Cyberangriff Universität Zürich

Was ist passiert?

Anfang Februar 2023 entdeckte die Universität Zürich (UZH) – die grösste Universität der Schweiz – einen gezielten Cyberangriff auf ihre IT-Infrastruktur. Die Angreifer hatten sich Zugang zu internen Systemen verschafft und versuchten, tiefer in das Netzwerk einzudringen.

Die UZH reagierte rasch: Gemeinsam mit externen Cybersicherheitsexperten und in enger Zusammenarbeit mit dem Nationalen Zentrum für Cybersicherheit (NCSC) wurden umfangreiche Gegenmassnahmen eingeleitet. Zahlreiche IT-Dienste mussten vorübergehend abgeschaltet oder eingeschränkt werden, darunter E-Mail-Systeme, VPN-Zugänge und interne Plattformen.

Der Angriff war kein zufälliger «Spray-and-Pray»-Ansatz, sondern eine gezielte Operation, die auf die spezifische Infrastruktur der UZH zugeschnitten war. Die Angreifer nutzten mehrere Einfallstore und zeigten ein hohes Mass an technischer Kompetenz. Die genaue Identität der Angreifer wurde nicht öffentlich bekannt gegeben, wobei Experten einen staatlich unterstützten Akteur nicht ausschlossen.

Wer war betroffen?

Als grösste Universität der Schweiz hat die UZH eine enorme Reichweite:

• Über 28’000 Studierende, deren persönliche Daten und Studienleistungen potenziell gefährdet waren
• Rund 9’000 Mitarbeitende, einschliesslich Forschende, Dozierende und Verwaltungspersonal
• Forschungsgruppen mit laufenden Projekten, deren Daten und Ergebnisse geschützt werden mussten
• Internationale Forschungspartner, die über gemeinsame Plattformen verbunden waren
• Das Universitätsspital Zürich (USZ), das aufgrund der engen IT-Vernetzung vorsorglich zusätzliche Sicherheitsmassnahmen ergriff
• Spin-off-Unternehmen und Industriepartner im Innovationsökosystem der UZH

Besonders sensibel waren die medizinischen Forschungsdaten: Die UZH führt klinische Studien durch und speichert Patientendaten, die unter das Humanforschungsgesetz und die ärztliche Schweigepflicht fallen.

Wie gross war der Schaden?

Die UZH kommunizierte sehr zurückhaltend über den entstandenen Schaden. Basierend auf vergleichbaren Vorfällen an Hochschulen und den öffentlich bekannten Massnahmen lässt sich der Schaden wie folgt einschätzen:

• IT-Betriebsunterbrechung: Mehrere Wochen eingeschränkter Betrieb – Studierende konnten Prüfungssysteme nicht nutzen, Forschende hatten keinen Zugang zu Datenbanken
• Forensik und Incident Response: Einsatz externer Spezialisten über mehrere Monate
• Systemhärtung: Umfassende Sicherheitsverbesserungen im Nachgang des Angriffs
• Personalkosten: Hunderte Überstunden des IT-Teams, temporäre Verstärkung
• Forschungsverzögerungen: Nicht quantifizierbarer Schaden durch unterbrochene Projekte mit Deadlines

Der finanzielle Gesamtschaden wird auf CHF 3–10 Mio. geschätzt, wobei die Forschungsverzögerungen und der Reputationsschaden schwer zu beziffern sind.

Hätte eine Cyberversicherung geholfen?

Universitäten sind in der Schweiz in der Regel öffentlich-rechtliche Institutionen und verfügen über andere Versicherungsstrukturen als privatwirtschaftliche Unternehmen. Dennoch zeigt der Fall exemplarisch, welche Kosten eine Cyberversicherung hätte abdecken können.

Kostenanalyse und Versicherungsdeckung

Fazit: Eine Cyberversicherung hätte den grössten Teil der direkten Kosten abfangen können. Besonders wertvoll wäre der sofortige Zugang zu einem Incident-Response-Team gewesen, das in den ersten kritischen Stunden den Unterschied zwischen eingedämmtem Vorfall und Totalschaden machen kann.

Lehren für Schweizer KMU

Obwohl die UZH kein klassisches KMU ist, sind die Parallelen verblüffend. Viele KMU teilen dieselben Schwachstellen wie Bildungseinrichtungen:

1. Unterschätzte Angriffsfläche: Universitäten – wie viele KMU – sehen sich nicht als primäres Ziel. Die Realität zeigt: Jede Organisation mit wertvollen Daten ist ein Ziel. Forschungsdaten, Geschäftsgeheimnisse und Kundendaten sind gleichermassen begehrt.

2. Veraltete Systeme: Universitäten betreiben oft heterogene IT-Landschaften mit Legacy-Systemen. Dasselbe gilt für viele KMU, die noch Windows Server 2012 oder ungepatchte Software im Einsatz haben.

3. Dezentrale IT-Verantwortung: An der UZH verwalten einzelne Institute ihre eigenen Systeme. In KMU fehlt häufig eine zentrale IT-Sicherheitsstrategie – jede Abteilung «macht ihr eigenes Ding».

4. Schnelle Reaktion rettet Daten: Die UZH konnte durch rasches Handeln Schlimmeres verhindern. Ein vordefinierter Incident-Response-Plan – wie ihn Cyberversicherungen standardmässig anbieten – hätte die Reaktionszeit weiter verkürzt.

5. Gezielte Angriffe nehmen zu: Nicht nur Ransomware-Banden, sondern auch staatlich unterstützte Akteure und Wirtschaftsspione greifen Schweizer Organisationen an. Eine Cyberversicherung schützt unabhängig von der Motivation der Angreifer.

6. Auch «weiche» Schäden zählen: Forschungsverzögerungen an der UZH entsprechen Projektverzögerungen und verpassten Deadlines im KMU. Eine Betriebsunterbrechungsdeckung fängt den finanziellen Ausfall auf.

Schützen Sie Ihr Unternehmen

Der Angriff auf die Universität Zürich zeigt: Auch Organisationen, die sich nicht als typisches Angriffsziel sehen, werden getroffen. Die Frage ist nicht ob, sondern wann.

Lassen Sie sich unverbindlich beraten. Die Experten der BTAG Versicherungsbroker AG in Bern helfen Ihnen, Ihr Cyberrisiko realistisch einzuschätzen und die passende Versicherungslösung zu finden – bevor der Ernstfall eintritt.