kann die bisher bestehende Systemlandschaft für die Entflechtung genutzt werden, was einer Operation am offenen Herzen gleichgekommen wäre, oder es wird parallel zur bestehenden Systemlandschaft eine komplett neue aufgebaut. Aufgrund der Komplexität und der zur Verfügung stehenden Ressourcen wurde ein Entscheid für die zweitgenannte Variante getroffen. Die historisch gewachsene IKT-Umgebung wird also konsequent verlassen und anstelle dieser eine komplett neue geschaffen.

Die Leistungen, die im Programm FITANIA zusammengefasst sind, bilden dabei die notwendigen Grundpfeiler. Mit dem Zuschlag an die Swisscom im Hebst 2019 für den Aufbau der Plattform der neuen Rechenzentren wurde dafür ein geeigneter Industriepartner gefunden. In der neu entstehenden IKT-Landschaft wird von Anfang an ein moderner Sicherheitsansatz durchgesetzt, der es möglich macht, alle IKT-Assets kontinuierlich im Überblick zu behalten und das IT Service Continuity Management zu gewährleisten. Dabei werden nicht mehr einzelne Systeme geschützt, sondern Informationen. Einzelne ältere Systeme, die aktuell noch im Betrieb sind, den gegenwärtigen Sicherheitsansprüchen aber nicht mehr genügen, wurden bereits konsequent isoliert. Ein Ausbau des IKT-Schutzes bei veralteten Systemen wäre ökonomisch nicht sinnvoll. Eine der resultierenden Konsequenzen aus diesem Vorgehen ist es, dass die Risiken der veralteten und isolierten Systeme bewusst durch das Departement VBS getragen werden. Somit wurden bei diesen Systemen die Abweichungen vom IKT-Grundschutz Bund, falls dadurch die IKT der Bundesverwaltung nicht gefährdet wird, auch nicht an das ISB gemeldet. Die Meldung an sich hätte wiederum Sicherheitsrisiken mit sich gebracht.

Frage der Governance

Die Bundesinformatikverordnung (BInfV) regelt die Governance der IKT in der Bundesverwaltung, das ISB ist dabei die Vorgabestelle. Die Audits führt die Eidgenössische Finanzkontrolle (EFK) durch und nimmt die Aufsicht der IKT wahr. Die verschiedenen Anwendungen, welche die FUB betreibt, müssen aber unterschiedlichen Sicherheitsanforderungen genügen. So gelten für militärische Systeme zum Beispiel umfassendere Sicherheitsvorgaben zum Schutz und zur Verteidigung vor den Bedrohungen aus dem Cyberraum. Die Sicherheit der militärischen Systeme muss darum mit einem erweiterten Kriterienkatalog überprüft werden. Zu diesem Zweck wurde ein eigenes Informationssicherheits- und Management-System (ISMS) in der FUB aufgebaut. Das ISMS FUB wurde Ende 2018 durch die SQS nach ISO/IEC 27001 zertifiziert.

Mit der konsequenten Umsetzung der Entflechtung trägt das VBS bereits heute die Verantwortung für die Sicherheit der eigenen Systeme und trägt auch die resultierenden Risiken selbstständig. Die ISB-Vorgaben zum IKT-Grundschutz Bund werden wo sinnvoll übernommen und wo nötig verschärft. In Einzelfällen kann es aber durchaus vorkommen, dass die Vorgaben des IKT-Grundschutzes Bund bei militärischen Systemen aus technischen Gründen nicht eingehalten werden können. So kann beispielsweise die sogenannte Zwei-Faktor-Identifikation bei älteren Systeme von Drittherstellern nicht mehr implementiert werden.

