Cyberkriminalität
20.07.2023, 09:59 Uhr
Bund fordert bei IT-Dienstleistern Sicherheit ein
Nach dem Hackerangriff auf den IT-Dienstleister Xplain fordert der Bund Sicherheit ein bei IT-Dienstleistern, die für ihn Aufträge erfüllen. 2871 Unternehmen sind per Brief aufgefordert worden zu prüfen, ob sie explizit aufgeführte Anforderungen erfüllen können.
(Quelle: Andreas Fischinger/Unsplash)
Inside IT berichtete am Mittwoch über den Brief des Bundesamts für Bauten und Logistik (BBL), welcher der Nachrichtenagentur Keystone-SDA vorliegt. «Ihr Unternehmen muss jederzeit in der Lage sein, die Vertraulichkeit, die Integrität und die Verfügbarkeit von Systemen, Daten und Informationen sowie die Nachvollziehbarkeit des Umgangs mit Daten und Informationen zu gewährleisten», heisst es darin.
IT-Dienstleister, welche die konkret umschriebenen Anforderungen an die Sicherheit nur zum Teil einhalten können oder Schwachstellen bei sich ausmachen, müssen sich beim Vertragspartner beim Bund und beim Nationalen Zentrum für Cybersicherheit melden. Ziel sei in erster Linie die Sensibilisierung, hiess es beim BBL dazu auf Anfrage.
Der Brief fordert die Vertragspartnerunternehmen zudem auf, sich über aktuelle Bedrohungen aus dem Cyberraum und Massnahmen für mehr Sicherheit auf dem aktuellsten Stand zu halten. Ergibt die Prüfung von Vertragsunterlagen Handlungsbedarf, werden betroffene Firmen noch einmal angeschrieben.
Hacker hatten im Mai beim für den Bund tätigen IT-Dienstleister Xplain Daten gestohlen. Weil sie kein Lösegeld erhielten, veröffentlichten sie Daten im Darknet. Der Bundesrat entschied Ende Juni, die Verträge mit Informatikdienstleistern mit der Verwaltung systematisch zu überprüfen.
Daten von Polizei in Vaduz gestohlen
Aufgetaucht sind dort auch Daten der Liechtensteiner Landespolizei, die ebenfalls mit Xplain zusammenarbeitet und die vom Datendiebstahl auch betroffen ist. Erbeutet wurden unter anderem 59 Personendatensätze, die bei Entwicklungs- und Supportarbeiten von Xplain gespeichert wurden, wie die Landespolizei am Mittwoch mitteilte.
Die Personendatensätze umfassen Daten von aktuellen und ehemaligen Mitarbeitenden und auch Personendaten aus dem Personenregister. Sobald die Personen abschliessend verifiziert seien, würden sie über den Diebstahl ihrer Daten informiert, teilte die Landespolizei mit.
Die Datenanalyse bestätigte zudem, dass sich unter den entwendeten Daten keine vertraulichen Daten und Informationen aus operativen Datenbanken der Landespolizei befinden.
