Im zweiten Halbjahr 2023 wurden dem Bundesamt für Cybersicherheit insgesamt 30 331 Cybervorfälle gemeldet, fast doppelt so viele wie im selben Zeitraum im Jahr zuvor.

Besonders gefährdet für Cyberangriffe sind auch Betriebe des öffentlichen Verkehrs, da sie neben der eigenen IT über betriebskritische OT-Systeme wie Sicherungsanlagen verfügen und gleichzeitig für alle offen zugängliche Webseiten und Apps betreiben. All diese Bereiche bieten Cyberkriminellen potentielle Einfallstore, um Schaden anzurichten, was sich diese auch zunehmend zu Nutzen machen.

Bei den Verkehrsbetrieben Luzern ist das «Wann?» bereits eingetreten: 2022 wurden sie Opfer eines Cyberangriffs der Gruppe ALPHV, auch bekannt als «BlackCat», die bis zur teilweisen Lahmlegung ihres Netzwerkes im Dezember 2023 zu den gefährlichsten und aktivsten Ransomware-Kriminellen weltweit gehörte. Die Gruppe habe mit einem Ransomware-Angriff «diverse Systeme manipuliert, beschädigt sowie verschlüsselt», wie Marc Schwegler, Mediensprecher der Verkehrsbetriebe Luzern VBL, ausführt.

Nach dem Angriff haben die Verkehrsbetriebe Luzern ihr Backup-Konzept weiter optimiert und gestärkt, sowie das Notfallkonzept erweitert. «Unsere Sicherheitssysteme wurden ausgebaut und wir überprüfen regelmässig den Krisenbetrieb unserer betriebsrelevanten Kernprozesse», so Schwegler weiter.

Zusätzlich wurde die IT-Abteilung bei den Verkehrsbetrieben Luzern personell verstärkt und die Awarness-Schulungen für die Mitarbeitenden ausgebaut. Die Mitarbeitenden würden regelmässig Updates und aktuelle Hinweise über die Mitarbeitenden-App erhalten und die IT-Sicherheit sei auch bereits an den Willkommens-Events für neue Mitarbeitende ein Thema.

Anders sieht die Situation bei Bernmobil aus: Noch vor zehn Jahren hätte er gesagt, dass Cyberangriffe in ihrem Bereich eher Fiktion als Realität seien, sagte Thomas Kolly, Leiter Informatik bei Bernmobil,vergangene Woche an der VöV-Tagung Bus24. Das habe sich jedoch stark gewandelt, die Situation sei heute eine ganz andere. «Die Angriffsversuche sind nicht nur viel häufiger geworden, sie werden auch immer ausgeklügelter und perfider», betont Kolly.

Cybersicherheit sei ein Thema, «das Bernmobil sehr stark beschäftigt und dies auch weiterhin tun wird», so Kolly weiter. Einen grossen Einfluss auf die zunehmende Bedrohung durch Cyberattacken habe die fortschreitende Digitalisierung. «Damit erhöhen sich auch die Vernetzung und die Komplexität, was wiederum dazu führt, dass Angriffspunkte in der Summe zunehmen», betont er.

Dies stellt auch Stadtbus Winterthur fest. «Im Schatten der voranschreitenden Digitalisierung nehmen auch die Cyberrisiken zu», sagt Matthias Gerth, Leiter Marketing und Kommunikation von Stadtbus Winterthur. «Eine grosse Herausforderung sehen wir aktuell in der stark steigenden Anzahl von Dienstleistungen, die auf der Verwendung von Cloud-Technologie basieren." Damit würde auch die mögliche Angriffsfläche steigen.

Als kleines Praxisbeispiel, wie sich die Vorkehrungen gegen mögliche Angriffe gegenüber früher gewandelt haben, führt Thomas Kolly von Bernmobil die Installation von Sicherheitspatches – Softwarekomponenten, die sicherstellen, dass IT-Systeme vor Cyberangriffen geschützt sind – an: «Früher haben wir die Sicherheitspatches gesammelt und durchgeführt, sobald wir ein paar zusammen hatten, heute wird ein Patch sofort installiert, sobald er verfügbar ist», erklärt er. Sofortige Reaktion und Geschwindigkeit seien ein Key-Element einer wirkungsvollen Cybersecurity.

Waren sogenannte Penetrationstests bei Bernmobil früher vorwiegend für Webapplikationen ein Thema, wurde im Jahr 2023 der erste Bus des Unternehmens einem solchen unterzogen. Penetrationstests sind eine Testform, bei der IT-Security Experten die Angriffsflächen einer Anwendung umfassenden Tests unterziehen und dabei nach allfälligen Schwachstellen absuchen.

Weshalb sind solche Tests denn bei Bussen überhaupt notwendig? In den meisten Bestandteilen externer Lieferanten sind auch IT-Komponenten im Einsatz, so beispielsweise in den Aussenanzeigen der Busse oder in den Bildschirmen, die in den Fahrzeugen die nächsten Haltestellen oder auch Werbung anzeigen. «Wir haben festgestellt, dass die IT-Sicherheit im jeweiligen Bereich des Anbieters zwar erfüllt ist, dies jedoch bei der End-to-End Sicherheit nicht sichergestellt war», erklärt Kolly.

