Nach welchen Kriterien entscheidet das Nationale Testinstitut für Cybersicherheit NTC, was von ihnen getestet wird? Darüber haben wir uns mit Tobias Castagna, Leiter der Testexperten beim NTC unterhalten. Er verrät uns zudem, welchen Einfluss KI auf die Arbeitsweise in der Cybersicherheit hat.
.
Interview mit Tobias Castagna
Tobias Castagna
Das Leitmotiv des NTC lautet: «Wir testen, was sonst nicht getestet wird». Nach welchen Kriterien entscheidet das NTC, was in diese Lücke fällt?
Tobias Castagna: Die Lücke entsteht dort, wo sich niemand zuständig fühlt: keine gesetzliche Pflicht, kein wirtschaftlicher Anreiz, unklare Verantwortlichkeiten – also prüft niemand. Genau diese Lücke füllt das NTC. Zum Testkandidaten wird, was diese Kriterien vereint: grosse Verbreitung, hohe Kritikalität – und damit ein hohes Schadenspotenzial. Dazu muss es objektive Anhaltspunkte geben, dass bisher niemand unabhängig hingeschaut hat. Mögliche Prüfziele sammeln wir auf einer laufend wachsenden internen Liste – gespeist aus den Beobachtungen unseres Testteams, aus den Medien und aus Hinweisen von aussen.
.
Bei den Cybersicherheitsprüfungen des NTC werden immer wieder gravierende Schwachstellen identifiziert. Zeichnet sich in letzter Zeit ab, dass Hersteller die Cybersicherheit ihrer Produkte sorgfältiger angehen?
Einen flächendeckenden Fortschritt sehen wir nicht. Wir finden nach wie vor gravierende Schwachstellen, und zwar quer durch alle Preisklassen. Betroffen sind nicht nur Billigprodukte, sondern auch Produkte etablierter Hersteller. Oft handelt es sich um vermeidbare Mängel, etwa schwache Standardpasswörter oder ungenügend geschützte Kommunikation. Es gibt aber auch viele Hersteller, die die Cybersicherheit ernst nehmen und Prinzipien wie «Security by Design» leben. Dabei helfen neue Regulierungen wie die Radio Equipment Directive und der Cyber Resilience Act. Beide setzen verbindliche Cybersicherheitsanforderungen für viele vernetzte Geräte und digitale Produkte. Das erhöht den Druck auf die Hersteller. Ob sich das in der Breite auf die Cybersicherheit auswirkt, wird sich in den nächsten Jahren zeigen.
.
Das NTC analysiert auch neue Technologien wie KI. Wie beurteilen Sie deren Wirkung auf die Cybersicherheit? Hilft KI primär dabei, Systeme besser abzusichern, oder senkt sie vor allem die Hürde, neue Schwachstellen zu finden und Angriffe automatisiert und systematisch auszuführen?
Es hat sich viel getan bei der Nutzung von KI im Bereich der Cybersicherheit. Mittlerweile setzen wir bei fast allen Tests KI ein. Sie erlaubt uns, in kurzer Zeit tiefer zu testen. Prüfungen, die vor ein bis zwei Jahren zu aufwändig waren, sind heute machbar. KI ersetzt unsere Fachleute aber nicht. Es braucht weiterhin fähige Menschen, welche die Schwachstellen verifizieren und die Kritikalität richtig einschätzen. Das wird auf absehbare Zeit so bleiben. Die Arbeit hat sich aber verändert. Und so wie sich das Testen verändert hat, haben sich auch die Möglichkeiten in der Entwicklung verändert. Hersteller sollten die neuen Möglichkeiten nutzen, um ihre Produkte sicherer zu machen. Denn die Angreifer nutzen sie, um Schwachstellen auszunutzen.
.
In der Vorstellung des NTC sieht man Bilder mit einem Lötkolben im Einsatz, was für Cybersicherheitsprüfungen eher unüblich wirkt. Welche Tests führt das NTC auf Komponentenebene durch, etwa im Bereich Hardware- und Embedded-Security bei cyber-physischen Komponenten?
«Testen, was sonst nicht getestet wird», ist bei digitalen Hardware-Geräten besonders relevant. Gerade im IoT- und OT-Bereich ist die Maturität in der Cybersicherheit oft noch gering. Da gibt es für uns einiges zu tun. Aktuell analysieren wir zum Beispiel Wechselrichter, Smart Meter, Saugroboter oder Peripheriegeräte. Für solche Tests braucht es tatsächlich manchmal den Lötkolben und noch einiges mehr. Unser Hardware-Labor in Zug ist dafür bestens ausgerüstet. Denn zu einer Prüfung auf Komponentenebene gehört, das Gerät zu öffnen. Wir analysieren, welche Komponenten verbaut sind, und extrahieren etwa die Firmware. Erst so erkennen wir Schwachstellen, die von aussen nicht sichtbar sind.
.
.
Tobias Castagna leitet seit 2022 das Team der Testexperten beim Nationalen Testinstitut für Cybersicherheit NTC. Zuvor war er über zehn Jahre bei einem Schweizer Cybersecurity-Dienstleister tätig.
.
Am 5. November 2026 wird Tobias Castagna am Technology Forum ein Referat zum Thema «Verborgene Angriffsfläche – Warum wichtige Sicherheitsprüfungen ausbleiben» halten. Möchten Sie mehr darüber erfahren? Dann sichern Sie sich jetzt Ihr TEFO-Ticket.
.
Autor
