Verdacht auf schwere Datenschutz-Verstösse beim Bund: Untersuchung gestartet
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb) eröffnet nach der Ransomware-Attacke gegen die Berner Firma Xplain und wegen mutmasslich illegaler Zugriffe auf Fahndungsdaten eine Untersuchung gegen die Bundesämter für Polizei (Fedpol) sowie für Zoll und Grenzschutz (BAZG).
Der oberste Schweizer Datenschützer vermutet in beiden Fällen schwere Verstösse gegen Datenschutzvorschriften, wie die Bundesbehörde am Mittwoch mitteilte.
Was untersucht der Datenschützer?
Bereits am 13. April startete der Edöb eine Vorabklärung wegen Zugriffen von Mitarbeitenden des Bundesamtes für Zoll und Grenzschutz (BAZG) auf das vom Fedpol betriebene nationale Fahndungsregister Ripol.
Aufgekommen war der Verdacht auf Verstösse gegen das Datenschutzgesetz aufgrund der von der «Aargauer Zeitung» gestellten Frage nach der Rechtmässigkeit der BAZG-Zugriffe.
Die beiden Bundesämter informierten den Edöb Anfang Juni zudem, dass es bei der Zusammenarbeit mit dem gehackten IT-Dienstleister Xplain zu Verletzungen der Datensicherheit mit potenziell hohen Risiken für die Betroffenen gekommen war. Das Newsportal watson hat die Ransomware-Attacke mit einem Bericht am 23. Mai publik gemacht.
Was ist passiert?
Der Eidgenössische Datenschutzbeauftragte:
Nach Auswertung der Stellungnahmen zu den möglichen Datenschutzverletzungen durch das BAZG und den gemeldeten Verletzungen der Datensicherheit durch die Zusammenarbeit mit dem gehackten IT-Dienstleister Xplain schloss der Eböd die Vorabklärungen ab. Am Dienstag leitete er die formelle Untersuchung ein. Bei der Vorabklärung hätte beide Bundesämter Stellung genommen, heisst es.
Hacker hatten im Mai dieses Jahres eine Schwachstelle auf den Servern der Firma Xplain AG ausgenutzt und dort unter anderem abgelegte Daten der Bundesverwaltung gestohlen. Bei den Angreifern handelt es sich um die Ransomware-Bande Play, die zuvor unter anderem CH Media und die NZZ gehackt hatte.
Am 1. Juni veröffentlichten die mutmasslich russischen Cyberkriminellen wenige Gigabyte (GB) an gestohlenen Daten auf ihrer Leak-Site im Darknet.
Am 8. Juni kommunizierte das Nationale Zentrum für Cybersicherheit (NCSC), dass auch operative Daten des Bundes von dem Angriff betroffen sein könnten.
Am 14. Juni machten die Cyberkriminellen mutmasslich alle gestohlenen Daten (über 900 GB) zugänglich. Eine solche Veröffentlichung wird als «Full Dump» bezeichnet.
Es läuft ein Verfahren der Bundesanwaltschaft.
Fragwürdige Zugriffe auf Ripol
Die andere mögliche Verletzung der Datenschutzbestimmungen ging vom BAZG aus. Wie die «Aargauer Zeitung» am 11. April berichtete, hatten dort zivile Zöllner Zugriff auf das Fahndungssystem Ripol. Das wurde im März ohne Vorwarnung gestoppt.
Gemäss dem Zeitungsbericht wusste man beim BAZG offenbar, dass der Zugriff durch Zivile nicht legal war, vergab aber Berechtigungen, weil es praktisch war und die rechtliche Grundlage im Zollgesetz auf sich warten liess.
Quellen
- edoeb.admin.ch: Untersuchung gegen fedpol und BAZG
(dsc/sda)