Um allfällige Schwachstellen aufzudecken, hat Bernmobil einen ihrer Busse Penetrationstests im sogenannten Blackbox-Verfahren unterzogen. Bei diesem Verfahren hat der Angreifende, respektive der Testende, keine oder nur sehr wenig Informationen über das zu testende System. Die benötigten Informationen müssen also zuerst beschafft werden. «Das Blackbox-Verfahren ist sehr beliebt, weil es sehr realitätsnahe Ergebnisse liefert», erklärt Kolly.

Das Resultat: Bei den Tests wurden Schwachstellen gefunden, das heisst, es gab Systeme, die manipuliert werden konnten. Welche genau das waren, wollte Kolly nicht sagen. Allerdings waren nur Systeme betroffen, die zusätzlich im Bus eingebaut sind. Sicherheitsrelevante Systeme waren nicht dabei. «Die gute Nachricht ist: Das Fahrzeug konnte nicht manipuliert werden», so Kolly. Gemäss Kolly plant Bernmobil auch in Zukunft solche Tests durchzuführen. «Wir haben bei den Bussen angefangen und werden die nächsten Tests bei den Trams durchführen», erklärt Thomas Kolly.

Bereits 2019 liess Postauto gezielte Penetrationstests an Postautos durchführen. Ebenfalls mit dem Ergebnis, dass Schwachstellen aufgedeckt wurden. «Wir konnten alle entdeckten Schwachstellen in der gesamten Fahrzeugflotte schliessen», so Ben Küchler, Mediensprecher von Postauto. Zudem seien die Postautos mit Sensoren bestückt, dank denen Angriffe frühzeitig erkannt werden können. Im Rahmen eines Bug-Bounty-Programms arbeitet die Post zudem intensiv mit ethischen Hackerinnen und Hackern zusammen: «Sie überprüfen in unserem Auftrag IT-Systeme auf Sicherheitslücken, pro gefundene Schwachstelle erhalten sie eine Belohnung», erklärt Küchler.

Sowohl Postauto als auch Bernmobil betreiben zudem ein Krisenmanagement, um im Ernstfall sofort reagieren zu können. Bernmobil hat erst vor kurzem spezifisch zum Thema Cybersecurity eine Übung durchgeführt. «Es ist eindrücklich zu sehen, welche Themen und Bereiche alles tangiert werden und wo man vielleicht noch nicht ganz so gut aufgestellt ist», so Thomas Kolly.

Neben den technischen Massnahmen und Vorkehrungen gegen Cyberangriffe ist bei den Busbetrieben die Schulung und Sensibilisierung der Mitarbeitenden ein wichtiger Faktor. Gerade auch hinsichtlich der bei den Busbetrieben mit Abstand am häufigsten vorkommenden Art von Cyberattacken, den Phisingversuchen.

Zwar erreicht der allergrösste Teil der an Bernmobil gerichteten e-Mails ihre Empfänger gar nie: «92 Prozent aller an Bernmobil gerichteten Mails werden gar nicht erst an den Exchange Server weitergeleitet», so Thomas Kolly. Von den acht Prozent, die es bis zu ihm schaffen, werden noch einmal zwei Prozent durch den Spamfilter aussortiert.

Trotz all dieser Vorkehrungen kann es vorkommen, dass doch mal ein Phising-Mail einen Weg zum Empfänger findet. Umso wichtiger also, dass die Mitarbeitenden wissen, wie sie in einer solchen Situation reagieren müssen.

Deshalb sensibilisieren und schulen alle angefragten Busbetriebe ihre Mitarbeitenden regelmässig zum Thema Informationssicherheit, Postauto und Bernmobil führen bei ihren Mitarbeitenden auch gezielte «Anti-Phising-Trainings» durch. Dafür werden durch eine externe Firma fingierte Phising-Mails an die Mitarbeitenden verschickt. Bei Bernmobil wird die Leistung der Mitarbeitenden mit einem Punktesystem bewertet. Reagiert jemand richtig auf ein Phising-Mail, kriegt er Punkte. Reagiert er falsch, werden Punkte abgezogen. Mitarbeitende, die sich mehrmals falsch verhalten oder einen bestimmten Schwellenwert unterschreiten, werden aufgefordert, ein Lernmodul zu absolvieren.

Obwohl sich die angefragten Busbetriebe nicht zu den anfallenden Kosten äussern, dürfte sie die zunehmende Bedrohung durch Cyberkriminelle teuer zu stehen kommen. Von Bernmobil beispielsweise ist lediglich zu erfahren, dass «sowohl Investitionen als auch Massnahmen im Verhätnis zur Grösse des Unternehmens und der Cyberrisiken stehen.»

Für Thomas Kolly ist es entscheidend, zum Schutz der Infrastruktur und für die Gewährleistung eines sicheren, zuverlässigen Betriebes in die Cyber-Security zu investieren. «Informationssicherheit ist kein Zustand, sondern ein Prozess, an dem man arbeiten muss», bringt er es auf den Punkt.