Bund fordert bei IT-Dienstleistern Sicherheit ein

Nach dem Hackerangriff auf den IT-Dienstleister Xplain fordert der Bund Sicherheit ein bei IT-Dienstleistern, die für ihn Aufträge erfüllen. 2871 Unternehmen sind per Brief aufgefordert worden, zu prüfen, ob sie explizit aufgeführte Anforderungen erfüllen können. Inside-IT berichtete am Mittwoch über den Brief des Bundesamts für Bauten und Logistik (BBL), der der Nachrichtenagentur Keystone-SDA vorliegt.

«Ihr Unternehmen muss jederzeit in der Lage sein, die Vertraulichkeit, die Integrität und die Verfügbarkeit von Systemen, Daten und Informationen sowie die Nachvollziehbarkeit des Umgangs mit Daten und Informationen zu gewährleisten», heisst es darin.

IT-Dienstleister, die die konkret umschriebenen Anforderungen an die Sicherheit nur zum Teil einhalten können oder Schwachstellen bei sich ausmachen, müssen sich beim Vertragspartner beim Bund und dem Nationalen Zentrum für Cybersicherheit melden. Ziel sei in erster Linie die Sensibilisierung, hiess es beim BBL dazu auf Anfrage.

Der Brief fordert die Vertragspartner-Unternehmen zudem auf, sich über aktuelle Bedrohungen aus dem Cyberraum und sowie Massnahmen für mehr Sicherheit auf dem aktuellsten Stand zu halten. Ergibt die Prüfung von Vertragsunterlagen Handlungsbedarf, werden betroffene Firmen noch einmal angeschrieben.

Hacker hatten im Mai beim für den Bund tätigen IT-Dienstleister Xplain Daten gestohlen. Weil sie kein Lösegeld erhielten, veröffentlichten sie Daten ins Darknet. Der Bundesrat entschied Ende Juni, die Verträge mit Informatikdienstleistern mit der Verwaltung systematisch zu überprüfen.

Aufgetaucht sind dort auch Daten der Liechtensteiner Landespolizei, die ebenfalls mit Xplain zusammenarbeitet und die vom Datendiebstahl auch betroffen ist. Erbeutet wurden anderem 59 Personendatensätze, die bei Entwicklungs- und Supportarbeiten von Xplain gespeichert wurden, wie die Landespolizei am Mittwoch mitteilte.

Die Personendatensätze umfassen Daten von aktuellen und ehemaligen Mitarbeitenden und auch Personendaten aus dem Personenregister. Sobald die Personen abschliessend verifiziert seien, würden sie über den Diebstahl ihrer Daten informiert, teilte die Landespolizei mit.

Die Datenanalyse bestätigte zudem, dass sich unter den entwendeten Daten keine vertraulichen Daten und Informationen aus operativen Datenbanken der Landespolizei befinden.