Eine Datenpanne oder ein Datenleck ist ein Vorfall, bei dem unberechtigte Personen Zugriff auf Daten erhalten. Wird der Begriff weit ausgelegt, so schliesst er auch das unerwünschte Löschen von Daten, also einen Datenverlust, ein.
Wir fassen in diesem Beitrag den Begriff «Datenpanne» noch weiter als zum Beispiel Wikipedia: Gemeint sind nicht nur «Datenabflüsse», sondern auch schweres Versagen beim Sammeln von Daten. Denn auch solche Fälle können beträchtliche Folgen haben – manchmal sogar positive.
Mit ihrer Snake-Malware hielten russische Elite-Hacker die Welt während fast zwei Jahrzehnten in Atem und spionierten nahezu ungehindert Ziele rund um den Globus aus.
Hinter der mächtigen Cyberspionage-Infrastruktur, bei der die Daten über ein perfekt getarntes Netzwerk weitergeleitet wurden, steckte der Geheimdienst FSB. Dessen Hacker entwickelten die Angriffswerkzeuge fortlaufend weiter. Man konnte damit in geschützte IT-Systeme (Windows, Mac, Linux) eindringen und selbst streng geheime Daten «exfiltrieren».
Zu den vielen Opfern zählen die Schweizer Armee und der inzwischen privatisierte Rüstungsbetrieb RUAG. Direkt betroffen war auch die militärische Spezialeinheit AAD10. Die Identitäten der Mitglieder fielen den Russen in die Hände. Damit waren Geheimeinsätze im Ausland infrage gestellt.
Ein zentraler Aspekt bei der Operation zur Zerschlagung der Snake-Infrastruktur war eine Art «Impfung». Das vom FBI entwickelte Programm wurde nach dem Helden aus der Medusa-Sage benannt. Es veranlasste die russische Malware, sich auf infizierten Computern selbst zu überschreiben und zu deaktivieren, ohne weiteren Schaden anzurichten.
Anzumerken bleibt, dass die Aktivitäten der russischen Hackergruppe, die Turla genannt wird, seit 2013 öffentlich bekannt waren. Damals leakte der US-amerikanische Whistleblower Edward Snowden eine geheime Präsentation.
Es heisst darin, Snake sei «von Genies entworfen, von Idioten umgesetzt». Tatsächlich soll die Angriffsinfrastruktur nicht nur für Cyberspionage im engeren Sinn verwendet worden sein, sondern auch kriminellen Zwecken gedient haben.
Covid-19 brachte es schonungslos zutage: Das Schweizer Gesundheitssystem ist zwar eines der teuersten der Welt, hat jedoch bei der Datenverarbeitung schlimme Defizite.
Die Digitalisierung wurde während Jahrzehnten verschlafen. Und so verwendeten viele Arztpraxen und Spitäler Faxgeräte, wenn sie dem Bundesamt für Gesundheit (BAG) klinische Befunde von Coronainfizierten melden mussten.
Das obige Zitat stammt nicht vom damaligen Schweizer Gesundheitsminister, Bundesrat Alain Berset, und auch nicht vom Bundesamt für Gesundheit (BAG). Die treffenden Sätze sind von dem Mann, der die Initiative ergriff, um das Datendebakel unbürokratisch schnell zu beheben.
Er heisst Andreas Amsler und war damals beim statistischen Amt des Kantons Zürich angestellt. Als Leiter der Fach- und Koordinationsstelle Open Government Data befreite er quasi von Berufes wegen Behördendaten und dann machte er sich mit Gleichgesinnten aus der Daten-Community daran, das Verarbeiten der Coronadaten zu verbessern.
In einem NZZ-Interview erklärte Amsler:
Ein zweites Vorbild sei das European Center for Disease Prevention gewesen. Diese Agentur der Europäischen Union ist mit der Verhütung und Kontrolle übertragbarer Krankheiten betraut. Und sie lieferte früh die wichtige Information, wie viele Patienten auf den Intensivstationen lagen.
So war es möglich, wie Amsler bescheiden erklärt, dass die Schweizer Datenlage verbessert werden konnte.
Tatsächlich hat Covid-19 der Schweizer Bevölkerung einen gewaltigen technischen Schub verpasst. Nun müssen die Verantwortlichen in den Kantonen und beim Bund beweisen, dass sie aus den Datenpannen gelernt haben.
Die föderale Schweiz sei bei der Digitalisierung gegenüber zentralisierten Ländern nicht im Nachteil, sagt Amsler in dem Zeitungsinterview vom vergangenen Oktober:
Und damit zu einer völlig anderen Datenpanne, die ebenfalls während der Coronapandemie für Schlagzeilen sorgte und ein internationales politisches Beben auslöste.
Im Mai 2022 sorgten journalistische Enthüllungen über die seit vielen Jahren bekannte Verfolgung der Uiguren durch den chinesischen Staat für Aufsehen. Erstmals wurden verifizierte Fotos aus dem Inneren der Internierungslager gezeigt und Peking konnte das Gezeigte nicht leugnen.
