# Swiss Caselaw Document

**Case Identifier:** af1abaf1-03de-55f6-b0ba-6eeb7999e003
**Source:** Bundesgericht ()
**Court Level:** federal
**Decision Date:** 2024-04-25
**Language:** de
**Title:** Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 25.04.2024
**Docket/Reference:** 
**URL:** https://entscheidsuche.ch/docs/CH_EDOEB/CH_EDÖB_001_20240430-Schlussberi_2024-04-25.pdf

## Full Text

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 
EDÖB  

 

  

 
 

 
 
   
 
 
 
 
 
 

 
 
 

Schlussbericht und Empfehlungen 
 
 

vom 25. April 2024 
 

des 
 

Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten 
(EDÖB) 

 
 
 

in Sachen Xplain AG  
 

aufgrund Ransomware-Vorfall 
 

 
gemäss 

 
Artikel 29 des Bundesgesetzes vom 19. Juni 1992 

über den Datenschutz (aDSG) in Verbindung mit Artikel 70 Bundesgesetz vom 
25. September 2020 über den Datenschutz (DSG)  

 
 
 
 
 
 
 

 

 

 

 
 

Inhaltsverzeichnis 
 
1. Ausgangslage ................................................................................................................................. 1 

1.1. Anlass ...................................................................................................................................... 1 
1.2. Chronologie der wesentlichen Verfahrensschritte ................................................................... 1 
1.3. Umfang der Sachverhaltsabklärung ........................................................................................ 1 

 
2. Sachverhalt ..................................................................................................................................... 2 

2.1. Einleitung ................................................................................................................................. 2 
2.2. IT-Infrastruktur ......................................................................................................................... 2 
2.3. Anwendungen für die Bundesverwaltung ................................................................................ 4 
2.4. Personendaten auf dem Fileserver ......................................................................................... 5 
2.5. Xplain als Dienstleister ............................................................................................................ 7 
2.6. Datenübertragungen aus Sicht Xplain..................................................................................... 7 
2.7. Verhältnis Xplain und BAZG .................................................................................................... 8 
2.8. Datenübertragungen von BAZG an Xplain .............................................................................. 8 

2.8.1. eneXs-mobile ................................................................................................................... 8 
2.8.2. Daten für die Anwendungsentwicklung ........................................................................... 9 

2.9. Verhältnis Xplain und fedpol .................................................................................................... 9 
2.10. Datenübertragungen von fedpol an Xplain .............................................................................. 9 

2.10.1. Datenübertragungen aus ORMA ................................................................................... 10 
2.10.2. Datenübertragungen im Projekt HOOGAN ................................................................... 10 
2.10.3. Datenübertragungen durch eneXs-mobile .................................................................... 11 

2.11. Verträge mit der Bundesverwaltung ...................................................................................... 11 
2.11.1. Vertragssituation mit fedpol ........................................................................................... 11 
2.11.2. eneXs-mobile ................................................................................................................. 11 
2.11.3. ORMA ............................................................................................................................ 11 
2.11.4. HOOGAN ....................................................................................................................... 12 
2.11.5. Vertragssituation mit BAZG ........................................................................................... 12 
2.11.6. eneXs-mobile ................................................................................................................. 12 

2.12. Personensicherheitsüberprüfung .......................................................................................... 12 
2.13. Ransomware-Vorfall .............................................................................................................. 13 
2.14. Reaktion von Xplain auf den Ransomware-Vorfall ................................................................ 14 

2.14.1. Unmittelbare Reaktion ................................................................................................... 14 
2.14.2. Aufarbeitung .................................................................................................................. 14 

 
3. Stellungnahme zum Sachverhalt ................................................................................................ 15 
 
4. Datenschutzrechtliche Beurteilung ............................................................................................ 16 

4.1. Allgemeine formelle Bemerkungen ....................................................................................... 16 
4.2. Allgemeine materielle Bemerkungen..................................................................................... 16 

4.2.1. Bearbeiten von Personendaten ..................................................................................... 16 
4.2.2. Datenschutzrechtliche Anforderungen an das Bearbeiten von Personen-    daten ...... 17 

4.3. Die Rolle von Xplain .............................................................................................................. 17 
4.3.1. Xplain als Verantwortlicher ............................................................................................ 17 
4.3.2. Xplain als Auftragsbearbeiter ........................................................................................ 17 

4.4. Vertragliche Vereinbarungen mit der Bundesverwaltung    (BAZG, fedpol) ......................... 18 
4.5. Datenübertragungen an Xplain ............................................................................................. 20 

4.5.1. Xplain als Auftragsbearbeiter und als Verantwortlicher ................................................ 22 
4.6. Verletzung des Grundsatzes der Datensicherheit ................................................................. 22 
4.7. Verletzung der Grundsätze der Rechtmässigkeit, der Verhältnismässigkeit und der 
Zweckbindung .................................................................................................................................... 24 
4.8. Persönlichkeitsverletzung und Rechtfertigung ...................................................................... 25 
4.9. Systemfehler .......................................................................................................................... 26 

 

 

 

 

 
 

 

4.10. Aufarbeitung Ransomware-Vorfall ........................................................................................ 26 
4.11. Fazit ....................................................................................................................................... 26 

 
5. Empfehlungen .............................................................................................................................. 28 
 
6. Abschluss des Verfahrens .......................................................................................................... 30 

6.1. Rechtliches Gehör und weiteres Vorgehen ........................................................................... 30 
6.2. Veröffentlichung des Schlussberichts ................................................................................... 30 

 
7. Anhang 1: Wichtigste Dokumente .............................................................................................. 32 
8. Anhang 2: Glossar ....................................................................................................................... 33 

Abbildungsverzeichnis 
Abbildung 1: Überblick zum allgemeinen Systemaufbau der Xplain. .................................................... 3 
Abbildung 2: Vereinfachte Illustration des Hackervorfalls auf die Xplain AG.  .................................... 13 

Tabellenverzeichnis 
Tabelle 1: Xplain-Anwendungen für die Bundesverwaltung. .................................................................. 5 
Tabelle 2: Übersicht Datenbestand. ....................................................................................................... 6 
Tabelle 3: Übersicht über die betroffenen Dateneigner. ......................................................................... 6 
Tabelle 4: Betroffene Dateneigner in der Bundesverwaltung. ................................................................ 6 
Tabelle 5: Sensitive Daten der Bundesverwaltung. ................................................................................ 7 

 

 

 

 

 
Seite 1 von 34 

 
 

 

 
 

1. Ausgangslage 
1.1. Anlass 

1. Im Mai 2023 ereignete sich ein Ransomware-Vorfall auf das Unternehmen Xplain AG (nachfol-
gend: Xplain). Xplain ist ein Informatik-Dienstleister verschiedener Bundesorgane und Kantone im 
Bereich der öffentlichen Sicherheit. Der Vorfall hat zum Abfluss erheblicher Datenmengen geführt, 
die auf den Systemen von Xplain gespeichert waren. Die Daten wurden in der Folge in Tranchen 
im Darknet veröffentlicht: Am 1. Juni 2023 wurde eine erste Tranche von 5 GB veröffentlicht, am 
14. Juni 2023 folgte eine zweite Tranche von ca. 420 GB, welche auch die zuvor publizierte Tran-
che umfasste. Betroffen davon waren auch personenbezogene und damit datenschutzrelevante 
Daten.  

2. Am 7. Juni 2023 erfolgte eine Meldung der Datenschutzverletzung via Meldeportal durch Xplain 
an den EDÖB. Am 13. Juli 2023 hat der EDÖB eine Sachverhaltsabklärung gegen Xplain eröffnet.  

3. Parallel eröffnete der EDÖB auch Sachverhaltsabklärungen gegen das Bundesamt für Polizei fed-
pol (nachfolgend: fedpol) sowie das Bundesamt für Zoll und Grenzsicherheit BAZG (nachfolgend: 
BAZG), die umfassende Dienstleistungen von Xplain beziehen.  

1.2. Chronologie der wesentlichen Verfahrensschritte 
07.06.2023  Meldung Datenschutzverletzung via Meldeportal durch Xplain an EDÖB. 
13.07.2023 Eröffnung Sachverhaltsabklärung durch den EDÖB an Xplain. 
24.07.2023 Schreiben Xplain an EDÖB. 
04.08.2023 Zustellung Editionsaufforderung an Xplain. 
25.08.2023 Stellungnahme  AG für Xplain zu Editionsaufforderung. 
07.11.2023 Besprechung mit  AG und Xplain (Protokoll). 
08.01.2024 Beantragung weitere Auskünfte. 
22.01.2024 Zusendung neue Akten und Auskünfte 
15.02.2024 Nachfrage Versicherungspolice (Cyberversicherung). 
29.02.2024 Übermittlung Versicherungspolice (Cyberversicherung). 
08.03.2024 Sachverhaltsfeststellung an Xplain. 
22.03.2024 Erhalt Stellungnahme Sachverhaltsfeststellung. 
04.04.2024 Sachverhaltsfeststellung an Xplain zur Beantragung von Schwärzungen. 

1.3. Umfang der Sachverhaltsabklärung  
4. Mit der Sachverhaltsabklärung prüft der EDÖB einerseits, ob die Datenbearbeitungen von Xplain 

den Anforderungen des Datenschutzgesetzes (DSG) genügen, und andererseits gibt er bei der 
Feststellung von Mängeln Empfehlungen ab. Im Fokus stehen dabei die Datenbearbeitungen von 
Xplain im Zusammenhang mit der Bundesverwaltung im Zeitpunkt des Ransomware-Vorfalls. Da-
bei werden insbesondere die Datenbearbeitungen des fedpol und des BAZG mittels der Software 
eneXs-mobile und ORMA sowie in Bezug auf ein Projekt betreffend HOOGAN näher geprüft. 

  

 

 

 

Seite 2 von 34 
 

2. Sachverhalt 
2.1. Einleitung 

5. Xplain ist ein privates Unternehmen (AG) mit Sitz in Interlaken und zwei Entwicklungspartner-
schaften mit Niederlassungen in Deutschland und Spanien im Besitz von zwei Verwaltungsräten 
der Xplain und je einen Mitarbeitenden. Zusammen mit den Niederlassungen beschäftigt das Un-
ternehmen rund 70 Mitarbeitende.  

6. Gemäss eigener Beschreibung ist das Unternehmen seit der Gründung im Jahr 2000 fast aus-
schliesslich als Lieferantin von Standard-Software für die Innere Sicherheit tätig und arbeitet für 
Behörden und Organisationen mit Sicherheits-, Migrations-, Strafverfolgungs- und Strafvollzugs-
aufgaben. Für diese Behörden und Organisationen bietet Xplain «innovative Softwareprodukte mit 
einer vollständigen Abdeckung der Arbeitsprozesse von der Erstaufnahme bis zur Archivierung 
an. Der Fokus der Lösungen liegt auf der hohen Automatisierung der «Kilowäsche» und der Ein-
haltung der gesetzlichen Vorgaben, insbesondere auch der Formvorschriften der Strafprozess-
ordnung sowie dem schnellen und nachvollziehbaren Austausch der Informationen zwischen allen 
Beteiligten – auch mobil. In den letzten 22 Jahren haben sich über 30 Organisationen unter ande-
rem aus Polizei, Strafverfolgung, Justiz, Vollzug und Migration für eine Lösung von Xplain ent-
schieden». 

2.2. IT-Infrastruktur 
7. Im Mai 2023 bezog Xplain vom Hostanbieter  AG Dienstleistungen wie Host Services – (Hy-

per-V-Server), Dedicated Services – (eigenständige physische Server) und Cloud Services – (Da-
tenablagen). Nach Bekanntwerden des Ransomware-Vorfalls wurde die weitere Zusammenarbeit 
mit  AG sistiert. 

8. Auf den von  AG bereitgestellten Systemen befanden sich im Mai 2023 Referenzinstallatio-
nen, Entwicklungsserver, Testserver sowie einige Administrations- und Build-Umgebungen von 
Xplain. Abbildung 1 illustriert den allgemeinen Systemaufbau und gibt einen Überblick zu den Ver-
bindungen zwischen  AG und Xplain. 

 

 

 

Seite 8 von 34 
 

2.7. Verhältnis Xplain und BAZG 
25. Die Dienstleistungen von Xplain für das BAZG umfassen die Entwicklung und Bereitstellung des 

Produktes «eneXs». Das Produkt eneXs ist eine kundenspezifische Entwicklung, welches die An-
forderungen einer Grenzkontrolllösung an der Schengen-Aussengrenze, an den Binnengrenzen 
und im Inland abdeckt. Die Anwendung eneXs stationär wurde im Herbst 2023 durch ein neues 
Grenzkontrollsystem, welches durch einen Drittanbieter entwickelt wurde, abgelöst. Die mobile 
Lösung eneXs-mobile ist derzeit noch im Einsatz. Dessen Nachfolgelösung (GKS mobile) wird 
laut BAZG voraussichtlich im Q2 2024 in Betrieb genommen. 

