«Das ist eine Frage des Vertrauens»

Wie wäre der Prototyp eines digitalen «Verwaltungs-Menschen»? Vielleicht könnte Florian Schütz einer sein, der erste Delegierte des Bundes für Cybersicherheit und der Leiter des Nationalen Zentrums für Cybersicherheit (NCSC). Er verbindet Begeisterung für die Digitalisierung mit höchsten Ansprüchen an IT-Security und Privatsphäre.

Der 40-Jährige empfängt uns in einem unauffälligen fünfstöckigen Bürogebäude im Berner Zentrum. Das NCSC ist am Eingang nicht angeschrieben und liegt ein bisschen abseits vom Bundeshaus. Unauffällig und doch rasch präsent, wenn nötig, ebenso wie die IT-Security im Idealfall.

Risiken ausgesetzt
Schütz fungiert als Ansprechperson für Politik, Wirtschaft und Öffentlichkeit zu Fragen von Cyberrisiken und kümmert sich um die Umsetzung der nationalen Strategie zum Schutz der Schweiz. Sein NCSC unterstützt insbesondere die Betreiber kritischer Infrastrukturen bei der Bewältigung von Vorfällen. Dabei ist er selbst natürlich ein potenziell interessantes Opfer für Hacker. Was bedeutet dies für die Privatperson Schütz? «Ich bin mir bewusst, dass ich als Opfer interessant sein kann. Verändert aber hat sich im Vergleich zu früheren Tätigkeiten in der Privatwirtschaft vor allem meine Exponiertheit und weniger mein eigenes Verhalten. Ich habe mir auch früh überlegt, welche Daten über mich wertvoll sind, welche ich nach aussen geben will und welche nicht.»

Er habe privat beispielsweise keine Smart Speaker, aber nicht wegen spezieller Sicherheitsbedenken, sondern weil ihm die Devices «unsympathisch» seien. «Es hat auch in anderen Geräten Mikrofone und ich bin nicht paranoid. Ich lebe so, dass wahrscheinlich zuhören kann, wer will, wenn er den nötigen Aufwand betreibt, denn ich führe zu Hause keine vertraulichen oder gar geheimen Gespräche.»

Risikobalance halten
Sich schützen kann man also, auch wenn man beispielsweise keinen Master in Computerwissenschaft hat. Oder doch nicht? Vorsichtige sind irritiert, wenn beispielsweise ein iPhone warnt, es sei nicht vollständig konfiguriert, weil Face ID nicht aktiviert wurde. Darum die Frage: Fingerabdrücke oder ein Gesicht sind ja im Falle eines Hacks nicht änderbar wie ein Passwort. Schütz: «Das ist eine Frage des Vertrauens, das muss jeder selbst abwägen. Ich beispielsweise habe Facial Recognition aktiviert, das hilft mir, und beim E-Banking habe ich einen zweiten Faktor zur Authentisierung. Ich habe mich darüber informiert, wie die Technologie funktioniert. Solange Apple tut, was sie versprechen, ist das Risiko überschaubar.» Er erklärt verständlich die Funktionsweise von Gesichtserkennung, bevor er zur Kernfrage kommt, nämlich welche Bedeutung der Faktor Vertrauen hat. «Muss man Apple vertrauen? Ja.» Es stelle sich hier auch die Frage, wie viel Aufwand ein Angreifer betreiben wolle, um einen Fingerabdruck zu erbeuten. Und ob es keinen einfacheren Weg gäbe. «Es ist immer ein Abwägen zwischen Annehmlichkeit und Sicherheit», sagt er.

Aber er weiss auch, dass es IT-Laien schwerfällt, Vertrauen zu haben, wenn sie von Hacks lesen oder sogar gehackt wurden. «Bei diesem Thema führen wir noch keine gesunde Diskussion», sagt Schütz. Er kritisiert zum einen, dass zu viele selbst ernannte Security-Experten ohne fachlichen Background angestellt würden, manche sogar als Chief IT-Security Officer oder IT-Leiter.