Digital
Datenschutz

Nach Xplain-Hack: Bund fordert bei IT-Dienstleistern Sicherheit ein

Sicht auf ein Gebaeude mit dem Hauptsitz der IT-Firma Xplain, am Sonntag, 2. Juli 2023, in Interlaken. Die IT-Firma wurde im letzten Mai gehackt. Die Software des Unternehmens wird bei Polizei-, Geric ...
Nachdem die Ransomware-Bande Play die bei einem Hackerangriff gestohlenen Daten geleakt hatte, sah sich die Bundesverwaltung zum Handeln gezwungen. Bild: keystone

Nach Xplain-Hack: Das fordert der Bund von tausenden IT-Dienstleistern

19.07.2023, 15:1607.05.2024, 10:41
Mehr «Digital»

Nach dem Hackerangriff auf die Berner Software-Firma Xplain fordert der Bund Sicherheit ein bei IT-Dienstleistern, die für ihn Aufträge erfüllen. 2871 Unternehmen sind per Brief aufgefordert worden, zu prüfen, ob sie explizit aufgeführte Anforderungen erfüllen können.

Inside-IT berichtete am Mittwoch über den Brief des Bundesamts für Bauten und Logistik (BBL), der der Nachrichtenagentur Keystone-SDA vorliegt. Darin heisst es:

«Ihr Unternehmen muss jederzeit in der Lage sein, die Vertraulichkeit, die Integrität und die Verfügbarkeit von Systemen, Daten und Informationen sowie die Nachvollziehbarkeit des Umgangs mit Daten und Informationen zu gewährleisten.»

Was wird konkret verlangt?

Zu den technischen Anforderungen, die die Unternehmen gewährleisten müssen, gehören laut inside-it.ch «die Pflicht zur Multifaktor-Authentisierung, das Verbot zur Nutzung unverschlüsselter Passwörter und zur Speicherung nicht anonymisierter Produktivdaten des Bundes».

Ausserdem sei ein Löschverfahren für Testdaten nach deren Gebrauch zu implementieren und anzuwenden, zitiert inside-it.ch aus dem Schreiben. Und: Netzwerkverkehr sei zu überwachen und bei Personen, die auswärts («remote») arbeiteten, müsse eine VPN-Verbindung erzwungen werden.

Verlangt würden auch ein «Incident-Response-Prozess» sowie die regelmässige Auswertung von Logdateien.

Ziel des Briefes: Sensibilisierung

IT-Dienstleister, die die konkret umschriebenen Anforderungen an die Sicherheit nur zum Teil einhalten können oder Schwachstellen bei sich ausmachen, müssen sich beim Vertragspartner beim Bund und dem Nationalen Zentrum für Cybersicherheit melden. Ziel sei in erster Linie die Sensibilisierung, hiess es beim BBL dazu auf Anfrage.

Der Brief fordert die Vertragspartner-Unternehmen zudem auf, sich über aktuelle Bedrohungen aus dem Cyberraum und sowie Massnahmen für mehr Sicherheit auf dem aktuellsten Stand zu halten. Ergibt die Prüfung von Vertragsunterlagen Handlungsbedarf, werden betroffene Firmen noch einmal angeschrieben.

Der Bundesrat hatte Ende Juni wegen des Xplain-Hacks entschieden, die Verträge mit Informatikdienstleistern mit der Bundesverwaltung systematisch zu überprüfen.

Diese Daten wurden der Liechtensteiner Polizei gestohlen

Hacker hatten beim für den Bund tätigen IT-Dienstleister Xplain Daten gestohlen, wie watson am 23. Juni publik machte. Weil die Cyberkriminellen kein Lösegeld erhielten, machten sie Daten im Darknet zugänglich.

Auf der Leak-Site der Ransomware-Bande Play wurden auch Daten der Liechtensteiner Landespolizei zugänglich gemacht. Die Behörde arbeitet ebenfalls mit Xplain zusammen. Geleakt wurden unter anderem 59 Personendatensätze, die bei Entwicklungs- und Supportarbeiten von Xplain gespeichert worden waren, wie die Landespolizei am Mittwoch mitteilte.

Die Personendatensätze umfassten Daten von aktuellen und ehemaligen Mitarbeitenden und auch Personendaten aus dem Personenregister. Sobald die Personen abschliessend verifiziert seien, würden sie über den Diebstahl ihrer Daten informiert, teilte die Landespolizei mit.

Die Datenanalyse habe bestätigt, dass sich unter den entwendeten und geleakten Daten keine vertraulichen Informationen aus operativen Datenbanken befinden.

Quellen

(dsc/sda)

Was bislang passiert ist

Der Xplain-Hackerangriff und seine weitreichenden Folgen

DANKE FÜR DIE ♥
Würdest du gerne watson und unseren Journalismus unterstützen? Mehr erfahren
(Du wirst umgeleitet, um die Zahlung abzuschliessen.)
5 CHF
15 CHF
25 CHF
Anderer
Oder unterstütze uns per Banküberweisung.
Xplain-Hack: Darknet-Leak betrifft Daten des Bundes
1 / 19
Xplain-Hack: Darknet-Leak betrifft Daten des Bundes
Selten hat eine Ransomware-Attacke hierzulande für so viel Aufsehen gesorgt: In der Bildstrecke erfährst du das Wichtigste zum Angriff auf die Schweizer Behörden-Software-Entwicklerin Xplain und wie die Betroffenen reagierten.
quelle: keystone / laurent gillieron
Auf Facebook teilenAuf X teilen
16 Lügen, die wir alle benutzen
Video: watson
Das könnte dich auch noch interessieren:
17 Kommentare
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 24 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
17
    KI kann ärztliche Fehldiagnosen nicht verhindern – das solltest du wissen
    Am Inselspital wurde die weltweit erste Studie zu einem KI-basierten Diagnosesystem in der Akutmedizin durchgeführt. Die Resultate sind ernüchternd.

    Ein Forschungsteam unter der Leitung des Inselspitals Bern, des Universitätsspitals Bern und der Universität Bern hat in einer umfangreichen Studie untersucht, ob ein KI-basiertes Diagnosesystem die Qualität von ärztlichen Diagnosen verbessern kann.

    Zur Story