26. Genutzt werden kann eneXs sowohl von FAT-Clients aus der VDI sowie von mobilen Geräten. 
Dabei ermöglicht eneXs das Lesen von Daten und initialisiert basierend darauf eine automatische 
Abfrage in Fahndungs- und Administrativ-Datenbanken wie bspw. RIPOL. Der eneXs-Server 
selbst befindet sich in der Shared Services Zone (SSZ) des BIT. Die SSZ unterliegt den Betriebs-
auflagen der BV und wird bezüglich Sicherheitsauflagen analog aller Anwendungen in den BIT 
Rechenzentren betrieben. Der Zugriff auf die SSZ wird mittels Firewall geschützt. Damit wurden 
die Auflagen des ISC-EJPD für den eneXs-Server sichergestellt. 

2.8. Datenübertragungen von BAZG an Xplain 

2.8.1.  eneXs-mobile 
27. Das BAZG setzte im Mai 2023 bei der Grenzkontrolllösung die mobile und stationäre Grenzkon-

trolllösung «eneXs» ein. Xplain ist nebst der Lieferung der Software auch für die Pflege und den 
Support sowie die Weiterentwicklung zuständig. 

28. Die Software eneXs-stationär und eneXs-mobile sind zwei Anwendungen, mit welchen Doku-
mente eingelesen und Fahndungsabfragen durchgeführt werden können. Weiter werden die da-
ran angeschlossenen Geräte wie bspw. Passleser, Fingerabdruckscanner, Kamera etc. gesteuert.  
Die Software eneXs selbst enthält keine Datenbank, jedoch wird ein Teil der biometrischen Indi-
katoren und Prozess-Daten für eine begrenzte Zeit, alleinig für Kontrollprozesse, zwischengespei-
chert und anschliessend automatisch gelöscht. 

29. Wie bei der Verwendung von Software üblich, können auch bei eneXs Fehler auftreten. Denkbare 
Fehlerarten beziehen sich dabei insbesondere auf die elektronische Dokumentenüberprüfung, 
fehlende, unvollständige Treffer oder False Positives. In der Folge kann dieses Verhalten zu feh-
lerhaften Detailanzeigen führen, oder die Performance der Anwendung, wie Verbindungsprob-
leme oder Latenz kann Anomalien aufweisen. Der Fehler muss reproduzierbar sein, damit Xplain 
infolgedessen in die Lage versetzt wird, den Fehler zu beheben. Von einem aufgetretenen Fehler 
werden durch eine Funktion in der Anwendung eneXs-mobile die benötigten Screenshots oder 
Fehler-Reports erstellt. Diese werden durch das BAZG in der Folge manuell an Xplain geschickt. 
Xplain analysiert daraufhin die generierten Reports auf Ihrer eigenen Infrastruktur mit dem Ziel der 
Fehlerbehebung. 

30. Für die Anwendung eneXs-mobile wird das LogFile gesichert, das anschliessend per E-Mail an 
die eigene BAZG-E-Mail-Adresse des BAZG-Mitarbeitenden geschickt wird. Danach sendet der 
BAZG-Mitarbeitende das LogFile an das interne 2nd- Level Supportteam des BAZG. Das BAZG 
Supportteam sichtet seinerseits den Fehler, u.a. auch um sicherzustellen, dass gleiche Fehler 
nicht mehrfach an Xplain gemeldet werden. Fehler, welche durch das BAZG-Supportteam im Rah-
men des 2nd Level Supports gelöst werden können, werden BAZG intern erledigt und nicht an 
Xplain gesendet. Handelt es sich jedoch um einen systembedingten Fehler, wird der Fehlerbericht 
nach vorheriger Rücksprache mit Xplain auf dem sogenannten T-Laufwerk, einem zentralen File-
share der Bundesverwaltung, abgelegt. 

31. Im Anschluss erfolgt eine Vollzugsmeldung mittels E-Mail oder Telefon an Xplain, dass der ange-
meldete Fehlerbericht oder das Logfile zur Analyse auf dem T-Laufwerk bereit liegt. Damit Xplain 

 

 

 

Seite 9 von 34 
 

auf das T-Laufwerk zugreifen kann, wird via BAB-Client-BAZG ein Remotezugriff ermöglicht. Da-
raufhin kann der Fehlerbericht von Xplain vom T-Laufwerk zwecks Analyse, auf ihre eigene Infra-
struktur kopiert werden. Im Anschluss an den Kopiervorgang werden die auf dem T-Laufwerk des 
BAZG abgelegten Fehlerberichte dort von Xplain gelöscht. 

32. Die Software eneXs-mobile verfügt zudem seit der Einführung über eine Funktion, durch welche 
die Benutzerin oder der Benutzer aktiv eine Fehlermeldung inklusive Log-Dateien an einen FTP-
Server versenden kann. Die Zugangsdaten zu dem FTP- Server waren im Programmcode fest 
(hard coded) hinterlegt. Eine Übermittlung war und ist bei der Bundesverwaltung bzw. bei BAZG 
nicht möglich, weil die Netzwerke der Bundesverwaltung einen Versand auf einen externen FTP-
Server nicht zulassen. Daher konnten durch das BAZG keine Fehlermeldungen über einen FTP-
Server an Xplain übermittelt werden. 

2.8.2.  Daten für die Anwendungsentwicklung 
33. Wie vom BAZG ausgeführt, stehen für die Entwicklung und Wartung im Allgemeinen Testdaten 

des jeweils betroffenen Informationssystems zur Verfügung. «Einzelne externe Informationssys-
teme enthalten aber in ihrer Integrationsumgebung auch produktive Daten (reelle bzw. scharfe 
Daten). Das heisst, dass je nach Informationssystem Xplain entweder nur Testdaten oder aber 
auch produktive Daten zur Vertragserfüllung zur Verfügung standen». Gemäss Xplain sei es für 
sie nicht erkennbar gewesen, um welche Datenkategorien es sich handelte. 

34. Die Xplain-Zugriffe auf interne Informationssysteme des BAZG erfolgten auf eine sogenannte Re-
ferenzinstallation, nicht aber auf die Produktionsumgebung. Auf die Informationssysteme «Argos» 
und «E-Lynx» hatte Xplain wiederum nur auf Testdaten Zugriff. Demgegenüber waren im Infor-
mationssystem Rumaca auch produktive Daten in der Referenzinstallation hinterlegt. Gemäss 
Xplain seien die ausgetauschten Daten von Rumaca nicht vom Ransomware-Vorfall betroffen. 

2.9. Verhältnis Xplain und fedpol 
35. Die Zusammenarbeit von fedpol mit Xplain besteht aus IT-Projektbegleitung, Softwareentwicklung 

und -Weiterentwicklung sowie der Wartung und dem Support der von Xplain an fedpol gelieferten 
Anwendungen ORMA,  und eneXs-mobile. Die von fedpol ge-
nutzten Anwendungen selbst werden beim bundesinternen Leistungserbringer ISC-EJPD betrie-
ben. Ausnahmen bilden die Anwendungen eneXs-mobile und  Der Betrieb von eneXs-
mobile erfolgte durch das BIT im Auftrag des BAZG, und  ist eine lokale Anwendung.  

2.10.  Datenübertragungen von fedpol an Xplain 
36. Gemäss Angaben von fedpol hätten Mitarbeitende von Xplain zu keinem Zeitpunkt Zugriff auf die 

Serverinfrastruktur beim ISC-EJPD. Der Programmcode für diese Anwendungen sei durch Xplain 
bereitgestellt und durch das ISC-EJPD auf deren eigener Umgebung implementiert worden. Eine 
systematische Datenweitergabe sei nie Gegenstand der Zusammenarbeit zwischen dem BAZG 
und Xplain gewesen.  

37. Xplain hält seinerseits fest, dass sie nicht beauftragt waren, Kundendaten zu hosten oder zu be-
arbeiten. Es bestünden zwar Verträge zu Unterhalt, Support und Wartung der Applikationen, diese 
würden aber nicht Hosting und Bearbeitung von Personendaten beinhalten. Datenhosting und 
Datenbearbeitung bilde nicht Servicebestandteil von Xplain als Softwareentwicklerin. Das Ge-
schäftsmodell von Xplain bestehe nicht darin, im Auftrag von Kunden Personendaten zu bearbei-
ten, sondern in der Entwicklung von Software, welche anschliessend auf den Systemen der Kun-
den betrieben und verwaltet werden.  

38. Sowohl bei eneXs-mobile als auch bei ORMA erfolgt der 1st und 2nd Level Support beim EJPD, 
der 3rd Level Support bei Xplain.  

39. Aufgrund von Ressourcenknappheit im internen 2nd Level Support bei fedpol hat Xplain den 2nd 
Level Support personell unterstützt. Dazu nahmen drei Personen von Xplain für fedpol Aufgaben 

 

 

 

Seite 10 von 34 
 

in den Bereichen Betrieb, Wartung, Support und Weiterentwicklung wahr. Diese Arbeiten von 
Xplain erfolgten über die Infrastruktur von fedpol und auf von fedpol zur Verfügung gestellten de-
dizierten Endgeräten, gemäss dem Berechtigungs- und Zugriffskonzept von fedpol. Die Personen 
verfügten jeweils über ein fedpol Notebook mitsamt einem so genannten X-Account für externe 
Dienstleister. Damit verbunden verfügten diese Mitarbeitende über eine fedpol-Mailbox, über wel-
che E-Mails mit anderen fedpol Mitarbeitenden über die Bundesinfrastruktur ausgetauscht werden 
konnten. Damit war auch eine Verschlüsselung sensibler Inhalte möglich. Weiter verfügten diese 
drei Mitarbeitenden auf der Produktions- und der Integrationsumgebung über einen Zugang zum 
Single Sign on Portal (SSO-Portal) des ISC-EJPD und zur Anwendung ORMA.  

40. Xplain erfüllte für fedpol den 3rd Level Support, namentlich für die Anwendungen eneXs-mobile 
und ORMA. Für die Erfüllung des 3rd Level Supports muss ein Fehler in der Software – nicht auf 
Applikationsebene – vorliegen. Der ordentliche Ablauf gestaltete sich wie folgt: das Problem 
wurde, wenn möglich, auf der Testumgebung der Bundesstellen durch den dort zuständigen Mit-
arbeitenden nachgespielt. Darauf gestützt wurde durch den Anwendungsverantwortlichen (AV) 
bei fedpol die Fehlermeldung erstellt, die dieser anschliessend im Fall von eneXs-mobile per E-
Mail an support@xplain.ch und im Fall von ORMA per JIRA oder einen Sharepoint an Xplain über-
mittelte.  

41. Xplain betreibt innerhalb ihrer eigenen IT-Infrastruktur eine Instanz der Software JIRA. JIRA wird 
von Xplain als Ticketingsystem genutzt. Aus dem Bereich «PSI-POLS Betrieb und Support» haben 
fedpol Mitarbeitende Zugriff auf JIRA und können selbst Support-Tickets erstellen und bearbeiten. 
Der Austausch von schriftlichen Informationen erfolgt mehrheitlich per E-Mail. Hiermit werden In-
formationen zu Projekten, dem Betrieb und Support sowie der Weiterentwicklung ausgetauscht. 

42. Xplain selbst hält fest, dass sie, wo es für sie überhaupt ersichtlich war, keine sensitiven Daten 
wollten. Generell seien sie von fedpol auch nicht geschult und instruiert worden.  

2.10.1. Datenübertragungen aus ORMA 
43. Die Anwendung ORMA verfügt über eine integrierte Supportfunktion, welche Fehlerberichte auf-

zeichnen und auch übermitteln kann. Dazu muss der Benutzer diese Funktion manuell einschal-
ten. Danach wurden durch die Supportfunktion die Inhalte aller momentan geöffneten Anwendun-
gen aus dem Zwischenspeicher (Cache) abgegriffen. In der Folge wurde daraus eine ZIP-Datei 
generiert, welche im Anschluss manuell zur Fehleranalyse an Xplain weitergeleitet wurde.  

44. Der Austausch von schriftlichen Informationen erfolgte mehrheitlich per E-Mail, für die Wartung 
und den Support für ORMA über JIRA sowie einen Sharepoint nur für ORMA. Hiermit wurden 
Informationen zu Projekten, dem Betrieb und Support sowie der Weiterentwicklung ausgetauscht. 

45. Der in den vorangehenden Ziffern beschriebene Prozess wurde von einem Anwendungsverant-
wortlichen in einem anderen Bundesamt, dass die gleiche Anwendung von Xplain bezieht, im Jahr 
2020 bemerkt. Daraufhin wurde bei Xplain vom Anwendungsverantwortlichen eine Anforderung 
zur Behebung spezifiziert. Ab diesem Zeitpunkt wurden produktive Daten vor dem Weiterleiten 
aus den ErrorReport.zip- Dateien von Personen des entsprechenden Amts vor der Übermittlung 
an Xplain herausgelöscht. 