Die geleakten Daten stammten von einer anonymen Quelle, einem Hacker, der offenbar in die Computersysteme chinesischer Sicherheitsbehörden eindringen und Polizeiakten stehlen konnte. Diese Quelle habe keinerlei Bedingungen gestellt und es habe keine Bezahlung gegeben.
Die Xinjiang Police Files sind auch ein Triumph des Datenjournalismus über ein verschwiegenes Verbrecherregime. Neben der klassischen investigativen Recherche nutzten die Journalistinnen und Journalisten auch moderne Technik, um die Echtheit der geleakten Daten zu überprüfen.
Die NSO Group steht sinnbildlich für eine milliardenschwere Branche, die über Leichen geht. Gemeint sind die Entwickler und Anbieter von kommerzieller Smartphone-Spyware. Das bekannteste Produkt dürfte Pegasus sein. Eine Schadsoftware, die auch vermeintlich sichere iPhones knacken und in perfekte Überwachungsgeräte verwandeln kann.
Profiteure sind nicht nur die Aktionäre, sondern insbesondere auch die staatlichen Kunden, die viel Geld bezahlen, um Freunde und Feinde heimlich auszuspionieren.
Nach zahlreichen weltweiten Skandalen hiess es, das umstrittene israelische Unternehmen stelle den Betrieb ein. Doch in diesem Frühjahr zeigte sich, dass die NSO Group auch weiterhin eine Bedrohung darstellt für Regime-Kritiker, Dissidenten, Medienleute und alle Akteure, die den Reichen und Mächtigen nicht genehm sind. Unabhängige Sicherheitsforscher vom Citizen Lab, einer kanadischen Forschungseinrichtung, haben neue Zero-Click-Exploits entdeckt. Mithilfe dieser Angriffswerkzeuge liessen sich iPhones mit den Betriebssystemen iOS 15 und iOS 16 einfach übers Internet hacken.
Gute Nachricht für Menschenrechts- und Bürgerrechtsaktivisten, Oppositionelle und andere potenzielle Ziele: Der von Apple im Sommer 2022 lancierte Lockdown-Modus soll iPhones vor entsprechenden Attacken abschirmen.
Die noch bessere Nachricht: Immer mehr Politikerinnen und Politiker lernen, dass die vermeintlich sicheren und praktischen Überwachungswerkzeuge eine tödliche Gefahr für die Demokratie sind und bekämpft werden müssen.
Allerdings machte die NZZ im April dieses Jahres publik, dass eine andere berüchtigte Spyware-Anbieterin Unterstützung vom Bund und von einer Tessiner Fachhochschule erhält. Sprich: Es gibt also noch sehr viel zu ändern.
Der Artikel ist schon viel länger geworden, als ich mir vorgenommen hatte, Entschuldigung! 😌 Nun schliessen wir die Datenpannen mit einem sehr speziellen Fall ab.
Es geschah im Jahr 2012. Da tauchte in Griechenland ein verlorener USB-Stick wieder auf. Und dieser sollte einige sehr reiche und mächtige Leute ins Schwitzen bringen. Eine Datei auf dem Speicherstick enthielt die Namen von über 2000 mutmasslichen Steuersündern. Sie alle hatten nicht deklarierte Konten bei einer Schweizer Privatbank.
Pikant: Der USB-Stick war dem griechischen Finanzminister zwei Jahre davor ausgehändigt worden – von der damaligen französischen Finanzministerin und heutigen Präsidentin der Europäischen Zentralbank, Christine Lagarde.
Dann verschwand der Stick, bzw. die brisante Liste, im Labyrinth der Athener Bürokratie und tauchte erst viel später wieder auf – allerdings in leicht abgeänderter Form.
Die nun fehlenden Einträge betrafen die Konten einer Cousine des obersten Steuerfahnders des Landes, sowie deren Ehemann und den Gatten einer weiteren Cousine.
Die Excel-Tabelle, «Lagarde-Liste» genannt, führte zu einem veritablen Skandal in Griechenland. Der damalige Chef der Steuerfahndung behauptete, er habe von der Datei keinen Gebrauch gemacht, weil die Informationen nicht aus legalen Quellen stammten. Die griechische Presse vermutete, dass Steuerhinterziehung vertuscht werden sollte.
Der Fall beendete politische Karrieren und forderte sogar Menschenleben. Ein mutiger Journalist, der schliesslich die Namen veröffentlichte, wanderte kurzzeitig ins Gefängnis, wurde aber wenig später vor Gericht freigesprochen.
PS: Die Lagarde-Liste war nur eine «Teilmenge» eines viel grösseren Bankdatensatzes, der sogenannten Falciani-Liste, die ein Informatiker in Genf seinem Arbeitgeber gestohlen hatte. Daraus wurden später die Swissleaks.
Und wir lernen daraus:
