Ländle-Datenklau: Behörden-Versagen kommt ans Licht

Die Dokumente werfen unangenehme Fragen auf. Besonders zur IT-Sicherheit, zur Vergabe und zur Verantwortung.

Es brauchte ein förmliches Informationsgesuch, eine Aufsichtsbeschwerde, eine Fristsetzung und schliesslich eine Beschwerde beim Verwaltungsgerichtshof.

Nun hat das Amt für Informatik endlich geliefert. Nicht alles, aber immerhin genug, um hinter die Kulissen eines der peinlichsten Datenskandale Liechtensteins zu blicken.

Ende Juli wurden rund 31’000 Datensätze aus dem Verzeichnis wirtschaftlich berechtigter Personen (VwbP) entwendet.

Soeben ist amtlich bestätigt, wer die Software entwickelte: die Aviita Establishment aus Balzers. Bestens vernetzt in der kleinen Welt des Ländle.

Die Regierung vergab im November 2020 den Auftrag für die erste Projektphase zum Festpreis von 150’000 Franken an Aviita.

Im Juli 2021 folgte ein weiterer Entwicklungsauftrag über 224’400 Franken. Für die zweite Projektphase wurden insgesamt 330’000 Franken bewilligt, einschliesslich Reserven und weiterer Leistungen.

Zusammen sind das Entwicklungsaufträge an Aviita über 374’400 Franken, ohne Mehrwertsteuer.

Beide Vergaben erfolgten im Verhandlungsverfahren oberhalb der Schwellenwerte, ohne vorgängige öffentliche Bekanntmachung.

Weshalb wurde ausgerechnet bei einer derart sensiblen Datenbank auf einen offenen Wettbewerb verzichtet?

Dazu schweigen die Unterlagen. Wer hätte aufpassen müssen? Hier wird es besonders interessant.

Der ursprüngliche Vertrag schreibt ausdrücklich vor, dass die Landesverwaltung für die Überwachung der Systeme verantwortlich ist. Einschliesslich Applikation, Datenbank und Authentifizierungssystem Keycloak.

Auch die Sicherheitsupdates des Windows-Servers, die Bereitstellung eines gesicherten Fernzugangs mit Zwei-Faktor-Authentifizierung und die Administration von Keycloak liegen in ihrer Verantwortung.

Aviita wiederum war für die Softwareentwicklung und deren Wartung zuständig. Die verwendeten Softwarekomponenten sollten regelmässig auf bekannte Sicherheitslücken geprüft werden.

Vier Sicherheitsupdates jährlich waren im Wartungspreis enthalten. Das kostet jährlich 32’400 Franken, zusätzliche Leistungen nicht eingerechnet.

Die entscheidende Frage lautet: Wer hat seine vertraglichen Sicherheitsaufgaben tatsächlich erfüllt – und wer nicht?

Besonders brisant ist das ursprüngliche Angebot von Aviita. Darin steht ausdrücklich, dass die Sicherheit durch einen Penetrationstest nach dem Open Source Security Testing Methodology Manual (OSSTMM) bestätigt werden müsse.

Ein solcher Test war sogar im Projektplan vorgesehen. Nur: Ein Prüfbericht wurde nicht herausgegeben.

Ebenso fehlen Abnahmeprotokolle, dokumentierte Sicherheitskontrollen und Nachweise über die tatsächlich durchgeführten Updates.

Bei einer Datenbank mit hochsensiblen Informationen ist das keine Nebensächlichkeit.

Aviita wollte laut Verfügung sogar die eigenen Vertragskonditionen weitgehend geheim halten.

Das Amt für Informatik widersprach immerhin und anerkannte ausdrücklich das öffentliche Informationsinteresse sowie die journalistische Kontrollfunktion.

Bei den Rechnungen hört die Transparenz allerdings auf. Sie werden vollständig zurückgehalten, angeblich zum Schutz von Geschäftsgeheimnissen.

Dabei könnten sensible Einzelpositionen geschwärzt und die Gesamtsummen offengelegt werden. Weshalb das nicht geschieht, bleibt unbefriedigend begründet.

Auch die fast dreimonatige Bearbeitungsdauer erklärt das Amt mit einer gesetzlichen Frist. Dass die Verfügung erst nach Einreichung einer Beschwerde beim Verwaltungsgerichtshof erging, ist zumindest bemerkenswert.

Die Verträge zeigen, wer welche Sicherheitsaufgaben hatte. Sie zeigen nicht, ob diese Aufgaben erfüllt wurden.

Wer kontrollierte die Zugriffsrechte? Wer wertete die Überwachungsmeldungen aus? Wurden die vorgeschriebenen Penetrationstests durchgeführt?

Welche Mängel wurden festgestellt? Und weshalb konnte der Datenabfluss offenbar über längere Zeit unbemerkt bleiben?

Die veröffentlichten Dokumente liefern noch keinen Schuldigen. Aber sie machen eines klar: Die Verantwortung lässt sich nicht einfach auf einen unbekannten Hacker abschieben.

Jetzt müssen die Zuständigen offenlegen, ob ihre eigenen Sicherheitsvorgaben eingehalten wurden.