2.10.2. Datenübertragungen im Projekt HOOGAN 
46. Fedpol beauftragte im Jahr 2012 Xplain mit der Umsetzung einer Zutrittskontrolle durch Abgleiche 

mit den Einträgen in der HOOGAN-Datenbank für den Zutritt ins Stadion. Als bei der Zutrittskon-
trolle und dem Abgleich der HOOGAN-Datenbankeinträge Probleme auftraten, wurde Xplain mit 
der Fehlerbehebung beauftragt. In diesem Zusammenhang hat fedpol einen Auszug aus HOO-
GAN-Datenbank aus dem Jahr 2015 per E-Mail an einen Xplain Mitarbeitenden gesandt. 

47. Dieser Auszug wurde vom Xplain Mitarbeitenden auf seinem persönlichen Laufwerk abgelegt, 
worauf nur er und Administratoren Zugriff hatten. Dieser Auszug wurde im Darknet veröffentlicht. 
Xplain hält fest, dass keine vertragliche Grundlage für die Übermittlung des Auszugs aus der 

 

 

 

Seite 11 von 34 
 

HOOGAN-Datenbank bestanden hätte. Sie hätten die Daten ohne Hinweis, dass es sich um 
«scharfe Daten» handle, und ohne Instruktionen erhalten. Gleichwohl habe Xplain die Fehlerbe-
hebung gemäss dem danach üblichen Vorgehen für 3rd Level Support erledigt.  

2.10.3.  Datenübertragungen durch eneXs-mobile 
48. Die Datenübertragung durch eneXs-mobile erfolgte beim fedpol vergleichbar wie beim BAZG 

(siehe Ziffer 29 ff.). 

2.11. Verträge mit der Bundesverwaltung 
49. Aufgrund der langjährigen Geschäftsbeziehungen besteht eine grosse Anzahl von Verträgen und 

Nachträgen zu Verträgen mit der Bundesverwaltung. Von Interesse im vorliegenden Zusammen-
hang ist die Vertragssituation in Bezug auf die Datenübertragungen an Xplain im Zeitpunkt Mai 
2023. Dabei werden die Verträge von Xplain mit fedpol respektive BAZG in Bezug auf die drei 
erwähnten Anwendungen betrachtet. 

2.11.1. Vertragssituation mit fedpol 
50. Bei fedpol bestehen seit 2003 verschiedene Anwendungen, die Xplain entwickelt, weiterentwickelt 

und für diese zusätzlich Wartungs- und Support-Dienstleistungen erfüllt. Es bestehen daher zahl-
reiche Verträge zwischen fedpol und Xplain. In der Regel wurde als erstes ein Entwicklungsvertrag 
abgeschlossen, worauf mehrere Weiterentwicklungsverträge mit Support und Wartung sowie Li-
zenzverträge vereinbart wurden. Diese Verträge wurden in einem Intervall von ca. fünf Jahren 
jeweils erneuert. So kamen etwas über 100 Verträge zustande. 

51. Die Verträge wurden in der Regel auf Grundlage der Vorlagen des BBL erstellt.  

2.11.2.  eneXs-mobile 
52. eneXs-mobile ist bei fedpol seit 2020 in Betrieb. Fedpol hat mit Xplain einen Vertrag abgeschlos-

sen betreffend die Erbringung von Informatikdienstleitungen im Zusammenhang mit der Aufschal-
tung von eneXs-mobile.2 Neben dem Vertrag wurden die folgenden Dokumente als Vertragsbe-
standteile integriert: Verpflichtungserklärung pro Mitarbeitenden, die AGB für Informatikdienstleis-
tungen des Bundes (Ausgabe 20. Oktober 2010) sowie das Angebot der Auftragnehmerin vom 
22. März 2019. Der Vertrag wurde bis zum 31. Dezember 2022 abgeschlossen. Die Vertragsver-
längerung bis Ende 2023 wurde Mitte 2023 gestoppt.  

2.11.3.  ORMA 
53. ORMA ist seit ca. 2004 in Betrieb. Fedpol hat mit Xplain mehrere Verträge abgeschlossen für die 

Wartung und Pflege sowie Weiterentwicklung der Anwendung ORMA, die im Zeitpunkt des 
Ransomware-Vorfalls im Mai 2023 gültig waren: 

 Vertrag für die Erbringung von Informatikdienstleistungen (Auftrag),  
abgeschlossen für den Zeitraum vom 01. Januar 2015 bis 31. Dezember 2024.3  

 Vertrag für die Erbringung von Informatikdienstleistungen (Auftrag),  
Dienstleistungen ORMA 2018+, Zusatzaufwände 2023,  
abgeschlossen für den Zeitraum 01. Januar 2015 bis 31. Dezember 2023.4 

 
 
2 Vertrag für die Erbringung von Informatikdienstleistungen (Auftrag), 0316004366. 
3 Referenz Nr.: 0316000091. 
4 Referenz Nr.: 0316000091 / 500. 

 

 

 

Seite 12 von 34 
 

 Vertrag für die Erbringung von Informatikdienstleistungen (Auftrag), 
Dienstleistungen Clean ORMA Phase 2, 2023 
abgeschlossen für den Zeitraum vom 01. Januar 2015 bis 31. Dezember 2023.5 

In den drei oben aufgeführten Verträgen sind weitere Dokumente als Vertragsbestandteile inte-
griert, insbesondere AGB der Bundesverwaltung.   

2.11.4.  HOOGAN 
54. Fedpol hat mit Xplain einen Vertrag abgeschlossen betreffend «Dienstleistungen im Projekt HOO-

GAN + Zutrittskontrolle, Pilot EV ZUG».6 

2.11.5. Vertragssituation mit BAZG 
55. Das BAZG hat seit 2009 Geschäftsbeziehungen mit Xplain. Sie betreffen drei verschiedenen An-

wendungen, die Xplain für das BAZG entwickelt, weiterentwickelt und für diese zusätzlich War-
tungs- und Support-Dienstleistungen erfüllt. Es bestehen zahlreiche Verträge zwischen dem 
BAZG und Xplain. Typischerweise wurde als erstes ein Entwicklungsvertrag abgeschlossen, wo-
rauf mehrere Weiterentwicklungsverträge mit Support und Wartung sowie Lizenzverträge verein-
bart wurden. Diese Verträge wurden in einem Intervall von ca. fünf Jahren jeweils erneuert. So 
kamen zahlreiche Verträge zustande. 

56. Festzuhalten ist, dass die Anwendung eneXs-mobile inzwischen durch die neue Anwendung 
Grenzkontrollsystem mobile (nachfolgend: GKS-mobile) abgelöst wurde. Die neue Anwendung 
GKS-mobile wurde durch Xplain entwickelt. Auch die Anwendung eneXs-stationär wurde im 
Herbst 2023 durch «bocoa» abgelöst. Die Anwendung «bocoa» wurde jedoch nicht durch Xplain, 
sondern durch einen anderen Anbieter entwickelt. 

57. Die Verträge wurden auf Grundlage der Vorlagen des BBL erstellt.   

2.11.6. eneXs-mobile 
58. Das GWK hat für den Betrieb des MAPP (Multifunktionales Abfragegerät für Personen- und Pass-

kontrollen) auf die Anwendung eneXs-stationär aufgebaut und benötigte zusätzlich eine dazu an-
gepasste mobile Version. Dazu wurde Xplain für die Entwicklung einer entsprechenden mobilen 
Version im Jahr 2010 beauftragt.  

59. Das BAZG und das BBL haben für die Weiterentwicklung, Pflege und Support der Anwendung 
eneXs-mobile für den Zeitraum vom 01. Mai 2019 bis 30. Juni 2023 mit Xplain einen Vertrag ab-
geschlossen.7 Neben dem Vertrag wurden die folgenden Dokumente als Vertragsbestandteile in-
tegriert: Offertanfrage vom 21.02.2019, AGB für Werkverträge im Informatikbereich und die Pflege 
von Individualsoftware (Ausgabe 20. Oktober 2010) und das Angebot der Lieferantin OF-190304 
vom 04. März 2019 eneXs-mobile. 

2.12. Personensicherheitsüberprüfung 
60. Die Mitarbeitenden von Xplain, die direkt mit der Bundesverwaltung zusammenarbeiten, wurden 

einer Personensicherheitsüberprüfung unterzogen. Eine Verpflichtung hierzu wurde in einzelnen 
Verträgen festgehalten. 

  

 
 
5 Referenz Nr.: 0316000091 / 520. 
6 Vertragsnummer: 40312071652. 
7 Vertrag für die Erbringung von werkvertraglichen Leistungen im Informatikbereich, die Pflege und den Support von 
   Individualsoftware für die Fachanwendung eneXs-mobile, 2019-2023, Vertrags-Nr.: 530047786, Referenz-Nr.: 530115732. 

 

 

 

Seite 15 von 34 
 

g) Patch / Vulnerability Ma-
nagement 

Systeme müssen zeitnah gepatched werden, der Patchlevel 
sollte überwacht werden und klare Verantwortlichkeiten wer für 
das Einspielen eines Securitypatches zuständig ist definiert sein. 
Vulnerability Scans müssen regelmässig durchgeführt werden. 

h) Organisation Incident Response Plan mit zugewiesenen Verantwortlichkeiten 
sowie Sicherstellung, dass das nötige Wissen für Detektion und 
Reaktion entweder innerhalb der Firma vorhanden ist oder bei ei-
nem externen Dienstleister eingekauft werden kann. 

Als weitere Massnahme braucht es ein Inventar und ein Life Cycle 
Management der Daten, die der Kunde Xplain anvertraut. Auch 
ist ein Löschverfahren für Testdaten nach deren Gebrauch zu im-
plementieren. Zusätzlich sollte gemäss NCSC die Verwendung 
eines Frameworks zur fortlaufenden Verbesserung der IT-Sicher-
heit, wie bspw. OpenSAMM und die Einhaltung von entsprechen-
den Security Guidelines wie sie bspw. von OWASP herausgege-
ben werden. 

i) Audit Die Firma Xplain muss nach Umsetzung Empfehlungen ein kom-
plettes Audit durchführen lassen und die gefundenen Mängel be-
heben. Der Audit-Scope muss zusammen mit der Bundesverwal-
tung definiert werden; die Bundesverwaltung definiert ein Control 
Set, wie zyklisch Prüfungen durchgeführt werden. Das Control 
Set selbst orientiert sich am IKT Grundschutz und ergänzt diesen 
wo nötig mit zusätzlichen Massnahmen, um dem erhöhten 
Schutzbedarf gerecht zu werden. 

70. Darauf basierend hat Xplain die komplette IT-Infrastruktur und die Prozesse neu aufgebaut. Die 
neue Infrastruktur basiert auf aktuellen technischen Komponenten und Security Best Practices. 

 
71. Auf Basis der dem NCSC zur Verfügung gestellten Informationen und der Einschätzungen der mit 

dem Audit beauftragten Firma  kommt das NCSC zum Schluss, dass die tech-
nischen und organisatorischen Anforderungen an die Cybersicherheit, welche als eine der Bedin-
gungen für eine mögliche weitere Zusammenarbeit zwischen Bundesstellen und der Firma Xplain 
definiert wurden, erfüllt sind.  

 
72. Laut Aussage des NCSC wurden für die noch nicht vollständig umgesetzten Massnahmen (Aufbau 

SOC, Zugriffskontrolle Sourcecode und Segmentierung Netzwerk) Umsetzungspläne vorgelegt. 
Diese beinhalten als Ziel die Segmentierung des Netzwerks bis am 15. Oktober 2023, festlegen 
der Zugriffskontrollen auf den Sourcecode bis am 31. Oktober 2023 sowie den Aufbau eines SOC 
bis am 31. Dezember 2023. 

3. Stellungnahme zum Sachverhalt 
73. Am 22. März 2024 hat Xplain zum Sachverhalt Stellung genommen. Die Ergänzungen und An-

merkungen wurden übernommen, soweit sie für die datenschutzrechtliche Beurteilung relevant 
waren.  

  

 

 

 

Seite 16 von 34 
 

4. Datenschutzrechtliche Beurteilung 
4.1. Allgemeine formelle Bemerkungen 

74. Der EDÖB hat die Sachverhaltsabklärung gegenüber Xplain gestützt auf Art. 29 aDSG am 
13. Juli 2023 eröffnet. Er kann eine Untersuchung einleiten, wenn die Bearbeitungsmethoden ge-
eignet sind, die Persönlichkeit einer grossen Anzahl von Personen zu verletzen (Systemfehler) 
(Art. 29 Abs. 1 lit. a aDSG). 