Mitten im Prozess

Eine robuste und hochsichere IKT-Umgebung für die Schweizer Armee lässt sich aufgrund der Komplexität und der bestehenden Systeme nicht von heute auf morgen realisieren. Die Beschaffungsprozesse in der Bundesverwaltung, die zur Verfügung stehenden Ressourcen sowie die laufenden Anforderungen, die an die Führungsunterstützungsbasis gestellt werden, haben zudem grossen Einfluss auf die zeitliche Umsetzung. Mit der strategischen Neuausrichtung seit 2018 ist die gesamte FUB darauf eingestellt, robuste und hochsichere IKT-Leistungen und elektronische Operationen zugunsten der Armee in allen Lagen zu erbringen. Um den Sicherheitszustand in der aktuellen Transformation zu erkennen, wurden im Sommer 2018 in Zusammenarbeit mit Industriepartnern verschiedene Tests durchgeführt. Aus den gewonnenen Erkenntnissen konnte die IKT-Sicherheit gegen mögliche unerwünschte Manipulationen und Eindringlinge bereits massiv erhöht werden. Weiter wurde ein neues Projekt initialisiert, um die Konfigurationen der Firewalls zu automatisieren. So können menschliche Fehlerquellen auf ein Minimum reduziert werden, und der Zustand der einzelnen Komponenten lässt sich jederzeit einfach überprüfen.

Es wurden komplett neue architektonische Sicherheitsvorgaben für die bestehenden Systeme erstellt, die wiederum auch in künftige Vorhaben einfliessen werden. Dabei wurde eine neuartige Strukturierung der Softwaresysteme und ihrer zugrundeliegenden Plattform umgesetzt. Als eine der wichtigsten Massnahmen wurde die Abteilung Cyber Security gebildet und der Posten des Chefs Cyber Security (CISO FUB) besetzt. In dieser neuen Abteilung sind die Sicherheitskräfte der FUB nun konzentriert. Darin sind die Sektionen Sicherheitsstrategie, die integrale Sicherheit sowie das Cyber Fusion Center eingegliedert. Im Cyber Fusion Center laufen alle Informationen aus dem Cyberraum zusammen, und die Sicherheitsüberwachung wird massiv ausgebaut. So können Netzwerkaktivitäten besser überwacht werden. Speziell für die Schulung der internen und externen Mitarbeitenden der FUB wurde das Team Ausbildung und Awareness Cyber Security aufgebaut, wo laufend aktuelle E-Learnings und physische Schulungen zur Erhöhung der Sicherheit durchgeführt werden. Weiter verfügt die FUB seit Beginn 2020 über die ICT Warrior Academy, wo Fachspezialisten auf die neuen Anforderungen der Armee vorbereitet und mit neuen Kompetenzen ausgestattet werden. In der Abteilung Erneuerung wird mit agilen Methoden gearbeitet, um die Transparenz zu steigern, rascher auf Kundenanforderungen zu reagieren und moderne Technologie frühzeitig einfliessen zu lassen. Mit der Fokussierung auf die Entflechtung und die Fertigstellung von FITANIA werden darüber hinaus Elemente umgesetzt, welche die IKT-Sicherheit über die nächsten Jahre massiv erhöhen werden.

Weiterentwicklung zum Kommando Cyber

Künftig geht es darum, die Mittel der Armee auf Grundlage eines Wissens- und Entscheidvorsprungs präzise und fokussiert einsetzen zu können. Voraussetzung dafür ist ein digitalisierter flexibler Verbund von Sensoren und Effektoren, die es dem Kommandanten ermöglichen, schneller die richtigen Entscheidungen zu treffen. Um den qualitativ und quantitativ unaufhörlich steigenden Cyberbedrohungen gewachsen zu sein, müssen die Cyberfähigkeiten in der Armee noch konsequenter gebündelt werden. Mit der Motion Dittli vom März 2018 wurde die Weiterentwicklung der FUB zum Kommando Cyber vom Parlament gefordert. Darüber hinaus ist es eine logische Konsequenz in der Weiterentwicklung der FUB im Hinblick auf das Zielbild 2030+ der Schweizer Armee. Das Projekt ist im Moment in der Phase «Initialisierung», eine Ergänzung des Militärgesetzes ist vorgesehen. Um hochsichere und robuste IKT-Leistungen und elektronische Operationen für die Armee sicherzustellen, braucht die Führungsunterstützungsbasis nun vor allem stabile Rahmenbedingungen und Ausdauer.