Eine Schwachstelle, die 27 Jahre lang in OpenBSD unbemerkt geblieben war und von einem Modell der künstlichen Intelligenz innerhalb einer Woche aufgedeckt wurde: Das ist der Ausgangspunkt eines Kommentars, den digitalswitzerland am 30. April 2026 veröffentlicht hat. Der Autor, Christophe Nicolas, Group CIO der Kudelski-Gruppe und Mitglied des Exekutivkomitees von digitalswitzerland, leitet daraus eine klare Lesart für die Schweiz ab: Seiner Ansicht nach wurden die kritischen Infrastrukturen des Landes nicht für einen solchen Gegner konzipiert. Es handelt sich um einen Meinungsbeitrag: Die folgenden Angaben sind jene, die er wiedergibt und vertritt.
Was der Autor berichtet
Laut dem Kommentar hat ein KI-Modell namens Claude Mythos, entwickelt vom Unternehmen Anthropic, im Betriebssystem OpenBSD eine Schwachstelle gefunden, die jahrzehntelange menschliche Überprüfung nicht entdeckt hatte. Ebenfalls laut dem Autor hat das Modell zudem Lücken in allen wichtigen Betriebssystemen und Webbrowsern identifiziert und für jede einen gezielten Angriff entwickelt, der funktioniert. Der Ingenieur, der es nutzte, hatte nach seinen Worten keinerlei Sicherheitsausbildung; eine einzige Anweisung soll genügt haben: eine Schwachstelle finden.
Christophe Nicolas gibt an, Anthropic habe sich entschieden, das Modell nicht öffentlich zugänglich zu machen und den Zugang einem amerikanischen Konsortium namens «Project Glasswing» vorzubehalten, dem Microsoft, Google, AWS, NVIDIA, JPMorgan und CrowdStrike angehören. Er betont, dass die Schweiz nicht eingeladen wurde.
Die Argumentation: eine Annahme, die wegfällt
Dreissig Jahre lang, erklärt er, beruhte die Cybersicherheit auf einer einfachen Idee: Schwerwiegende Schwachstellen sind selten, weil sie schwer zu finden sind. Die Patch-Zyklen waren schon immer langsam, doch das blieb tolerierbar, solange es die Angreifer ebenfalls waren.
Übernimmt eine KI den schwierigen Teil, also die Suche nach Lücken in Maschinengeschwindigkeit, parallel und über den gesamten sensiblen oder strategischen Code hinweg, zerbricht dieses Gleichgewicht. Das ist der Kern seiner Analyse: Das Tempo der Updates entspräche nicht mehr jenem der möglichen Angriffe.
Die drei Schweizer Pfeiler aus Sicht des Autors
Christophe Nicolas betrachtet anschliessend drei traditionelle Stärken des Landes neu:
- Das Vertrauen: Es beruht seiner Ansicht nach auf Systemen, die zu den attraktivsten Zielen Europas gehören.
- Die Neutralität: Sie bringt die Schweiz, schreibt er, in die Lage eines Landes, das die Entscheidungen von Initiativen wie Project Glasswing umsetzt, ohne an den Diskussionen teilzunehmen. Mit anderen Worten: Die Schweiz würde die Bedrohung sehen, ohne dass man ihr die Gebrauchsanweisung für die Abwehr aushändigt.
- Die sorgfältige Ingenieurskunst: Die Infrastrukturen gelten als robust, weil sie es jahrzehntelang waren; Erfahrung allein wird wahrscheinlich nicht mehr genügen, meint er.
Er nennt namentlich Die Post, die SBB, die Bundesverwaltung, die kantonalen Gesundheitssysteme, das Stromnetz und die privaten Plattformen der Vermögensverwaltung. In seinen Augen wurde keines dieser Systeme dafür konzipiert, einem Gegner die Stirn zu bieten, der in einer Woche eine zehn Jahre alte Lücke finden kann. Unter Akademikern und Politikern herrsche die Intuition vor, das Tempo zu erhöhen, ein sinnvoller Ansatz, der laut ihm aber noch keine konkrete Umsetzung gefunden hat.
Sein Ansatz: Sicherheit auf Hardware-Ebene
Für den Autor werden Software-Updates nicht mehr ausreichen. Er schlägt vor, die Sicherheit direkt in die Hardware zu integrieren:
- Systeme, die ihre Identität und Integrität dank Elementen nachweisen können, die tief in den Chips verankert sind;
- systematisch signierte sensible Aktionen, damit kein wichtiger Vorgang unbemerkt bleibt;
- Verschlüsselungsmethoden, die so konzipiert sind, dass sie den Computern von morgen standhalten, einschliesslich Quantencomputern;
- gesicherte Bereiche in den Prozessoren, die sich bei einem Problem sauber verriegeln können, statt Daten abfliessen zu lassen.
Er hält fest, dass diese Technologien bereits existieren und die Schweiz über die Kompetenzen verfügt, sie weiterzuentwickeln. Ihre Einführung sei jedoch seiner Ansicht nach eher eine strategische Entscheidung als ein blosser Kauf: Cybersicherheit als Pfeiler der Souveränität zu behandeln, gleichrangig mit der Neutralität, als eine Fähigkeit, welche die Schweiz selbst beherrschen muss.
Drei gezielte Botschaften
Den Führungskräften legt er eine einfache Frage nahe: Können ihre kritischen Systeme nachweisen, dass sie vertrauenswürdig sind, und jede sensible Aktion nachverfolgen? Lautet die Antwort weiterhin «Wir halten uns an den Patch-Kalender», wäre ihre Strategie bereits im Rückstand.
An die Parlamentarierinnen und Parlamentarier gerichtet, erinnert er daran, dass sich die Schweiz im November 2023 für einen sektoriellen Ansatz bei der KI entschieden hat, der damals stimmig war, in seinen Augen heute aber ungenügend ist. Er plädiert für eine koordinierte Antwort noch in der aktuellen Legislatur; andernfalls riskiere die Schweiz, in Brüssel getroffenen Entscheidungen zu folgen, statt diese mitzugestalten. An alle gerichtet betont er schliesslich, dass Souveränität 2026 auch von der Fähigkeit abhängt, die Sicherheitsgrundlagen der Systeme zu verstehen, zu überprüfen und zu beherrschen.
Das Wichtigste in Kürze
Der Text verbindet berichtete Fakten zu Claude Mythos, die der Kommentar technisch nicht näher ausführt (die OpenBSD-Lücke wird darin beispielsweise nicht beschrieben), mit einer persönlichen Analyse der Position der Schweiz. Er hält fest, dass die geäusserten Meinungen jene des Autors sind und nicht unbedingt jene von digitalswitzerland widerspiegeln; Christophe Nicolas gibt zudem an, mit Unterstützung von Claude Opus 4.7 für Vorschläge und das Korrekturlesen geschrieben zu haben. Seine zentrale Feststellung, die Kluft zwischen der Geschwindigkeit, mit der Lücken entdeckt werden, und jener der Patches, wirft Fragen für die Betreiber von Infrastrukturen auf; seine Lösungsvorschläge hängen von einer politischen Entscheidung ab, die noch zu debattieren ist.