75. Der Fokus der Sachverhaltsabklärung ist auf die Datenbearbeitungen von Xplain im Zeitpunkt des 
Ransomware-Vorfalls (Mai 2023) gerichtet, insbesondere im Zusammenhang mit der Bundesver-
waltung. Hier stehen die Zusammenarbeit mit dem fedpol und dem BAZG in Bezug auf die An-
wendungen eneXs-mobile und ORMA sowie in Bezug auf ein Projekt betreffend HOOGAN im 
Vordergrund. 

76. Das Bestehen eines Systemfehlers und somit der Kompetenz des EDÖB zur Untersuchung der 
Datenbearbeitungen von Xplain wird in den materiellrechtlichen Ausführungen begründet. 

77. Gestützt auf Art. 70 Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG) erfolgt 
die datenschutzrechtliche Beurteilung nach dem Bundesgesetz über den Datenschutz vom 19. 
Juni 1992 (aDSG). Gewisse Begrifflichkeiten und materiellrechtliche Konkretisierungen werden 
jedoch vom DSG übernommen, soweit sie eine identische Bedeutung haben und der Klarheit die-
nen.8 

4.2. Allgemeine materielle Bemerkungen 
78. Das Datenschutzgesetz ist anwendbar, sobald Personendaten bearbeitet werden. Personendaten 

sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a 
aDSG). Eine Unterkategorie der Personendaten sind die besonders schützenswerten Personen-
daten (Art. 3 lit. c aDSG) wie beispielsweise Daten über administrative oder strafrechtliche Verfol-
gungen und Sanktionen (Art. 3 lit. c Ziff. 4 aDSG). Des Weiteren kommen die Persönlichkeitspro-
file dazu, die eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der 
Persönlichkeit einer natürlichen Person erlauben (Art. 3 lit. d aDSG).  

79. Mit Bearbeiten ist jeder Umgang mit Personendaten umfasst (Art. 3 lit. e aDSG). Der Begriff ist 
weit gefasst, und das Bearbeiten beinhaltet, unabhängig von den angewandten Mitteln und Ver-
fahren, neben dem Verwenden auch das Aufbewahren oder Vernichten. Zudem gehört zum Be-
arbeiten auch die Kenntnisnahme oder das Einsichtgewähren (Art. 3 lit. e aDSG).  

4.2.1.  Bearbeiten von Personendaten 
80. Die Analyse des aufgrund des Ransomware-Vorfalls im Darknet veröffentlichten Daten zeigt, dass 

sich darunter eine grosse Menge von Personendaten und besonders schützenswerten Personen-
daten befinden (siehe Ziffer 15 ff.). Neben originären Daten von Xplain wie Angaben über Kunden 
oder Mitarbeitende («Personal- und Lohndaten») sind auch eine hohe Anzahl von Personendaten 
aus der Bundesverwaltung, die strafrechtliche Verfolgungen und Sanktionen betreffen und per se 
als besonders schützenswert i.S.v. Art. 3 lit. c Ziff. 4 aDSG gelten, dabei. 

81. Es ist unbestritten, dass diese Daten auf einem File-Server von Xplain gespeichert waren und von 
dort durch den Ransomware-Vorfall ins Darknet gelangten (siehe Ziffer 62). Ebenso kann festge-
halten werden, dass die im Darknet publizierten Daten nur einen Teil der auf dem File-Server 
aufbewahrten Daten ausmachen (siehe Ziffer 15 f.). 

 
 
8 So wird nicht vom «Inhaber der Datensammlung» (Art. 3 lit. i aDSG) gesprochen, sondern vom Verantwortlichen (Art. 5 lit. j 
DSG) und statt vom Dritten, dem eine Datenbearbeitung übertragen wird (Art. 10a aDSG), vom Auftragsbearbeiter (Art. 9 DSG). 

 

 

 

Seite 17 von 34 
 

 

4.2.2.  Datenschutzrechtliche Anforderungen an das Bearbeiten von Personen- 
   daten 

82. Wer Personendaten bearbeitet, hat sich an die Vorgaben des Datenschutzgesetzes zu halten. Die 
Grundprinzipien sind in den Art. 4 aDSG, Art. 5 aDSG und Art. 7 aDSG festgehalten. Sie beinhal-
ten 

das Prinzip der Rechtmässigkeit, 

das Prinzip von Treu und Glauben, 

das Prinzip der Verhältnismässigkeit, 

das Prinzip der Zweckbindung, 

das Prinzip der Transparenz, 

das Prinzip der Datensicherheit. 

Auch das neue DSG hat diese Prinzipien übernommen und sie teilweise mit spezifischen Daten-
schutzregeln konkretisiert, wie beispielsweise in Bezug auf die Aufbewahrung von Personenda-
ten (Art. 6 Abs. 4 DSG). 

83. Die datenschutzrechtlichen Anforderungen treffen Xplain sowohl als Verantwortlichen als auch als 
Auftragsbearbeiter. Als Auftragsbearbeiter kommen die vertraglichen Verpflichtungen ergänzend 
dazu. 

4.3. Die Rolle von Xplain 

4.3.1.  Xplain als Verantwortlicher 
84. Xplain handelt als Verantwortlicher, soweit Personendaten über Kunden, Mitarbeitende etc. bear-

beitet werden. Dabei hat Xplain die Grundprinzipien des Datenschutzgesetzes einzuhalten (siehe 
Ziffer 82). 

85. Soweit Xplain als Auftragsbearbeiter (siehe Ziffer 86 ff.) indessen Personendaten entgegen den 
vertraglichen Vereinbarungen oder zu eigenen Zwecken bearbeitet, wird Xplain selbst zum daten-
schutzrechtlichen Verantwortlichen und kann hierfür allenfalls eigene Rechtfertigungsgründe gel-
tend machen. 

4.3.2.  Xplain als Auftragsbearbeiter 
86. Das Kerngeschäft von Xplain ist die Entwicklung von Standard-Software für die Innere Sicherheit 

(siehe Ziffer 6).  Im Rahmen dieser Tätigkeit werden auch Personendaten des Auftraggebers an 
Xplain übertragen, so insbesondere im Rahmen von Projektdaten und bei Fehlerbehebungen 
(siehe Ziffer 30, 43). Es spielt keine Rolle, dass die Übertragung dieser Daten nur ein Nebeneffekt 
der eigentlichen Aufgabe von Xplain ist. Es ist auch unerheblich, dass diese Datenbearbeitungen 
einen geringen Umfang im Vergleich zu den Kerntätigkeiten von Xplain ausmachen. Wie die tat-
sächliche Sachlage zeigt (siehe Ziffer 15 ff.), hat Xplain eine grosse Menge Personendaten auf 
ihrem Server gespeichert, die sie aufgrund der Vertragsvereinbarungen mit der Bundesverwaltung 
erhalten hat. Wie die Vertragsvereinbarungen zeigen, ist insbesondere bei den mit Xplain verein-
barten Dienstleistungen das Bearbeiten von Personendaten enthalten (siehe Ziffer 106 ff.). Xplain 
ist in dieser Konstellation als Auftragsbearbeiter im Sinne von Art. 10a aDSG zu qualifizieren. 
Damit treffen Xplain auch die Verpflichtungen nach Art. 10a aDSG. 

87. Zwar richtet sich Art. 10a aDSG in erster Linie an den Verantwortlichen, der Datenbearbeitungen 
an einen Dritten überträgt. Die generellen Anforderungen von Art. 10a aDSG werden dabei soweit 

 

 

 

Seite 18 von 34 
 

notwendig zwischen dem Verantwortlichen und dem Auftragsbearbeiter vertraglich konkretisiert 
(siehe Ziffer 111).  

88. Bei der Datenbearbeitung im Auftrag verbleibt die datenschutzrechtliche Verantwortung beim Auf-
traggeber, und der Auftragsbearbeiter hat sich an die vertraglichen Vorgaben zu halten.  

89. Neben der vertraglichen Vereinbarung und der zweckgebundenen Bearbeitung der übertragenen 
Daten spielt bei der Datenübertragung an einen Dritten die Datensicherheit eine besondere Rolle. 
Der Auftragsbearbeiter hat die Datensicherheit zu gewährleisten, worüber sich der Verantwortliche 
zu vergewissern hat (Art. 10a Abs. 2 aDSG).  

90. Grundsätzlich kann ein Auftraggeber davon ausgehen, dass Xplain die angemessenen techni-
schen und organisatorischen Massnahmen umgesetzt hat, da Xplain selbst als Verantwortlicher 
dem aDSG untersteht und Art. 7 aDSG einzuhalten hat. In Art. 8 DSG wird dies neu konkretisiert, 
indem auch der Auftragsbearbeiter explizit erwähnt wird. Soweit indessen spezifische Sicherheits-
massnahmen des Auftraggebers bestehen – hier der Bundesverwaltung – sind diese dem Auf-
tragsbearbeiter separat zu überbinden. 

91. Die Umsetzung und Einhaltung der Sicherheitsmassnahmen sind zu prüfen. Der Auftragsbearbei-
ter selbst hat Audits durchzuführen und ungewöhnliche Sicherheitsvorfälle dem Verantwortlichen 
zu melden. Dies ergibt sich bereits aus den Grundschutzmassnahmen von Art. 7 aDSG und aus 
dem Grundsatz von Treu und Glauben. Der Verantwortliche kann sich ein Auditrecht ausbedingen 
und sich auch Auditberichte des Auftragsbearbeiters vorlegen lassen. 

4.4. Vertragliche Vereinbarungen mit der Bundesverwaltung 
   (BAZG, fedpol) 

92. Verschiedene Verträge zwischen Xplain und fedpol respektive Xplain und BAZG in Bezug auf die 
Anwendungen eneXs-mobile, ORMA und HOOGAN regeln einzelne Aspekte der Auftragsbear-
beitung im Sinne von Art. 10a aDSG durch Xplain. Die meisten Verträge sind eine Kombination 
von werkvertraglichen Leistungen und auftragsrechtlichen Dienstleistungen, weshalb auch die 
drei diesbezüglich bestehenden AGB des Bundes Xplain übertragen wurden. 

93. Die «Allgemeinen Geschäftsbedingungen für Informatikdienstleistungen des Bundes» (nachfol-
gend: AGB Dienstleistungen) (Ausgabe 20. Oktober 2010), «Allgemeinen Geschäftsbedingungen 
für Werkverträge im Informatikbereich und die Pflege von Individualsoftware» (nachfolgend: AGB 
Werkverträge) (Ausgabe 20. Oktober 2010) sowie  die «Allgemeinen Geschäftsbedingungen für 
die Beschaffung und Pflege von Standardsoftware» (nachfolgend: AGB Pflege) (Ausgabe 20. Ok-
tober 2010) werden im Rahmen der Vertragsbeziehungen des fedpol und des BAZG mit Xplain 
für anwendbar erklärt und von Xplain so anerkannt.9 

94. In Bezug auf die Datenbearbeitungen durch Xplain sind die folgenden Bestimmungen der AGB 
damit relevant und von Xplain umzusetzen: 

95. Ziffer 8.1 der AGB Dienstleistungen hält fest, dass sich die Auftragnehmerin zu einer sorgfältigen, 
getreuen und sachkundigen Vertragserfüllung verpflichtet und garantiert, dass alle erbrachten 
Leistungen den vertraglichen Bedingungen und Spezifikationen, dem aktuellen Stand der Technik 
sowie den gesetzlichen Vorgaben entsprechen. Eine Geheimhaltungsklausel sieht vor, dass alle 
wirtschaftlich zumutbaren sowie technisch und organisatorisch möglichen Vorkehrungen getroffen 
werden, damit vertrauliche Tatsachen und Informationen gegen den Zugang und die Kenntnis-
nahme durch Unbefugte wirksam geschützt sind (Ziffer 16.1 der AGB Dienstleistungen). In Bezug 
auf die Datenschutzgesetzgebung wird explizit festgehalten, dass die Bestimmungen der schwei-
zerischen Datenschutzgesetzgebung einzuhalten und die wirtschaftlich zumutbaren sowie tech-
nisch und organisatorisch möglichen Vorkehrungen zu treffen sind, damit die im Rahmen der 

 
 
9 z.B. Offerte OF-190304 als Vertragsbestandteil. 

 

 

 

Seite 19 von 34 
 

Vertragsabwicklung anfallenden Daten gegen unbefugte Kenntnisnahme Dritter wirksam ge-
schützt sind (Ziffer 17.1 der AGB Dienstleistungen). Des Weiteren ist festgehalten, dass Daten 
nur vertragskonform bearbeitet werden dürfen (Ziffer 17.2 der AGB Dienstleistungen) und die Ver-
pflichtungen in Bezug auf Datenschutz und Datensicherheit auch den Mitarbeitenden zu überbin-
den sind (Ziffer 17.3 der AGB Dienstleistungen). 

