Massive Kritik an Geheimdienst-Informatik

Der Schweizer Geheimdienst (NDB) war letztes Jahr Ziel öffentlichen Spottes und Verwunderung. Grund war die Verhaftung eines Informatik-Mitarbeiters, der Datenmengen im Tera-Bereich entwendete und weiterverkaufen wollte, bei denen es sich laut Bundesanwalt Michael Lauber um ««hochsensible Daten handle, die absolut nicht in fremde Hände gelangen dürfen.» Peinlich war dies für den NDB, weil der Mitarbeiter die Daten auf dem einfachst möglichen Weg mitgehen liess: durch die Vordertür, die Festplatten unter dem Arm. Darüber wurde auch die Geschäftsprüfungsdelegation des Bundes (GPDel) informiert, die daraufhin im Oktober 2012 beschloss, zur Informatiksicherheit im NDB eine Untersuchung durchzuführen. Nachdem die zuständigen Behörden den Bericht im Juli erhielten, wird heute auch die Öffentlichkeit darüber informiert. Da die Delegation «verhindern will, dass mit der Publikation von Informationen über den Nachrichtendienst höherrangige Interessen des Staates verletzt werden», wurde nur ein Kurzbericht öffentlich gemacht. Dieser reicht allerdings, um schnell zu sehen: es herrschte sehr viel Fahrlässigkeit im NDB in Sachen Informatiksicherheit, als der Diebstahl begangen wurde.

Die Delegation beginnt ihre Ausführungen bei der Gründung des NDB im Jahr 2009. Damals wurden der DAP (Dienst für Analyse und Prävention) und der SND (Strategischer Nachrichtendienst) zu eben jenem Bundesamt zusammengefasst. Dies sollte im Auftrag des VBS «ohne zusätzliche Ressourcen» realisiert werden. Was unter anderem bedeutete, dass der künftigte NDB mit den Informatikressourcen des bisherigen SND auskommen musste, da das VBS zuvor den DAP ohne das Personal, das sich um die Informatik kümmert, übernommen hatte. Dadurch, so steht es im Bericht, «musste der NDB eine komplexe und immer stärker wachsende Systemlandschaft mit sehr knappen Ressourcen betreuen». Dies bedeutete beispielsweise, dass es nur einen internen Datenbankadministrator gab. Fiel dieser aus, «konnte die Sicherheit der Datenbanken nur gewährleistet werden, solange keine gravierenden Probleme auftauchten.»

Schuld an diesen Personalengpässen sei eine ungenügende Planung des VBS gewesen, als der Behördenzusammenschluss anstand. Warum diese Mängel auch nach der Schaffung des Dienstes nicht behoben wurden, bleibt unklar. Der NDB wies die GPDel zwar im Frühjahr 2011 auf die Personalsituation hin, Aussagen, dass dadurch auch die Informatiksicherheit beeinträchtigt sei, wurden jedoch nicht gemacht. Die Delegation empfiehlt dem Bundesrat darum, dass das VBS die personellen Ressourcen noch einmal «vertieft und detailliert» analysieren sollte.