Jede Organisation und jede Privatperson ist prim\u00e4r daf\u00fcr verantwortlich, die eigenen Systeme zu sch\u00fctzen. Dieses Grundprinzip hat sich in der Schutzpraxis f\u00fcr die Cybersicherheit bereits Ende der 1990er-Jahre etabliert. Es basiert auf individueller und gr\u00f6sstenteils freiwilliger Verantwortung und hat sich international durchgesetzt. Bis zu einem gewissen Punkt funktioniert diese Schutzpraxis gut. Doch f\u00fcr Gesellschaft und Wirtschaft als Ganzes gen\u00fcgt das so erreichte Schutzniveau nicht.<\/p>\n
Der Grund liegt in der engen Vernetzung technischer Systeme wie industrieller Steuerungsanlagen, Cloud- und Plattformdienste, Lieferkettennetzwerke oder digitaler Zahlungssysteme. Sie f\u00fchrt dazu, dass externe Effekte entstehen: Individuelle Sicherheitsentscheidungen wirken sich auch auf andere aus \u2013 sowohl negativ als auch positiv.<\/p>\n
Ein negativer externer Effekt entsteht etwa, wenn ein Unternehmen seine Systeme unzureichend absichert: Angreifer k\u00f6nnen diese Schwachstelle nutzen, um Partner, Kundinnen oder ganze Lieferketten anzugreifen. Das Unternehmen selbst tr\u00e4gt nur einen kleinen Teil der Sch\u00e4den, der gr\u00f6ssere Teil trifft andere.<\/p>\n
Ein positiver externer Effekt liegt hingegen vor, wenn ein Unternehmen viel in Cybersicherheit investiert. Dadurch profitieren auch jene, die selbst wenig oder gar nichts investieren. Etwa, wenn Schadsoftware nicht weiterverbreitet wird oder Bedrohungsinformationen mit der Branche geteilt werden.<\/p>\n
Diese Dynamik f\u00fchrt zu einem klassischen Marktversagen: Insgesamt wird zu wenig in Sicherheit investiert. Der Anreiz des Einzelnen ist kleiner als gesellschaftlich w\u00fcnschenswert, weil ein Teil des Nutzens der Investitionen auf andere \u00fcbergeht, ohne dass diese etwas daf\u00fcr zahlen m\u00fcssen. Dieses Ph\u00e4nomen des Trittbrettfahrens ist eng mit der Unterversorgung \u00f6ffentlicher G\u00fcter verbunden: Alle profitieren von mehr Cybersicherheit, und niemand kann davon ausgeschlossen werden. Deshalb bestehen wenig Anreize, selbst in Schutz zu investieren.<\/p>\n
Parallel dazu versch\u00e4rft sich die Bedrohungslage. Angriffe lohnen sich zunehmend, weil die Angriffsfl\u00e4che durch Digitalisierung, Clouddienste und mobile Arbeit stetig w\u00e4chst. Das Entdeckungsrisiko jedoch bleibt gering. Angreifer agieren anonym, oft \u00fcber Landesgrenzen hinweg, und k\u00f6nnen hohe finanzielle Ertr\u00e4ge erzielen. Die Einstiegsh\u00fcrden sinken zugleich deutlich. Im Darknet werden fertige Angriffswerkzeuge und Ransomware-Kits als Cybercrime-as-a-Service angeboten. Automatisierte Tools erm\u00f6glichen auch technisch weniger versierten T\u00e4tern effektive Angriffe. Hinzu kommt, dass staatliche oder staatsnahe Akteure Cyberattacken zur Spionage, zur Sabotage oder zur geopolitischen Machtaus\u00fcbung strategisch nutzen. Da diese Akteure \u00fcber Zeit, Ressourcen und Know-how verf\u00fcgen, steigen die Kosten f\u00fcr Unternehmen und Institutionen sowohl durch die notwendigen Investitionen in Abwehrmassnahmen als auch durch die Sch\u00e4den erfolgreicher Angriffe.<\/p>\n
Die Professionalit\u00e4t und die Schlagkraft heutiger Angriffe zeigen, dass kollektive Massnahmen \u2013 also koordinierte Anstrengungen von Staat, Wirtschaft und Gesellschaft \u2013 unverzichtbar sind. Dennoch bleibt das Grundprinzip bestehen: Ohne Eigenverantwortung funktioniert es nicht. Sie ist Voraussetzung, dass kollektive Massnahmen \u00fcberhaupt wirken k\u00f6nnen. Denn die Basis kollektiver Sicherheit ist stets die individuelle Vorsorge. Wer Updates vers\u00e4umt, schwache Passw\u00f6rter nutzt oder andere grundlegende Schutzmassnahmen ignoriert, gef\u00e4hrdet nicht nur sich selbst, sondern \u00f6ffnet Angreifern das Tor in das gesamte Netz.<\/p>\n
Die entscheidende Frage lautet: Wie weit reicht diese Eigenverantwortung? Und ab wann muss der Staat eingreifen? Eine einfache Antwort darauf gibt es nicht. Bedrohungen, technische M\u00f6glichkeiten und \u00f6konomische Anreize ver\u00e4ndern sich laufend. Was heute noch als zumutbare Eigenleistung gilt, kann morgen schon eine \u00dcberforderung darstellen. Zum Beispiel wenn die Komplexit\u00e4t von Angriffen oder die Kosten f\u00fcr Schutzmassnahmen die M\u00f6glichkeiten einzelner Unternehmen oder Privatpersonen \u00fcbersteigen. Umgekehrt k\u00f6nnen neue Technologien Schutzmassnahmen erleichtern, die bislang nicht praktikabel waren. Dazu geh\u00f6ren etwa automatisierte Sicherheitsupdates, KI-gest\u00fctzte Angriffserkennung oder zentral bereitgestellte Clouddienste.<\/p>\n
Trotzdem lassen sich zwei Leitlinien benennen, die in Forschung und Praxis h\u00e4ufig herangezogen werden. Erstens: Eigenverantwortung reicht so weit, wie Schutzmassnahmen mit vertretbarem Aufwand umsetzbar sind \u2013 technisch, organisatorisch und finanziell. Es ist zumutbar, dass Unternehmen und Privatpersonen grundlegende Vorkehrungen treffen: Systeme aktuell halten, Zugangsdaten absichern, Back-ups erstellen, Mitarbeitende schulen. Diese Formen der Cyberhygiene sind heute Standard und Teil der digitalen individuellen Sorgfaltspflicht.<\/p>\n
Zweitens: Der Staat greift ein, wenn der Markt versagt. Cybersicherheit ist \u2013 zumindest auf nationaler Ebene \u2013 ein \u00f6ffentliches Gut. Denn wenn kritische Infrastrukturen, staatliche Dienste oder digitale Grundversorgung ausfallen, betrifft das die gesamte Gesellschaft. Der Staat muss daher durch klare gesetzliche Rahmenbedingungen, Aufsicht, Koordination und gegebenenfalls auch direkte Intervention f\u00fcr ein Mindestmass an Schutz sorgen.<\/p>\n
Zu den zentralen Aufgaben des Staats geh\u00f6rt es, Mindeststandards festzulegen. Sie sollen das allgemeine Schutzniveau erh\u00f6hen und verhindern, dass Sicherheit zur freiwilligen K\u00fcr wird. Besonders exponierte Sektoren wie Energie, Gesundheit oder Verkehr ben\u00f6tigen spezifische Vorgaben, ebenso der Umgang mit sensiblen Daten.<\/p>\n