Cyber-Security-Index 2020: Fortschritte und Nachholbedarf

Die Cybersicherheits-Strategie ist in vielen Ländern ausbaufähig. So lässt sich im Großen und Ganzen der »Global Cybersecurity Index 2020« zusammenfassen. 31 europäische Länder haben schon einmal ein Audit zur Frage der nationalen Sicherheit mit Bezug auf Cybersicherheit durchgeführt. Neun Länder noch nie. An einem internationalen Austausch arbeitet kaum jemand, ebenso wie an Kinderschutz-Strategien und Initiativen gegen Hass, Diskriminierung und sozialem Verhalten im Internet.

Der Global Cybersecurity Index (GCI) wurde 2015 von der International Telecommunication Union (ITU) ins Leben gerufen. Seitdem erhebt er Informationen zum Stand der globalen Cyber-Sicherheit. Aktuell erfasst der Index 193 Nationen. Mehr als die Hälfte der Länder verfügen mittlerweile über ein Computer Incident Response Team (CIRT), fast zwei Drittel über eine nationale Cybersicherheits-Strategie. Dennoch gibt es lokale Unterschiede.

Zu den prägendsten Befunden der globalen Studie gehören folgende:

• Nur 27 der 194 Länder haben eine Strategie zum Schutz der Kinder im Internet.
• 31 europäische Länder haben ein Audit zur Frage der nationalen Sicherheit mit Bezug auf Cybersicherheit durchgeführt. Neun europäische Länder haben dies noch nie getan, auch 2020 nicht.
• Die Studie besagt, dass »beinahe keines« der Länder im internationalen Austausch arbeitet.
• Europa ist weltweit führend bei der Etablierung branchenspezifischer Response-Teams.

Cybersicherheit geht über IT-Belange hinaus

Zur Cybersicherheit zählt die Studie, die prinzipiell über IT-Belange im engeren Sinne hinausgeht, auch Themen wie Diskriminierung und feindseliges soziales Verhalten im Web. Hier würden Initiativen auf internationaler Ebene fehlen.

Der Bericht des Global Cybersecurity Index zeige, dass viele Länder neue Gesetze und Vorschriften zur Cybersicherheit erlassen haben, um Bereiche wie Datenschutz, unbefugten Zugriff und Online-Sicherheit anzugehen. Verstanden worden sei die Notwendigkeit, Strategien und Mechanismen zu entwickeln, um Kapazitäten aufzubauen und Regierungen und Unternehmen dabei zu unterstützen, sich besser auf die wachsenden Cyber-Risiken vorzubereiten und diese einzudämmen. Dafür seien eben jene Computer Incident Response Teams (CIRT) bei über der Hälfte der erfassten Länder ins Leben gerufen worden.

Cybersicherheit ein Entwicklungsproblem

Soweit, so erfreulich. Allerdings kommt der Bericht auch zu dem Schluss, dass »Cybersicherheit wirklich ein Entwicklungsproblem ist und dass die wachsende Kluft zwischen den Cyberkapazitäten zwischen Industrie- und Entwicklungsländern dringend durch Förderung von Wissen, Weiterqualifizierung und Kompetenzaufbau angegangen werden muss. […] Wir müssen diese Lücke schließen, indem wir an die Wurzeln gehen und Kapazitäten in Bezug auf digitale Infrastruktur, digitale Fähigkeiten und Ressourcen in den Entwicklungsländern aufbauen«, appelliert der Report. Allerdings gibt der Blick auf die Zahlen und Statistiken des Reports beispielsweise Afrika durchaus gute Noten. Hier müsste sicherlich im Detail nach Ländern und Regionen unterschieden werden, um den Appell zu stützen oder zu widerlegen. Der Report, in der uns vorliegenden Fassung 105 Seiten stark, tut das allerdings nicht.

Ebenso wird festgestellt, dass eine der größten Herausforderungen in der Covid-19-Pandemie besteht. Es gehe nun darum, Wege zu finden, sich trotz Unsicherheit, Angst und Veränderungen sinnvoll miteinander zu verbinden, um kritische Alltagsfunktionen ausführen zu können.

Der Index umfasst 82 Fragen zu den Cybersicherheits-Aktivitäten der Mitgliedstaaten in fünf Kategorien: Rechtliche, technische und organisatorische Maßnahmen, Aktionen zur Kapazitätsentwicklung sowie Kooperationsinitiativen untereinander.

Ländervergleich: Nachholbedarf außerhalb Europas größer

Die folgenden Grafiken geben einen Überblick über die globalen Befunde, in der Regel zusammengefasst nach Kontinenten, was Erkenntnissen zur Realität nicht komplett zuträglich sein dürfte. Anhaltspunkte gibt es aber allemal.

Europa führend: Länder mit Data-Protection-Gesetzgebung (Quelle: ITU)

Länder mit Meldesystemen bei Verstößen (Quelle: ITU)

Länder mit Gesetzgebung gegen illegale Zugriffe im Netz (Quelle: ITU)

Gesetzgebungsinzidenzen gegen Datendiebstahl oder Verletzung von Persönlichkeitsrechten, in Prozent in Relation zur Gesamt-Bevölkerung (Quelle: ITU)

Länder mit Gesetzgebung gegen Belästigung über das Internet (Quelle: ITU)

Länder mit einem Computer Incident Response Team (CIRT) (Quelle: ITU)

Länder mit einem Sektor- oder Branchen-spezifischem Computer Incident Response Team (CIRT) (Quelle: ITU)

Länder die kritische Infrastrukturen und Widerstandsfähigkeit der IT explizit thematisieren (Quelle: ITU)

Länder, die auf nationaler Ebene Audits in Bezug auf Cybersicherheit durchführen (Quelle: ITU)

Länder, die auf nationaler Ebene eine Risiko-Analyse in Bezug auf Cybersicherheit durchführen (Quelle: ITU)