Verschiedene Medien (darunter die \"Basler Zeitung\" und die \"Weltwoche\") haben Ende Mai, Anfang Juni berichtet, von Ende 2014 bis zum Februar 2017 h\u00e4tten unbefugte Aussenstehende leichten Zugang zum Informatiknetz des Bundes gehabt. Aus den Medien geht hervor, dass wegen einer Sicherheitsl\u00fccke Unbefugte ohne Registrierung und ohne Autorisierung auf das Intranet und auf Datenbanken mit der Bundesverwaltung vorbehaltenen Informationen zugreifen konnten. Das Bild, das in den Medien gezeichnet wird, ist besorgniserregend. Es zeigt einen Staat, der unf\u00e4hig ist, Probleme zu erkennen, sich zu sch\u00fctzen und zu reagieren und dann auch zu informieren. In der Schweiz ist man sich offenbar generell der Tragweite der Gefahren, die von Hackerangriffen ausgehen, zu wenig bewusst.
Angesichts dessen ist es Zeit, Klarheit zu schaffen:
1. Best\u00e4tigt der Bundesrat die Berichte der Medien, wonach zwischen 2014 und 2017 unbefugte Dritte systematisch auf gesch\u00fctzte Informatiknetze und Inhalte zugreifen konnten? Was genau ist geschehen?
2. Wann ereigneten sich die Vorf\u00e4lle, und wann hat sie der Bundesrat zur Kenntnis genommen?
3. Welche Departemente waren betroffen?
4. Warum hat der Bundesrat nicht selbst \u00fcber die Vorf\u00e4lle informiert?
5. Auf welche Inhalte w\u00e4re es unbefugten Dritten m\u00f6glich gewesen zuzugreifen? Gab es unbefugte Zugriffe? Wurden Daten gestohlen oder ver\u00e4ndert? Wenn sich das nicht feststellen l\u00e4sst, warum nicht?
6. Als die unbefugten Zugriffe erkannt wurden, welche Massnahmen wurden ergriffen?
7. Wurden Administrativuntersuchungen eingeleitet, oder l\u00e4uft ein Strafverfahren?
8. Wie wurde intern \u00fcber die Vorf\u00e4lle kommuniziert, um die Angestellten der betroffenen Verwaltungseinheiten zu informieren und vor allem zu sensibilisieren?
9. Wurden andere Stellen der Bundesverwaltung, insbesondere im Informatikbereich, informiert?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Die gestellten Fragen k\u00f6nnen wie folgt beantwortet werden:
1. In der Tat hat zwischen 2014 und 2017 eine Sicherheitsl\u00fccke bestanden, deren Ausn\u00fctzen den unberechtigten Zugriff auf eine beschr\u00e4nkte Anzahl von Anwendungen des Bundes erm\u00f6glicht h\u00e4tte.
2. Am 27. Januar 2017 wurde von Spezialisten des Bundes ein Fehlverhalten des betreffenden Zugangsdienstes festgestellt. Danach haben die zust\u00e4ndigen Fachleute den Mangel umgehend eingegrenzt und am 9. Februar 2017 endg\u00fcltig behoben. Nach einer ersten Analyse der Situation wurde dann der zust\u00e4ndige Departementsvorsteher am 15. Februar 2017 \u00fcber die Sicherheitsl\u00fccke und die eingeleiteten Massnahmen informiert. Weiter wurde der Bundesrat im Rahmen der j\u00e4hrlichen Sicherheitsberichterstattung informiert.
3. Betroffen war eine beschr\u00e4nkte Anzahl von Anwendungen, welche eine bestimmte Art von Zugangsverfahren ben\u00f6tigen. Die betroffenen Anwendungen sind identifiziert, die zust\u00e4ndigen Verantwortlichen informiert. Aus Sicherheitsgr\u00fcnden ist die Liste der betroffenen Departemente und Anwendungen nicht \u00f6ffentlich.
4. Die Kommunikation zum Sicherheitsvorfall erfolgte intern \u00fcber die daf\u00fcr vorgesehenen Gremien. Die Informationen enthielten auch detaillierte Angaben \u00fcber die Funktionsweise des betroffenen Zugangsdienstes und wurden deshalb aus Sicherheitsgr\u00fcnden \"vertraulich\" klassifiziert. So wurden die Informatik- und Sicherheitsverantwortlichen der Departemente und der Bundeskanzlei \u00fcber den Informatikrat des Bundes und \u00fcber den Ausschuss f\u00fcr Informatiksicherheit des Bundes zeitnah informiert.
5. Die Untersuchungen des Vorfalls ergeben keine Hinweise, dass diese Sicherheitsl\u00fccke unberechtigt ausgenutzt worden w\u00e4re. Allerdings l\u00e4sst sich das nicht vollst\u00e4ndig nachweisen und damit auch nicht vollst\u00e4ndig ausschliessen. Die vorhandenen Aufzeichnungen des betroffenen Zugangsdienstes gen\u00fcgen f\u00fcr eine abschliessende Aussage dazu nicht. Mit dem Schliessen der Sicherheitsl\u00fccke wurde auch sichergestellt, dass die Aufzeichnungen f\u00fcr F\u00e4lle wie den vorliegenden k\u00fcnftig gen\u00fcgend sind.
6. Nach der Entdeckung der L\u00fccke durch Spezialisten des Bundes wurde sie umgehend geschlossen. Der Vorfall wurde analysiert und aus den Erkenntnissen eine Reihe von kurz- und l\u00e4ngerfristigen Massnahmen eingeleitet. Die betroffenen Linien- und Anwendungsverantwortlichen wurden informiert.
7. Nein. Es gibt keine Hinweise auf strafrechtlich oder disziplinarisch relevante Handlungen, die zur Sicherheitsl\u00fccke f\u00fchrten. Aus diesem Grund ergab sich aus Sicht des Bundesamtes f\u00fcr Informatik und Telekommunikation auch kein Bedarf f\u00fcr eine Administrativuntersuchung.
8. Die zust\u00e4ndigen Gremien wurden zeitnah informiert. In der Technik geh\u00f6rt die rasche Anpassung von Software und Systemen aufgrund von Sicherheitspatches der Lieferanten zum Tagesgesch\u00e4ft. Zus\u00e4tzlich sind interne Massnahmen getroffen worden, um die Qualit\u00e4tskontrolle bei erfolgten Anpassungen an diesem Zugangssystem zu verbessern.
9. Die Fehleranalyse erfolgte in enger Zusammenarbeit mit den beteiligten Leistungserbringern.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1504051200000)\/","SubmittedBy":"Romano Marco","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1506643200000)\/","ResponsibleDepartment":7,"ResponsibleDepartmentName":"Finanzdepartement","ResponsibleDepartmentAbbreviation":"EFD","IsLeadingDepartment":true,"Tags":"4|9|34","Category":null,"Modified":"\/Date(1690518324833)\/","SubmissionDate":"\/Date(1497484800000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":5009,"SubmissionLegislativePeriod":50,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Staatspolitik|Sicherheitspolitik|Medien und Kommunikation"}}