Xplain-Hack – Auch «HOOGAN»-Daten von 2015 im Darknet publiziert

Seit Bekanntwerden des Ransomware-Angriffs auf die IT-Dienstleisterin Xplain laufen in der Bundesverwaltung intensive Abklärungen zu den betroffenen Daten (vgl. Medienmitteilung des NCSC vom 14. Juni 2023). Zu den zahlreichen Kunden der Firma gehört auch das Bundesamt für Polizei, Fedpol. Fedpol ist daran, jene Daten zu analysieren, die Fedpol betreffen. Die Analysen haben in einer ersten Phase den Zweck, Risiken zu erkennen, um rasch und frühzeitig Massnahmen treffen zu können.

Bei diesen Analysen wurde unter den entwendeten und veröffentlichten Daten eine acht Jahre alte XML-Datei festgestellt, die auszugsweise Daten aus dem Informationssystem HOOGAN enthält. In HOOGAN werden Personen erfasst, die sich an Sportveranstaltungen im In- und Ausland gewalttätig verhalten haben und gegen die der zuständige Kanton oder Fedpol eine Massnahme verhängt haben. Die XML-Datei, welche im Darknet publiziert wurde, enthält einen technischen Code mit Daten von 766 Personen, die im September 2015 im Informationssystem verzeichnet waren. Die Datei enthält keine Informationen zu Delikten oder verfügten Massnahmen.

Abklärungen zu den Auflagen und Umständen, unter denen die Datei an die Dienstleisterin übergeben wurde und dort verblieb, sind im Gang. XML ist ein gängiges Dateiformat, welches für den Austausch von Daten zwischen Computersystemen eingesetzt wird.

Dass diese Datei unter den publizierten Daten ist, hat keinen Einfluss auf den aktuellen operativen Einsatz des Informationssystems. Fedpol hat weder Daten bei der Firma ausgelagert, noch werden dort Informationssysteme für Fedpol betrieben. Die von Fedpol betriebenen Informationssysteme laufen, wie die zugehörige Datenaufbewahrung, in einer gesicherten Infrastruktur des Bundes.

Als eine der betroffenen Kundinnen nimmt Fedpol den Ransomware-Angriff gegen Xplain, den Datenabfluss und die damit verbundenen Risiken und Fragen sehr ernst. Das Bundesamt nimmt auch seine Verantwortung als Datenherr wahr: Sind bei einem Lieferanten Daten von Fedpol abgeflossen, die Persönlichkeitsrechte verletzen könnten oder wenn Personen Nachteile drohen, informiert Fedpol die Betroffenen aktiv und direkt. Dies unabhängig davon, ob ein eigenes oder ein Fehlverhalten des Lieferanten vorliegt. So wird dies auch im vorliegenden Fall gemacht. Die schriftliche Information der Betroffenen ist bereits im Gang.

Weiter stellt das Bundesamt ein Web-Formular zur Verfügung, mit dem Personen anfragen können, ob sie auf dem entwendeten und publizierten HOOGAN-Auszug aufgeführt sind.

Im Sinne der Transparenz hat Fedpol entschieden, von sich aus öffentlich mit einer Medienmitteilung zu kommunizieren, wenn beim Datendiebstahl Daten zahlreicher Personen in gleichem Masse betroffen sind und gesicherte Fakten vorliegen. Dabei beachtet Fedpol den Datenschutz, schützt Persönlichkeits- und Verfahrensrechte.

Am 12. Juni 2023 hat das Bundesamt Strafanzeige gegen Unbekannt erstattet, um zu klären, unter welchen Umständen operative Daten auf ein Dateisystem einer privaten Firma gelangen und dort angegriffen werden konnten. Diesem Verfahren kann und will das Fedpol nicht vorgreifen.