96. Die AGB Werkverträge enthalten in Ziffer 22 und Ziffer 23 die gleichen Bestimmungen in Bezug 
auf die Geheimhaltung und die Datenschutzgesetzgebung wie die AGB Dienstleistungen. 

97. Auch die AGB Pflege umfasst die identischen Bestimmungen zur Geheimhaltung (Ziffer 24) und 
zu Datenschutz und Datensicherheit (Ziffer 25).  

98. Sowohl das BAZG wie auch fedpol haben einen Vertrag mit Xplain betreffend die Anwendung 
eneXs-mobile abgeschlossen.  

99. Der Vertrag mit dem BAZG10 bezieht sich auf die Zeitperiode vom 1. Mai 2019 bis zum 
30. Juni 2023. Er sieht in Bezug auf den Support von eneXs-mobile vor, dass das BAZG Ausnah-
mezustände und Fehlermeldungen zu dokumentieren hat (Vertrag Ziffer 5). Xplain stellt eine qua-
lifizierte Fehler-Annahme und ein Fehlermanagement zur Verfügung, das die Off-Site Fehleriden-
tifikation und die Off-Site Korrektur von Fehlern vorsieht. Der Kontakt für Pflege und Support hat 
über Telefon oder E-Mail zu erfolgen (Vertrag Buchstabe B). BAZG stellt Xplain für die Wartung 
und Pflege eine Umgebungskonfiguration in den Räumen von Xplain zur Verfügung. 

100. Im Jahre 2019 schloss fedpol mit Xplain einen Vertrag ab, der insbesondere die Lieferung von 
Lizenzen, die Wartungs- und Support-Leistungen sowie weiterer Informatik-Dienstleistungen im 
Zusammenhang mit der Aufschaltung von eneXs-mobile für Smartphones betraf. Der Vertrag 
hatte eine Gültigkeit bis 31. Dezember 2022.11 Der Vertrag beinhaltet eine spezifische Verpflich-
tungserklärung für Xplain und ihre Mitarbeitende. Neben dem Hinweis auf die berufliche Schwei-
gepflicht wird in Ergänzung der AGB Dienstleistungen und die AGB Werkverträge explizit auf die 
berufliche Schweigepflicht nach aDSG hingewiesen. Insbesondere wird festgehalten, dass es un-
tersagt ist, Daten, Datenmodelle oder Persönlichkeitsprofile zu einem anderen, als dem zur jewei-
ligen rechtmässigen Aufgabenerfüllung gehörenden Zweck zu verarbeiten, bekannt zu geben, zu-
gänglich zu machen oder sonst zu nutzen. Des Weiteren dürfen Datenbestände und -modelle nur 
mit schriftlicher Zustimmung von fedpol ausserhalb dessen Räumlichkeiten transferiert werden. 
Nach der Rück-/Übergabe an fedpol sind die Daten auf den Anlagen der Xplain unverzüglich phy-
sisch zu löschen, wobei die Ausführung der Löschung fedpol unaufgefordert schriftlich zu bestäti-
gen ist. 

101. In Bezug auf die Anwendung ORMA hat das fedpol auf der Basis früherer Verträge einen Rah-
menvertrag vom 27. November 201412 mit Xplain abgeschlossen, der die Wartung und Pflege der 
Software bis 31. Dezember 2024 vorsieht.  

102. Für das Jahr 2023 wurde ein Zusatzvertrag13 zu diesem Rahmenvertrag abgeschlossen. Dieser 
Vertrag enthält – wie der Vertrag von fedpol betreffend eneXs-mobile (siehe Ziffer 100) – spezifi-
sche Bestimmungen zu Datenschutz und Datensicherheit. Neben dem Hinweis auf die berufliche 
Schweigepflicht nach aDSG wird insbesondere festgehalten, dass es Xplain und ihren Mitarbei-
tenden untersagt ist, Daten zu einem andern als dem zur jeweiligen rechtmässigen Auftragserfül-
lung gehörenden Zweck zu verarbeiten, bekannt zu geben, zugänglich zu machen oder sonst zu 
nutzen. Zudem dürfen Daten nur mit schriftlicher Zustimmung des fedpol ausserhalb des Bundes-
amts transferiert werden und sind unmittelbar nach der Rück-/Übergabe an das fedpol auf den 

 
 
10 Vertrag für die Erbringung von werkvertraglichen Leistungen im Informatikbereich, die Pflege und den Support von 
   Individualsoftware für die Fachanwendung eneXs-mobile, 2019-2023, Vertrags-Nr.: 530047786, Referenz-Nr.: 530115732 
11 Vertrag für die Erbringung von Informatikdienstleistungen (Auftrag), 0316004366. 
12 Referenz Nr.: 0316000091. 
13 Referenz Nr.: 0316000091 / 500. 

 

 

 

Seite 20 von 34 
 

Anlagen von Xplain zu löschen, wobei die Löschung unaufgefordert schriftlich zu bestätigen ist 
(Ziffer 13.1). 

103. Des Weiteren werden Vorgaben zur Datensicherheit spezifiziert: Xplain wird verpflichtet, ihre für 
die Vertragsabwicklung benutzten und in ihrem Verantwortungsbereich befindlichen Systeme (um-
fassend insbesondere Infrastruktursysteme, Netzwerke, Geräte und Anwendungen sowie Daten 
und Informationen) nach dem jeweils aktuellen Stand der Technik mittels technisch und organisa-
torisch möglichen sowie wirtschaftlich zumutbaren Vorkehrungen vor Angriffen zu schützen (Ziffer 
13.7.1). Mit Angriffen sind «Cyberattacken» oder «Cyberangriffe» gemeint (Ziffer 13.7.2). Xplain 
hat fedpol unaufgefordert jedes erkannte Ereignis, welches die Einhaltung ihrer Pflichten beein-
trächtigen könnte, unverzüglich nach Auftreten bzw. Kenntnisnahme, spätestens innerhalb einer 
Frist von 24 Stunden zu melden. Xplain hat insbesondere auch versuchte oder erfolgreiche An-
griffe sowie andere befürchtete oder erfolgte technische Kompromittierungen von Systemen, Da-
ten und/oder Informationen und allenfalls entstandene Schäden zu melden (Ziffer 13.7.4). Dabei 
soll auch über die geplanten und getroffenen Massnahmen zu deren Behebung informiert werden. 
Zur Vermeidung von Schäden oder weiteren Angriffen hat Xplain fedpol auf erstmalige Aufforde-
rung unverzüglich den vollen und umfassenden Zugang zu Analysen, Untersuchungsberichten 
und anderen Feststellungen (Dokumente, Daten, Log-Daten, Gegenstände etc.), die es erlauben, 
das Ereignis zu analysieren, zu gewähren. Weiter wird festgehalten, dass vordefinierte Aktivitäten 
aufgezeichnet (Logging) und ausgewertet werden, um Angriffe zu erkennen und zu vermeiden. 
Dabei sind entdeckte Sicherheitslücken zeitnah zu beheben (Ziffer 13.7.4). Ausserdem behält sich 
fedpol ein Auditrecht vor (Ziffer 13.7.5).  

104. Die identischen Bestimmungen zu Datenschutz und Datensicherheit finden sich auch im zweiten 
Zusatzvertrag für das Jahr 2023.14 Im Übrigen kann festgestellt werden, dass diese Bestimmun-
gen auch schon in Vorgängerverträgen (beispielsweise für das Jahr 2022) statuiert wurden. 

105. Betreffend HOOGAN besteht ein Vertrag zwischen fedpol und Xplain aus dem Jahr 2012.15 Dieser 
Vertrag enthält auch eine Verpflichtungserklärung analog zum Vertrag zwischen fedpol und Xplain 
betreffend eneXs-mobile (siehe Ziffer 100). 

4.5. Datenübertragungen an Xplain 
106. Im Rahmen der Wartung und des Supports der Anwendungen sind von BAZG und fedpol Perso-

nendaten an Xplain übertragen worden (siehe Ziffer 30, 43). Diese Datenübertragungen sind auch 
in den Verträgen festgehalten: Die Bundesverwaltung hat die Fehler zu dokumentieren und an 
Xplain zur Fehlerbehebung zu übermitteln (siehe Ziffer 99). Der Fehlerbehebungsprozess musste 
von der Bundesverwaltung manuell ausgelöst werden. Er beruhte auf einem in der Software im-
manenten Prozess, der die Aufzeichnung von Personendaten vorsah (siehe Ziffer 30, 43). Dieser 
Prozess wurde von Xplain entwickelt und war die Grundlage für die in den Verträgen vorgesehe-
nen Übermittlungen der Fehlerberichte an Xplain. 

107. Zudem wurden auch im Rahmen der Softwareentwicklung vereinzelt Personendaten übermittelt 
(siehe Ziffer 33) oder in einem einzelnen Supportfall (Projekt HOOGAN) (siehe Ziffer 46). 

108. Da die Übertragung von Personendaten nicht ausgeschlossen war, handelt sich aus datenschutz-
rechtlicher Sicht um eine Datenbearbeitung durch Dritte (Art. 10a aDSG). In der Regel lässt sich 
ein Wartungs- und Supportprozess einer Anwendung nicht ohne das Bearbeiten von Personen-
daten durchführen. In einem ersten Schritt sind meist keine Personendaten notwendig, doch ver-
tiefte Abklärungen lassen sich kaum ohne den Bezug zu Personendaten («produktive Daten») 
durchführen. Dies ist insbesondere der Fall bei vertieften Abklärungen auf dem Niveau des 3rd 
Level Supports. Eine Abweichung von diesem Regelfall ist im vorliegenden Sachverhalt nicht er-
sichtlich, auch wenn sich Xplain auf den Standpunkt stellt, sie hätten nie Personendaten gewollt. 

 
 
14 Referenz Nr.: 0316000091 / 520. 
15 Vertragsnummer: 40312071652. 

 

 

 

Seite 21 von 34 
 

Xplain musste vielmehr damit rechnen, dass ihr Personendaten übertragen werden, haben sie die 
Funktion des Fehlerreportings selbst in die Software integriert. Zudem musste Xplain die Fehlerre-
ports aktiv von einem Laufwerk des BAZG herunterladen, nachdem ihnen mitgeteilt wurde, dass 
ein Fehlerbericht auf dem Laufwerk bereit liege (siehe Ziffer 30 und 31). Bei fedpol und der An-
wendung ORMA war bei Xplain ein Ticketingsystem eingerichtet, dass die Fehlerberichte aufnahm 
(siehe Ziffer 43 und 44). 

109. Welche Personendaten in welchem Umfang für den 3rd Level Support notwendig sind, ist eine 
Frage der Verhältnismässigkeit und von BAZG oder fedpol aufgrund der Vorgaben von Xplain 
festzulegen. Durch die Programmierung der automatisierten Erstellung von Fehlerreports in der 
Software eneXs-mobil und ORMA war dies weitgehend vordefiniert.  

110. Art. 10a Abs. 1 aDSG verlangt, dass die Datenübertragung an Dritte (Bearbeitung durch Auftrags-
bearbeiter, Art. 9 DSG) vertraglich geregelt wird. Über den Detaillierungsgrad einer solchen Re-
gelung sagt das aDSG nichts aus. Aus der Sicht des Verantwortlichen ist eine möglichst konkrete 
Regelung zu seinem Vorteil, da er gegenüber den betroffenen Personen die datenschutzrechtliche 
Verantwortung trägt.  

111. Die Support- und Wartungsprozesse sind vorliegendenfalls vertraglich nur rudimentär geregelt. 
Da diese aber zum Routinegeschäft von Xplain gehören, das im Zusammenhang mit der Soft-
wareentwicklung angeboten wird, ist eine weitere Spezifizierung für den Auftragsbearbeiter nur 
notwendig, wenn ihm dieser Prozess nicht geläufig wäre. Das Gegenteil ist hier der Fall: Der Sup-
port- und Wartungsprozess ist von Xplain durch die Softwarefunktion vordefiniert. Der Ablauf 
wurde in der vertraglichen Vereinbarung festgehalten16: Für den Support von eneXs-mobile ist 
vorgesehen, dass Xplain mit einer Hotline eine qualifizierte Fehler-Annahme und ein Fehler-Ma-
nagement zur Verfügung stellt. Dazu gehört eine Offsite-Fehleridentifikation und die Offsite Kor-
rektur von Fehlern wie auch die Remote-Diagnose. Ein Fernzugriff wurde grundsätzlich ausge-
schlossen, weshalb für die Übermittlung von Störungsmeldungen und Supportanfragen eine E-
Mail-Adresse (und eine Telefonnummer) zur Verfügung gestellt wurden. In keiner Stufe dieses 
Ablaufs wurde die Übermittlung von Personendaten ausgeschlossen oder deren Anonymisierung 
statuiert.  

