Entflechtung der Ruag-IT nimmt mehr Zeit in Anspruch

Zur Bewältigung der Cyberattacke von 2016, wird die Ruag komplett umgebaut. Nun hat der Bund den Rüstungskonzern per 01.01.2020 organisatorisch in zwei separate Firmen aufgeteilt. Die MRO Schweiz ist weiterhin für die Armee tätig, während der internationale Teil des Unternehmens – die Ruag International – privatisiert wird. Das geht aus einer Stellungnahme des Bundesrats zum zweiten Bericht der Geschäftsprüfungskommission des Nationalrates (GPK-N) zur Bewältigung des Cyberangriffs auf die Ruag hervor.

Aus Sicherheitsgründen trennt der Bund auch die Informatik der MRO Schweiz von jener der Ruag International und gliedert diese beim VBS ein. So halte die staatliche Subholding der Ruag dann den Sicherheitsstandard des Bereichs Verteidigung ein, ausserdem soll es keine unkontrollierten «Verflechtungen» mehr geben, schreibt der Bundesrat.

Gemäss dem Communiqué wurden die Daten der MRO Schweiz unter «umfangreichen Vorsichtsmassnahmen» in den Sicherheitsperimeter der Führungsunterstützungsbasis der Armee integriert. Dort befänden sie sich nun innerhalb einer abgetrennten Zone. «Die Daten werden nach ihrer Identifikation und vor der Übernahme in eine Quarantäne gebracht und dort auf alle bekannten Muster von Schadsoftware überprüft», erklärt der Bundesrat.

Offenbar hat man den Aufwand hierbei aber unterschätzt. Denn laut Communiqué wurde die Menge der zu migrierenden Daten erst mit der detaillierten Festlegung der definitiven Struktur der MRO Schweiz konkret ersichtlich. Deshalb habe man die anfänglich bereitgestellten Kapazitäten für die Identifikation und das Scanning der Daten massiv vergrössern müssen. Dazu seien zusätzliche technische Ausrüstungen in Betrieb genommen worden. «Dadurch konnten bis Ende Januar 2020 noch nicht alle Daten überprüft und migriert werden», heisst es in der Stellungnahme. Allerdings, so der Bundesrat, habe dieser aufwendige Prozess bislang zu keinen weiteren Funden von Schadsoftware geführt und damit auch zu keinem Bedarf an weiteren Massnahmen.

Beim Bund peilt man nun an, die Trennung der Informatik bis Mitte 2020 abzuschliessen. Von den «umfangreichen Vorsichtsmassnahmen» verspricht man sich den Schutz der Informatik-Schnittstellen zwischen MRO Schweiz und der Bundesverwaltung. Bis Mitte Jahr soll laut Communiqué schliesslich auch die rechtliche und finanzielle Entflechtung der Ruag erfolgen.

Abschliessend schreibt der Bundesrat in der Stellungnahme, dass es sich bei der Entflechtung des Konzerns und der vorgesehenen Privatisierung der Ruag International um ein «hochkomplexes Projekt» handelt. Ausschlaggebend für dieses sei das Bestreben gewesen, «mittelfristig Risiken für den Eigner abzubauen, die dieser aufgrund der internationalen Ausrichtung der Ruag und der Verflechtung mit der IT des Bundes nicht mehr zu tragen gewillt war». Die Weiterführung des Konzerns in seiner ursprünglichen Form wäre zudem rechtlich nicht mehr länger haltbar gewesen, so der Bundesrat.