SubmittedText

Verschiedene Medien (darunter die "Basler Zeitung" und die "Weltwoche") haben Ende Mai, Anfang Juni berichtet, von Ende 2014 bis zum Februar 2017 hätten unbefugte Aussenstehende leichten Zugang zum Informatiknetz des Bundes gehabt. Aus den Medien geht hervor, dass wegen einer Sicherheitslücke Unbefugte ohne Registrierung und ohne Autorisierung auf das Intranet und auf Datenbanken mit der Bundesverwaltung vorbehaltenen Informationen zugreifen konnten. Das Bild, das in den Medien gezeichnet wird, ist besorgniserregend. Es zeigt einen Staat, der unfähig ist, Probleme zu erkennen, sich zu schützen und zu reagieren und dann auch zu informieren. In der Schweiz ist man sich offenbar generell der Tragweite der Gefahren, die von Hackerangriffen ausgehen, zu wenig bewusst.

Angesichts dessen ist es Zeit, Klarheit zu schaffen:

1. Bestätigt der Bundesrat die Berichte der Medien, wonach zwischen 2014 und 2017 unbefugte Dritte systematisch auf geschützte Informatiknetze und Inhalte zugreifen konnten? Was genau ist geschehen?

2. Wann ereigneten sich die Vorfälle, und wann hat sie der Bundesrat zur Kenntnis genommen?

3. Welche Departemente waren betroffen?

4. Warum hat der Bundesrat nicht selbst über die Vorfälle informiert?

5. Auf welche Inhalte wäre es unbefugten Dritten möglich gewesen zuzugreifen? Gab es unbefugte Zugriffe? Wurden Daten gestohlen oder verändert? Wenn sich das nicht feststellen lässt, warum nicht?

6. Als die unbefugten Zugriffe erkannt wurden, welche Massnahmen wurden ergriffen?

7. Wurden Administrativuntersuchungen eingeleitet, oder läuft ein Strafverfahren?

8. Wie wurde intern über die Vorfälle kommuniziert, um die Angestellten der betroffenen Verwaltungseinheiten zu informieren und vor allem zu sensibilisieren?

9. Wurden andere Stellen der Bundesverwaltung, insbesondere im Informatikbereich, informiert?

FederalCouncilResponseText

Die gestellten Fragen können wie folgt beantwortet werden:

1. In der Tat hat zwischen 2014 und 2017 eine Sicherheitslücke bestanden, deren Ausnützen den unberechtigten Zugriff auf eine beschränkte Anzahl von Anwendungen des Bundes ermöglicht hätte.

2. Am 27. Januar 2017 wurde von Spezialisten des Bundes ein Fehlverhalten des betreffenden Zugangsdienstes festgestellt. Danach haben die zuständigen Fachleute den Mangel umgehend eingegrenzt und am 9. Februar 2017 endgültig behoben. Nach einer ersten Analyse der Situation wurde dann der zuständige Departementsvorsteher am 15. Februar 2017 über die Sicherheitslücke und die eingeleiteten Massnahmen informiert. Weiter wurde der Bundesrat im Rahmen der jährlichen Sicherheitsberichterstattung informiert.

3. Betroffen war eine beschränkte Anzahl von Anwendungen, welche eine bestimmte Art von Zugangsverfahren benötigen. Die betroffenen Anwendungen sind identifiziert, die zuständigen Verantwortlichen informiert. Aus Sicherheitsgründen ist die Liste der betroffenen Departemente und Anwendungen nicht öffentlich.

4. Die Kommunikation zum Sicherheitsvorfall erfolgte intern über die dafür vorgesehenen Gremien. Die Informationen enthielten auch detaillierte Angaben über die Funktionsweise des betroffenen Zugangsdienstes und wurden deshalb aus Sicherheitsgründen "vertraulich" klassifiziert. So wurden die Informatik- und Sicherheitsverantwortlichen der Departemente und der Bundeskanzlei über den Informatikrat des Bundes und über den Ausschuss für Informatiksicherheit des Bundes zeitnah informiert.

5. Die Untersuchungen des Vorfalls ergeben keine Hinweise, dass diese Sicherheitslücke unberechtigt ausgenutzt worden wäre. Allerdings lässt sich das nicht vollständig nachweisen und damit auch nicht vollständig ausschliessen. Die vorhandenen Aufzeichnungen des betroffenen Zugangsdienstes genügen für eine abschliessende Aussage dazu nicht. Mit dem Schliessen der Sicherheitslücke wurde auch sichergestellt, dass die Aufzeichnungen für Fälle wie den vorliegenden künftig genügend sind.

6. Nach der Entdeckung der Lücke durch Spezialisten des Bundes wurde sie umgehend geschlossen. Der Vorfall wurde analysiert und aus den Erkenntnissen eine Reihe von kurz- und längerfristigen Massnahmen eingeleitet. Die betroffenen Linien- und Anwendungsverantwortlichen wurden informiert.

7. Nein. Es gibt keine Hinweise auf strafrechtlich oder disziplinarisch relevante Handlungen, die zur Sicherheitslücke führten. Aus diesem Grund ergab sich aus Sicht des Bundesamtes für Informatik und Telekommunikation auch kein Bedarf für eine Administrativuntersuchung.

8. Die zuständigen Gremien wurden zeitnah informiert. In der Technik gehört die rasche Anpassung von Software und Systemen aufgrund von Sicherheitspatches der Lieferanten zum Tagesgeschäft. Zusätzlich sind interne Massnahmen getroffen worden, um die Qualitätskontrolle bei erfolgten Anpassungen an diesem Zugangssystem zu verbessern.

9. Die Fehleranalyse erfolgte in enger Zusammenarbeit mit den beteiligten Leistungserbringern.

Antwort des Bundesrates.