112. Xplain ist ein langjähriger Geschäftspartner der Bundesverwaltung und spezialisiert im Bereich 
der Inneren Sicherheit (siehe Ziffer 6). Xplain hatte als Datenbearbeiter die Bestimmungen des 
aDSG einzuhalten, wobei die Sensitivität der Geschäftstätigkeit im Bereich der Inneren Sicherheit 
grundsätzlich ein hohes Mass an (Daten)sicherheit verlangt, insbesondere wenn Personendaten, 
vertrauliche und geheime Informationen aus diesem Bereich im Rahmen von Projekten und im 
Support- und Wartungsprozess bearbeitet werden.  

113. Da Xplain grundsätzlich dem aDSG unterstand, musste sie auch davon ausgehen, dass sie von 
der Bundesverwaltung keine vertieften Instruktionen erhalten wird (Art. 22 Abs. 2 VDSG e contra-
rio). Neuere Verträge17 halten auch fest, dass die für die Vertragsabwicklung benutzten und im 
Verantwortungsbereich von Xplain befindlichen Systeme (umfassend insbesondere Infrastruktur-
systeme, Netzwerke, Geräte und Anwendungen sowie Daten und Informationen) nach dem je-
weils aktuellen Stand der Technik mittels technisch und organisatorisch möglichen sowie wirt-
schaftlich zumutbaren Vorkehrungen vor Angriffen zu schützen sind. 

114. Die Sensitivität der Datenbearbeitung im Rahmen des Auftragsverhältnisses musste Xplain auch 
durch die Vorgaben an die Datenbearbeitungen in den Verträgen bekannt sein (siehe Ziffer 92 ff.). 
Zudem ergibt sich dies auch aus den von der Bundesverwaltung vorbehaltenen Personensicher-
heitsüberprüfungen, die in den verschiedenen Verträgen für die Mitarbeitenden von Xplain 

 
 
16 Hier beispielhaft: Vertrag für die Erbringung von werkvertraglichen Leistungen im Informatikbereich, die Pflege und den Sup-
port von Individualsoftware für die Fachanwendung eneXs-mobile, 2019-2023, Vertrags-Nr.: 530047786, Referenz-Nr.: 
530115732. 
17 Referenz Nr.: 0316000091 / 500. 

 

 

 

Seite 22 von 34 
 

vorgesehen sind. Sie erfolgen bei Dritten nur, wenn sie im Rahmen eines Vertrags oder als Mitar-
beiterin oder Mitarbeiter eines vertraglich verpflichteten Unternehmens an einem klassifizierten 
Projekt im Bereich der inneren oder äusseren Sicherheit mitwirken und dabei Zugang zu vertrau-
lich oder geheim klassifizierten Informationen erhalten (Art. 6 Verordnung vom 4. März 2011 über 
die Personensicherheitsprüfungen (PSPV), in Kraft bis 31. Dezember 2023).  

115. Bei dieser Ausgangslage wäre es die Pflicht von Xplain gewesen, bei Unklarheiten im Umgang 
mit Personendaten bei BAZG oder fedpol nachzufragen. Die Behauptung von Xplain, ihr sei nicht 
bewusst gewesen, dass ihr Personendaten übermittelt werden, und sie hätten auch nicht gewollt, 
dass ihr solche zugestellt werden, widerspricht sowohl der tatsächlichen Sachlage wie auch den 
in den Verträgen vorgesehen Supportprozessen, die auf der Basis der von Xplain programmierten 
Fehlerbehebungsfunktion, die offensichtlich Personendaten beinhaltet, aufgebaut sind. 

116. Selbst als ein Bundesamt Xplain auf die unverhältnismässige Übermittlung von Personendaten 
bei der Fehlerbehebungsfunktion aufmerksam machte und eine Behebung verlangte (siehe Ziffer 
45), wurde dies für ORMA nicht umgesetzt.  

117. Im Verlaufe der langjährigen Geschäftsbeziehungen sind die Vorgaben der Bundesverwaltung in 
Bezug auf die Datenbearbeitungen und die Datensicherheit insbesondere im Rahmen der Allge-
meinen Geschäftsbedingungen immer konkreter geworden. Sie wurden Xplain beim Abschluss 
neuer Verträge jeweils auferlegt. Xplain konnte nicht darlegen, dass sie diesen die notwendige 
Beachtung geschenkt hat. Es trifft zwar zu, dass für Xplain das Bearbeiten von Personendaten 
nicht im Vordergrund stand (siehe Ziffer 6). Das Bearbeiten von Personendaten kann bei einer 
Auftragsbearbeitung auch nur ein Nebeneffekt sein (siehe Ziffer 86). Dass damit (besonders 
schützenswerte) Personendaten einem hohen Risiko ausgesetzt sein können, zeigt der vorlie-
gende Ransomware-Vorfall. Das erhöhte Risiko bei der Bearbeitung von Personendaten durch 
Dritte ist der Grund, warum das Datenschutzgesetz eine Spezialbestimmung für die Auftragsbe-
arbeitung kennt. 

4.5.1.  Xplain als Auftragsbearbeiter und als Verantwortlicher 
118. Xplain hat in der Funktion als Auftragsbearbeiter Personendaten nach den Vorgaben des Verant-

wortlichen zu bearbeiten, insbesondere nach den vertraglichen Vorgaben und im Rahmen dessen, 
was der Auftraggeber selbst tun dürfte (Art. 10a Abs. 1 lit. a aDSG).  

119. Soweit sich Xplain nicht an diese Vorgaben hält, wird sie selbst zum datenschutzrechtlich Verant-
wortlichen.  

120. Im vorliegenden Sachverhalt zeigt sich, dass Xplain die ihr übermittelten Personendaten nicht 
vertragsgemäss gelöscht hat (siehe Ziffer 100). Für die Aufbewahrung dieser Personendaten – 
die später im Darknet publiziert wurden – ist Xplain Verantwortlicher.  

121. Das haftungsrechtliche Innenverhältnis zwischen BAZG und Xplain respektive fedpol und Xplain 
kann aus datenschutzrechtlicher Sicht hier ausser Betracht gelassen werden. 

4.6. Verletzung des Grundsatzes der Datensicherheit 
122. Xplain hat als Verantwortlicher respektive Auftragsbearbeiter angemessene technische und orga-

nisatorische Massnahmen der Datensicherheit umzusetzen (Art. 7 aDSG). Sie sollen das unbe-
fugte Bearbeiten von Personendaten verhindern. Weitere Spezifizierungen finden sich in Art. 8 
und Art. 9 aVDSG. Neben den gesetzlichen Vorgaben sind Xplain mit den AGB auch vertraglich 
Vorgaben zur Datensicherheit überbunden worden (siehe Ziffer 95 ff.). 

123. Der Ransomware-Vorfall bei Xplain ist Anlass zu prüfen, ob Xplain die angemessenen techni-
schen und organisatorischen Massnahmen der Datensicherheit umgesetzt hat. Allein die Tatsa-
che, dass Personendaten vom Fileserver von Xplain im Darknet publiziert wurden, lässt noch nicht 
darauf schliessen, dass die Massnahmen nicht angemessen waren. Ein Restrisiko einer 

 

 

 

Seite 23 von 34 
 

Datenschutzverletzung verbleibt bei jeder Datenbearbeitung. Entscheidend ist, ob die dem Risiko 
der Datenbearbeitungen angemessenen Massnahmen getroffen wurden. 

124. Xplain bearbeitet als Verantwortlicher Personendaten über ihre Mitarbeitenden und Kunden und 
als Auftragsbearbeiter die von ihren Kunden übertragenen Personendaten. Bei diesen Kundenda-
ten handelt es sich nicht nur um vertrauliche und geheime Informationen (siehe Ziffer 114), son-
dern auch um besonders schützenswerte Personendaten, die im Umfeld von BAZG und fedpol 
bearbeitet werden und Teil eines Supportprozesses werden können. Die Anforderungen an die 
Datensicherheit sind deshalb grundsätzlich hoch. 

125. Dem EDÖB liegen zahlreiche Hinweise vor, dass diesen erhöhten Anforderungen an die Datensi-
cherheit nicht entsprochen wurde. Grundsätzlich irritiert, dass sich Xplain auf den Standpunkt 
stellt, nichts darüber zu wissen, dass sie über besonders schützenswerte Personendaten auf ihren 
Systemen verfügen würde respektive dass ihr diese ungewollt und ohne ihr Wissen übermittelt 
wurden (siehe Ziffer 42). Aufgrund der vorliegenden Verträge mit der Bundesverwaltung kann 
Xplain nicht von dieser Annahme ausgehen (siehe Ziffer 92 ff.). 

126. Weiter versichert Xplain, über die notwendigen Sicherheitsfachleute zu verfügen (siehe Ziffer 11). 
Für welche Aufgaben und welche Prozesse diese Sicherheitsfachleute verantwortlich sind, lässt 
sich nicht mehr belegen, da gemäss Xplain mit dem Ransomware-Vorfall sämtliche einschlägigen 
Dokumente zur Datensicherheit gelöscht wurden und nicht mehr wiederherstellbar seien (siehe 
Ziffer 11). Nach Ansicht des EDÖB wären solche Dokumente – soweit sie existierten – auch phy-
sisch aufzubewahren, da sie gerade bei IT-Störungen greifbar sein müssen (z.B. Vorfallmanage-
ment).  

127. Es liegen zahlreiche weitere Hinweise vor, dass die technischen Sicherheitsmassnahmen nicht 
angemessen waren.  

128. Bereits die Softwareentwicklung für sensitive Bereiche, wie dies im Umfeld von BAZG und fedpol 
der Fall ist, verlangt nach einer technischen Sicherheitsinfrastruktur, die die Integrität der Software 
in Bezug auf das Bearbeiten von besonders schützenswerten Personendaten gewährleisten kann. 
Art. 11 aDSG weist auf diese Tatsache unmissverständlich hin, indem Zertifizierungsverfahren für 
Software vorgesehen sind. Dies wird auch im neuen DSG in Art. 13 DSG übernommen und durch 
die Prinzipien von «Privacy by Design» und «Privacy by Default» (Art. 7 DSG) verstärkt. Hinweise, 
dass dieser Ansatzpunkt für die Massnahmen der Datensicherheit berücksichtigt wurde, fehlen.  

129. Xplain ist zwar nicht verpflichtet, ihren Softwareentwicklungsprozess zu zertifizieren. Aufgrund von 
Art. 11 aDSG musste es für Xplain aber erkennbar sein, dass aus datenschutzrechtlicher Sicht 
auch die Softwareentwicklung ein datenschutzrelevanter Prozess sein kann, der entsprechende 
Massnahmen der Datensicherheit verlangt. Dies insbesondere, wenn die Softwareentwicklung mit 
der Wartung und dem Support der Anwendung verbunden ist – was in den Verträgen mit der 
Bundesverwaltung so vorgesehen ist – und dabei besonders schützenswerte Personendaten 
übertragen werden. Wieweit die seit 2019 nach ISO 9001:2015 (Qualitätsmanagementsystem; 
QMS) bestehende Zertifizierung zu einer angemessenen Datensicherheit bei der Softwareent-
wicklung beitrug, kann offen bleiben, da entsprechende Sicherheitsmassnahmen offenbar nicht 
umgesetzt wurden. 

130. Xplain verfügt über kein Security Operation Center (SOC) und auf dem betroffenen Server lief kein 
aktives Monitoring. Loganalysen erfolgten monatlich, wie auch das «Patchen» der Systeme, was 
dazu führte, dass der betroffene Fileserver im Mai 2023 nicht über den aktuellen Patchlevel ver-
fügte – neben der Tatsache, dass er auch unnötig geöffnete Ports aufwies (siehe Ziffer 10). Auch 
die von Xplain abgeschlossene Cyberversicherung verlangte lediglich wenige Grundschutzmass-
nahmen (siehe Ziffer 13). Die Unterlagen zur Cyberversicherung wurden dem EDÖB erst nach-
träglich ausgehändigt. Ob die vorgesehenen Massnahmen umgesetzt wurden und deren Umset-
zung kontrolliert wurde, geht aus den Dokumenten nicht hervor.  

131. Aus der Aufarbeitung des Ransomware-Vorfalls wird ersichtlich, dass erst im Nachhinein organi-
satorische und technische Massnahmen aufgebaut wurden, die eine angemessene 

 

 

 

Seite 24 von 34 
 

Datensicherheit gewährleisten können (siehe Ziffer 70). Im technischen Bereich wurden diese ge-
prüft und vom NCSC als angemessen beurteilt. Wie weit auch die Prozesse in Bezug auf die 
Datensicherheit angepasst wurden, lässt sich dadurch nicht ableiten. Xplain verfügt über keine 
Zertifizierung im Bereich der Informationssicherheit (bspw. ISO 27001), die sicherstellt, dass be-
stimmte Standards in Bezug auf die Informationssicherheit eingehalten werden und Prozesse in 
einen Informationssicherheitsmanagementsystem (ISMS) definiert sind. Somit liegen auch keine 
entsprechenden internen Auditberichte vor.  

132. Des Weiteren zeigt sich das Fehlen von angemessenen technischen und organisatorischen Mas-
snahmen im Bereich der Datensicherheit auch in der Tatsache, dass vertragliche Verpflichtungen 
nicht in die eigenen Prozesse übernommen wurden. Xplain hätte beispielsweise fedpol unaufge-
fordert spätestens innerhalb einer Frist von 24 Stunden über den Ransomware-Vorfall informieren 
müssen. Eine Information erfolgte aber erst 10 Tage später. Erst danach hat Xplain fedpol zur 
Vermeidung von Schäden oder weiteren Angriffen Zugang zu Analysen, Untersuchungsberichten 
und anderen Feststellungen, die es erlauben, das Ereignis zu analysieren, – wie vertraglich ver-
einbart – gewährt. 

133. Xplain bringt vor, über angemessene technische und organisatorische Massnahmen verfügt zu 
haben (siehe Ziffer 10), aber gleichzeitig auch, dass es ihnen nicht bewusst war, dass ihnen be-
sonders schützenswerte Personendaten übertragen werden (siehe Ziffer 42). Beides weist noch-
mals darauf hin, dass offensichtlich eine Übersicht über die Datenbearbeitungen fehlte, weshalb 
es auch kaum möglich war, angemessene technische und organisatorische Massnahmen für das 
Bearbeiten von besonders schützenswerten Personendaten zu treffen. 

134. Aufgrund dieser Erwägungen kommt der EDÖB zum Schluss, dass Xplain über keine angemes-
senen technischen und organisatorischen Massnahmen der Datensicherheit verfügte und damit 
Art. 7 aDSG verletzte. Dies trifft auf Xplain sowohl in ihrer Rolle als Verantwortlicher als auch als 
Auftragsbearbeiter zu. Als Auftragsbearbeiterin wurden ihr die Anforderungen aus dem DSG, der 
Cyberrisikoverordnung (CybRV)18 und der Informationsschutzverordnung (ISchV)19 explizit als zu 
«beachten und einzuhalten» übertragen.20 

135. Die Vorbringungen von Xplain, vertraglich nicht zu bestimmten Sicherheitsanforderungen ver-
pflichtet worden zu sein (siehe Ziffer 10 und 11), sind unbehilflich. Einerseits ergeben sich diese 
Anforderungen direkt aus Art. 7 aDSG und andererseits sind ihr diesbezügliche Verpflichtungen 
sehr wohl vertraglich übertragen worden (siehe Ziffer 92 ff.). 

136. Ebenso wenig kann sich Xplain darauf berufen, keine Verträge über Hosting und Bearbeitung von 
Personendaten abgeschlossen zu haben (siehe Ziffer 37). Der datenschutzrechtliche Begriff des 
Bearbeitens ist weit gefasst und umfasst jeden Umgang mit Personendaten (Art. 3 lit. e aDSG), 
und es spielt auch keine Rolle, dass das Bearbeiten nur ein Nebeneffekt im gesamten Dienstleis-
tungsauftrag ist. Der Einwand von Xplain ist deshalb unerheblich. 

4.7. Verletzung der Grundsätze der Rechtmässigkeit, der Verhält-
nismässigkeit und der Zweckbindung 

137. Art. 4 Abs. 2 aDSG hält fest, dass das Bearbeiten von Personendaten verhältnismässig sein muss. 
Dies bedeutet, dass Personendaten bearbeitet werden dürfen, soweit dies für den Zweck der Be-
arbeitung geeignet und erforderlich ist. Ist dieser Zweck erfüllt, sind die Daten – vorbehältlich einer 
Aufbewahrungspflicht – zu löschen. 

138. Xplain wurden durch den Wartungs- und Supportprozesses besonders schützenswerte Personen-
daten von BAZG und fedpol übertragen. Diese wurden im Rahmen der generierten Fehlerrapports 

 
 
18 In Kraft bis 31. Dezember 2023. 
19 In Kraft bis 31. Dezember 2023. 
20 Referenz Nr.: 0316000091 / 500. 

 

 

 

Seite 25 von 34 
 

an Xplain zur Fehlerbehebung übermittelt. Nach der Fehlerbehebung liegt kein Grund mehr vor, 
diese Daten weiter aufzubewahren. 

139. Verschiedene Dienstleistungsverträge, die Xplain mit dem BAZG und fedpol abgeschlossen hat, 
enthalten allgemeine Bestimmungen, die es Xplain und allen ihren Mitarbeitenden verbieten, Da-
ten zu einem anderen als dem zur jeweiligen rechtmässigen Auftragserfüllung gehörenden Zweck 
zu verarbeiten, bekannt zu geben, zugänglich zu machen oder sonst zu nutzen.21 In weiteren 
Verträgen wird in Bezug auf Datenbestände und -modelle, die ausserhalb der Räumlichkeiten der 
Bundesverwaltung bearbeitet werden, festgehalten, dass sie nach Abschluss auf den Anlagen von 
Xplain unverzüglich physisch zu löschen sind.22 Damit wird das Prinzip der Verhältnismässigkeit 
der Datenbearbeitung konkretisiert. 

140. Die nach dem Ransomware-Vorfall im Mai 2023 im Darknet publizierten Daten stammen überwie-
gend aus der Zeit vor dem Jahr 2020. Es ist davon auszugehen, dass im Mai 2023 sämtliche 
Supportfälle, die mit diesen Daten in Zusammenhang stehen, abgeschlossen waren. Eine weitere 
Aufbewahrung war deshalb nicht mehr notwendig. Dabei ist irrelevant, dass der Datenfluss von 
BAZG und fedpol an Xplain allenfalls unverhältnismässig war. Die Aufbewahrung per se ist unver-
hältnismässig.  

141. Die Datenübermittlung im Projekt HOOGAN zeigt dies im Einzelnen: Bei einem Supportfall im 
Jahre 2014/2015 wurden vom fedpol sämtliche Einträge der HOOGAN-Datenbank an Xplain über-
mittelt. Nach Abschluss des Supportfalls hat der Mitarbeitende von Xplain diese Daten auf seinem 
persönlichen Laufwerk gespeichert und aufbewahrt. Dieser Supportfall ist vom ursprünglichen 
Vertrag (siehe Ziffer 55) nicht abgedeckt. Das Vertragsverhältnis zwischen Xplain, fedpol und dem 
involvierten Dritten muss im vorliegenden Fall nicht näher geklärt werden. Xplain musste erken-
nen, dass es sich hierbei um Personendaten handelt (siehe Ziffer 47), gerade weil es sich um 
einen ad hoc Supportfall handelte. Ob die Datenübermittlung durch das fedpol verhältnismässig 
war, spielt vorliegend keine Rolle: Xplain hat die Daten – ob mit oder ohne Instruktion (siehe Ziffer 
47) – aufbewahrt, was weder geeignet noch erforderlich war und deshalb den Grundsatz der Ver-
hältnismässigkeit verletzt.  

142. Generell kann festgestellt werden, dass Xplain den vertraglichen Vorgaben betreffend Daten-
schutz nicht nachgekommen ist und Daten über den Zweck der Aufgabenerfüllung – die Fehler-
behebung – hinaus aufbewahrt hat. Mit dieser Aufbewahrung wird der Grundsatz der Zweckbin-
dung verletzt (Art. 4 Abs. 3 aDSG), da diese Daten für die Fehlerbehebung nicht mehr notwendig 
waren. 

143. Für die Aufbewahrung dieser Daten wird Xplain deshalb zum datenschutzrechtlichen Verantwort-
lichen. Dabei verletzt Xplain auch die Grundsätze der Rechtmässigkeit (Art. 4 Abs. 1 aDSG) und 
der Verhältnismässigkeit (Art. 4 Abs. 2 aDSG) der Datenbearbeitung. Xplain hätte die Daten nach 
Beendigung der Fehlerbehebung nicht aufbewahren dürfen, sondern hätte sie löschen müssen. 

144. Da Xplain über keine angemessenen technischen und organisatorischen Massnahmen der Da-
tensicherheit verfügte (siehe Ziffer 128 ff.), hat Xplain auch als Verantwortlicher die Vorgaben der 
Datensicherheit (Art. 7 aDSG) nicht eingehalten. 

4.8. Persönlichkeitsverletzung und Rechtfertigung  
145. Bei dieser Rechtslage stellt sich die Frage, ob die durch die Datenbearbeitungen von Xplain ver-

ursachten Persönlichkeitsverletzungen im Sinne von Art. 12 Abs. 2 lit. a aDSG gerechtfertigt wer-
den können. 

146. Im vorliegenden Fall ist ein überwiegendes privates oder öffentliches Interesse von Xplain oder 
die Rechtfertigung durch ein Gesetz für die Datenbearbeitung zu prüfen, da eine Einwilligung 

 
 
21 Referenz Nr.: 0316000091 / 500. 
22 Referenz Nr.: 0316004366. 

 

 

 

Seite 26 von 34 
 

betroffener Personen aufgrund des Sachverhalts ausgeschlossen werden kann 
(Art. 13 Abs. 1 aDSG). 

147. Ob und wie weit Xplain ein privates Interesse an der Aufbewahrung der Personendaten hatte, 
kann offengelassen werden. Im vorliegenden Fall kann es die Rechte der betroffenen Personen, 
die davon ausgehen können, dass ihre Personendaten von der Bundesverwaltung als Verantwort-
licher bearbeitet werden, keinesfalls überwiegen. 

148. Auch ein überwiegendes öffentliches Interesse an einer solche Datenbearbeitung ist zu verneinen, 
da das Interesse der Allgemeinheit grundsätzlich in einer vertragskonformen Datenbearbeitung 
liegt. Ebenso wenig erscheint die Aufbewahrung der Personendaten durch ein Gesetz gerechtfer-
tigt. 

149. Xplain hat mit seinen Datenbearbeitungen die Persönlichkeit einer grösseren Anzahl von Perso-
nen verletzt. Hierfür gibt es keine Rechtfertigungsgründe. 

4.9. Systemfehler 
150. Am 13. Juli 2023 eröffnete der EDÖB aufgrund von Art. 29 Abs. 1 lit. a aDSG eine Sachverhalts-

abklärung gegen Xplain, weil er Hinweise hatte, dass ein Systemfehler vorliegt.  
151. Die vorliegende Untersuchung bestätigt diesen Systemfehler vollumfänglich. Es zeigt sich, dass 

Xplain keine angemessenen Prozesse zur Bearbeitung von besonders schützenswerten Perso-
nendaten umgesetzt hat und folglich auch keine angemessenen technischen und organisatori-
schen Massnahmen der Datensicherheit getroffen hat. Damit sind die Bearbeitungsmethoden ge-
eignet, die Persönlichkeit einer grossen Anzahl betroffener Personen zu verletzen.  

152. Die besonders schützenswerten Personendaten sind einem grossen Risiko ausgesetzt, das nicht 
angemessen minimiert wurde. Erst aufgrund des Ransomware-Vorfalls wurde dies offensichtlich, 
da keine interne Datenschutz-Audits vorher stattfanden.   

4.10. Aufarbeitung Ransomware-Vorfall 
153. Xplain hat unmittelbar nach dem Ransomware-Vorfall verschiedene Massnahmen getroffen, um 

den Schaden zu minimieren (siehe Ziffer 64 ff.). Dabei fällt auf, dass Xplain sich der Schwere des 
Vorfalls offensichtlich nicht bewusst war und die Bundesverwaltung erst zehn Tage nach dem 
Vorfall informierte, obwohl eine Frist für solche Vorfälle von 24 Stunden vereinbart war (siehe Ziffer 
103). Xplain ist seit Jahren fast ausschliesslich im Bereich der Inneren Sicherheit tätig (siehe Ziffer 
6) und hat mit entsprechend sensitiven Informationen und Daten zu tun. Die Reaktion auf den 
Ransomware-Vorfall bestätigt das Fehlen von angemessenen Massnahmen der Datensicherheit 
(siehe Ziffer 128 ff.). 

154. In Bezug auf die zukünftigen Datenbearbeitungen hat das NCSC einen Massnahmenplan aufge-
stellt, dessen Umsetzung auditiert und das Resultat vom NCSC beurteilt wurde (siehe Ziffer 71 f.). 
Dies wird in den folgenden Empfehlungen des EDÖB berücksichtigt.  

4.11. Fazit 
155. Xplain hat als Verantwortlicher und Auftragsbearbeiter die Bestimmungen des Datenschutzgeset-

zes insbesondere in Bezug auf die Grundsätze der Datensicherheit, der Rechtmässigkeit und Ver-
hältnismässigkeit sowie der Zweckbindung verletzt: 

- Xplain verfügt über keine technischen und organisatorischen Massnahmen der Datensi-
cherheit, die für den Supportprozess und die Softwareentwicklung im Bereich der Inneren 
Sicherheit und das Bearbeiten von besonders schützenswerten Personendaten angemes-
sen sind; 

- Xplain hat vertragliche Vorgaben in Bezug auf die Datensicherheit aus dem Auftragsbear-
beitungsverhältnis nicht umgesetzt; 

 

 

 

Seite 27 von 34 
 

- Xplain hat Personendaten nach der Fehlerbehebung weiter aufbewahrt und nicht gelöscht. 
156. Die Beurteilung erfolgte aufgrund des aDSG (siehe Ziffer 74). Sie würde auch unter Anwendung 

des neuen DSG vom 25. September 2020 (in Kraft seit 1. September 2023) zu keinem anderen 
Ergebnis führen. 

157. Die Zusammenarbeit von Xplain mit BAZG respektive fedpol steht als Muster für das Verhältnis 
zu den übrigen Bundesämtern (siehe Ziffer 22), weshalb die Ergebnisse aus der datenschutz-
rechtlichen Beurteilung auch für die übrige Bundesverwaltung bedeutsam sind. 

 
 
  

 

 

 

Seite 28 von 34 
 

5. Empfehlungen 
158. Gestützt auf Art. 29 Abs. 3 aDSG erlässt der EDÖB gegenüber Xplain die folgenden Empfehlun-

gen: 
159. In Bezug auf die Verletzung des Grundsatzes der Datensicherheit (vgl. Kap. 4.6):  

Empfehlungen: 

 

 

 

 

 

 

 

 

 

 

Xplain trifft technische und organisatorische Massnahmen der Datensicherheit gemäss Art. 7 
DSG (neu: Art. 8 DSG) und nach den Vorgaben der Bundesverwaltung (siehe Ziffer 70 ff.), die 
angemessen sind in Bezug auf 

 

1. das Bearbeiten von besonders schützenswerten Personendaten im Rahmen von Support- 
und Wartungsprozessen, die Xplain als Dienstleiter anbietet, 

2. das Bearbeiten von Personendaten unter einem qualifizierten Geheimnisschutz, 

3.  auf die Entwicklung von Software im sensitiven Bereich der Inneren Sicherheit. 

 

Xplain hat die Einhaltung der technischen und organisatorischen Massnahmen gegenüber der 
Bundesverwaltung regelmässig nachzuweisen, indem 

 

4. ein Informationssicherheitsmanagementsystem (ISMS) aufgebaut wird, 

5. ein Risikomanagement etabliert wird und eine laufende Evaluierung der Massnahmen statt-
findet, 

6. eine kontinuierliche Sensibilisierung der Mitarbeitenden erfolgt, 

7. periodisch interne und externe Audits durchgeführt werden. 

 

Solange Xplain im Bereich der Inneren Sicherheit mit der Bundesverwaltung zusammenarbei-
tet, ist  

 

8. die Zertifizierung des ISMS nach einem international anerkannten Standard nachzuweisen. 

 

 

 

 

Seite 29 von 34 
 

160. In Bezug auf die Verletzung der Grundsätze der Rechtmässigkeit, der Verhältnismässigkeit und 
der Zweckbindung (vgl. Kap. 4.7) 

Empfehlungen: 

 

 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  

 
Xplain kommt seinen vertraglichen Pflichten als Auftragsbearbeiter gemäss Art. 10a aDSG 
(neu Art. 9 DSG) nach, indem 
 
 
9. die Verpflichtungen aus den Verträgen mit der Bundesverwaltung in die eigenen techni-
schen und organisatorischen Prozesse eingebunden werden, 
 
10. ein Löschkonzept gemäss den gesetzlichen und vertraglichen Vorgaben umgesetzt wird. 
 

 

 

 

 

Seite 30 von 34 
 

6. Abschluss des Verfahrens 
6.1. Rechtliches Gehör und weiteres Vorgehen 

161. Xplain wurde die Möglichkeit gegeben, den Sachverhalt zu prüfen und dazu Stellung zu nehmen. 
Mit Eingabe vom 22. März 2024 hat Xplain davon Gebrauch gemacht. Die Sachverhaltsfeststel-
lung wurde anschliessend Xplain nochmals vorgelegt, um allfällige Schwärzungen der Sachver-
haltsdarstellung zu beantragen, soweit rechtliche Interessen von Xplain beeinträchtigt und ein In-
teresse an der Geheimhaltung überwiegt (siehe Ziffer 167 f.). Mit Eingabe vom 12. April 2024 
macht Xplain geltend, dass die Sachverhaltsfeststellung grundsätzlich unrichtig und unvollständig 
sei. Im Wesentlichen bezieht sich dieser Einwand darauf, dass es unzutreffend sei, dass Xplain 
«produktive Daten einschliesslich Personendaten ihrer Kunden auf ihren eigenen Systemen spei-
chert, verwaltet oder sonst wie bearbeitet.» Es ist indessen tatsächlich unbestritten, dass der 
Ransomware-Vorfall Personendaten der Bundesverwaltung betrifft, die sich auf den Systemen 
von Xplain befanden und dass das Aufbewahren dieser Daten auf den Systemen von Xplain da-
tenschutzrechtlich als «bearbeiten» zu qualifizieren ist. Der EDÖB hat deshalb die Bemerkungen 
von Xplain zur Sachverhaltsdarstellung gestützt auf die Eingabe vom 22. März 2024 geprüft und 
soweit übernommen, wie sie zur Klärung des Sachverhaltes notwendig waren. Er hat dabei ins-
besondere Anmerkungen verworfen, die den tatsächlichen Sachverhalt zu relativieren versuchten 
oder rechtliche Beurteilungen vorwegnehmen wollten. 

162. Der EDÖB hat den Sachverhalt von Amtes wegen erstellt und geprüft. Damit ist der Sachverhalt 
gestützt auf Art. 29 aDSG rechtsgenügend erstellt, so dass die rechtliche Würdigung nachvoll-
ziehbar ist. 

163. Der vorliegende Schlussbericht weist einen engen Zusammenhang mit der Bundesverwaltung auf. 
Er beurteilt im Wesentlichen das Auftragsverhältnis zwischen BAZG respektive fedpol als Verant-
wortliche und Xplain als Auftragsbearbeiter im Sinne von Art. 10a aDSG. Damit hat der vorlie-
gende Schlussbericht einen engen Bezug zu den Schlussberichten des EDÖB zu BAZG und fed-
pol zum gleichen Sachverhalt. Dabei überwiegt der öffentlich-rechtliche Aspekt. Der EDÖB hat 
sich deshalb in Bezug auf das Verfahren aus Gründen der Praktikabilität entschieden, die drei 
Schlussberichte und Empfehlungen den drei Parteien gleichzeitig und mit der gleichen Rechtsbe-
lehrung zu eröffnen. 

164. Xplain wird eine Frist von 30 Tagen ab Erhalt des Schlussberichts angesetzt, um sich darüber zu 
äussern, ob sie die Empfehlungen gemäss vorgehendem Kapitel 5 annehmen oder ablehnen. 

6.2. Veröffentlichung des Schlussberichts 
165. In Fällen von allgemeinem Interesse kann der EDÖB die Öffentlichkeit über seine Feststellungen 

und Empfehlungen informieren (Art. 30 Abs. 2 aDSG). Der Ransomware-Vorfall vom Mai 2023 hat 
ein breites öffentliches Interesse gefunden. Die Information über die Ursachen der widerrechtli-
chen Publikation von besonders schützenswerten Personendaten im Darknet und die getroffenen 
und zu treffenden Massnahmen sowie die entsprechenden Empfehlungen des EDÖB sind von 
allgemeinem Interesse, da sowohl die öffentliche Verwaltung als auch ein privates Unternehmen 
betroffen sind. Aus datenschutzrechtlicher Sicht ist diese Konstellation der Auftragsbearbeitung 
mit besonderen Risken verbunden, denen das Datenschutzgesetz auch eine spezifische Aufmerk-
samkeit schenkt. Der erstellte Sachverhalt, die diesbezügliche rechtliche Beurteilung sowie die 
Empfehlungen sind deshalb sowohl für die Bundesverwaltung als auch für private Unternehmen 
von grossem Interesse, weil allgemeine Erkenntnisse für die datenschutzrechtlichen Anforderun-
gen für die Zusammenarbeit der Bundesverwaltung mit privaten Unternehmen als Auftragsbear-
beiter präzisiert werden. Durch die Erkenntnisse dieses Schlussberichts können datenschutz-
rechtliche Risiken erheblich minimiert werden, weshalb der EDÖB auch eine speditive Durchfüh-
rung der Untersuchung angestrebt hat. Der Schlussbericht und die Empfehlungen des EDÖB im 
vorliegenden Zusammenhang sind deshalb auch aus diesem Grund von allgemeinem Interesse. 

 

 

 

Seite 31 von 34 
 

166. Der Schlussbericht Xplain wird deshalb zusammen mit den Schlussberichten von BAZG und fed-
pol auf der Webseite des EDÖB veröffentlicht (www.edoeb.admin.ch). 

167. Xplain wurde die Gelegenheit gegeben, Schwärzungen des Sachverhalts zu beantragen, um ei-
gene rechtliche Interessen zu schützen. Mit Eingabe vom 12. April 2024 hat Xplain beantragt, die 
Sachverhaltsfeststellung nicht zu veröffentlichen, im Wesentlichen, weil der Sachverhalt nicht im 
Sinne von Xplain abgeändert wurde. Auf dieses Ansinnen kann der EDÖB nicht eintreten, weil die 
Anmerkungen von Xplain – wo sachdienlich – berücksichtigt wurden und der Sachverhalt rechts-
genügend erstellt ist.  

168. Eventualiter macht Xplain weitere Argumente für Schwärzungen geltend, die auf eine komplette 
Anonymisierung des Sachverhalts und der beteiligten Parteien hinauslaufen. Sie fügt hierfür ins-
besondere Geheimhaltungsinteressen und Sicherheitsaspekte an. Gleichzeitig werden Schwär-
zungen beantragt, die offensichtlich haltlos sind, wie etwa die Nennung der Firma Xplain, die auf-
grund der Medienmitteilung des EDÖB vom 14. Juli 2023 sowie der zahlreichen Berichterstattun-
gen der Öffentlichkeit bekannt ist. Der EDÖB hat die einzelnen Anträge geprüft und entsprechende 
Schwärzungen im veröffentlichten Schlussbericht vorgenommen. In Bezug auf die komplette Ano-
nymisierung verhält sich Xplain widersprüchlich. Mit Informationen auf Ihrer Website vor kurzem 
(8. Februar 2024, 7. März 2024) (zuletzt besucht am 15. April 2024) und Interviews in Fachzeit-
schriften (Inside-IT, 6. Februar 204) nimmt Xplain ausführlich zum Ransomware-Vorfall Stellung. 
Zudem liegt ein öffentlicher Bericht des BACS vom 7. März 2024 zum «Hackerangriff auf Firma 
Xplain» vor, der im Internet abrufbar ist (zuletzt besucht am 15. April 2024). Eine Anonymisierung 
ist deshalb unmöglich, da eine Re-Identifikation bei dieser Sachlage ohne weiteres möglich ist. 
Auf eine solche Anonymisierung ist deshalb auch aus verwaltungsökonomischer Sicht zu verzich-
ten. Für eine konsequente Schwärzung im Sinne der Beantragungen von Xplain müssten zudem 
auch die parallelen Schlussberichte vom fedpol und BAZG geschwärzt werden, wodurch auch 
diese in weiten Teilen unverständlich wären. Wie bereits erläutert, besteht aber sowohl für die 
Bundesverwaltung als auch für private Unternehmen, die für die Bundesverwaltung Dienstleistun-
gen erfüllen (wollen), ein erhebliches Interesse an den Feststellungen der Schlussberichte. 
Schliesslich erscheint es vorliegend nicht opportun, Stellen zu schwärzen, die nach Bearbeitung 
eines allfälligen Zugangsgesuch nach Öffentlichkeitsprinzip voraussichtlich offenbart würden. So-
mit überwiegt das allgemeine Interesse an der Publikation des Schlussberichts bzw. die weitge-
hende Nichtbeachtung der beantragten Schwärzungen durch Xplain. 

 

 

 

die stellvertretende Beauftragte: der zuständige Jurist: 
 
 
 
Florence Henguely 

 
 
 
Nicolas Winkelmann 

 
 
 
 
der zuständige Informations- und  
Sicherheitsspezialist: 
 
 
 

 
 
 
 
der beigezogene Experte: 

Michael Burger Bruno Baeriswyl