Zu­nah­me bei Mel­dun­gen von Da­ten­schutz­vor­fäl­len

Öffentliche Organe sind ein häufiges Ziel von Cyberangriffen. Eine der Hauptangriffsarten ist das sogenannte Phishing. Meist verschicken die Angreifenden dafür gefälschte E-Mails und versuchen, Mitarbeitende von öffentlichen Organen auf gefälschte Websites zu locken. Dort sollen die Mitarbeitenden Zugangsdaten eingeben. Mit diesen Zugangsdaten verschaffen sich die Angreifenden Zugang zu den IKT-Systemen der öffentlichen Organe. Davon waren im Jahr 2024 diverse Mitarbeitende von öffentlichen Organen betroffen.

Bei einem Angriff missbrauchten Angreifende die Zugangsdaten eines Mitarbeiters einer Gemeinde, um rund 800 Phishing-E-Mails von seinem Konto zu verschicken und E-Mails zu löschen. Bei einem anderen Vorfall haben Angreifende die Zugangsdaten von 80 Personen einer Schule gestohlen. Diese schickten sie anschliessend an 500 interne E-Mail-Adressen – zusammen mit antisemitischen Inhalten.

Die wichtigsten Massnahmen gegen Phishing sind:

1. Regelmässige Schulung und Sensibilisierung aller Mitarbeitenden
2. Einsatz von Multifaktor-Authentifizierung
3. Regelmässige Prüfung der E-Mail-Konten auf Kompromittierung beispielsweise über Websites wie haveibeenpwned.com und intelx.io
4. Nutzung von Filterlisten oder Proxies für den Internetverkehr
5. Erstellung eines Notfallplans für Informationssicherheitsvorfälle
6. Weitere Gegenmassnahmen sind auf der Website der Datenschutzbeauftragten oder des Bundesamtes für Cybersicherheit publiziert

Angriff auf Dienstleister
Ein Lieferant einer Cloud-Software wurde Ziel eines Ransomware-Angriffs. Ein öffentliches Organ verwendet die Software zur Erfassung des Energieverbrauchs der kantonalen Gebäude. Die Angreifenden haben alle Systeme des Lieferanten verschlüsselt. Die Daten konnten nach dem Vorfall aus einem Backup wiederhergestellt werden. Sämtliche Systeme werden einer vertieften Prüfung unterzogen.

Patientendaten auf Tiktok
In Stationszimmern oder Medikamentenabgaberäumen von Kliniken lagern neben Medikamenten auch viele heikle Personendaten. Darum dürfen Patientinnen und Patienten solche Zimmer nur unter Aufsicht von Fachpersonen betreten. Bei einem Datenschutzvorfall filmte ein Patient mit seinem Smartphone eine Liste mit Patientendaten und veröffentlichte die Aufnahmen anschliessend auf Tiktok. Die Klinik reagierte sofort und veranlasste deren Löschung. Zudem wurden die Mitarbeitenden unter anderem dahingehend sensibilisiert, dass sämtliche Bild- und Tonaufnahmen auf dem gesamten Gelände der Klinik verboten sind.

Hauptursache Fehlversand
Von total 82 Meldungen im Jahr 2024 waren rund zwei Drittel auf Fehler beim Versand von Daten zurückzuführen. Hauptursache waren Flüchtigkeitsfehler oder falsche Stammdaten. So verschickte beispielsweise ein öffentliches Organ eine Verfügung an eine falsche Person. Grund war die Verwechslung des Wohnortes bei gleich lautendem Namen. Eine unberechtigte Person erfuhr dadurch heikle Daten über einen Betroffenen wie beispielsweise über Sozialhilfe oder Prämienverbilligung.

Eine weitere Ursache für Fehlversendungen war die automatische Vervollständigung von E-Mail-Adressen. Mitarbeitende verschiedener öffentlicher Organe kontrollierten die automatisch erstellten Empfängeradressen ungenügend und verschickten Daten an unberechtigte Personen.

Um Fehlversendungen zu vermeiden, können unter anderem folgende Massnahmen ergriffen werden:

1. Liste führen: Damit ein öffentliches Organ weiss, wo und bei welchen Vorgängen wie viele Fehler passieren, sollte es Datenschutzvorfälle zentral aufzeichnen und klassifizieren. Dadurch können Muster erkannt und gezielte Massnahmen umgesetzt werden.
2. Schulungen und Sensibilisierungen: Flüchtigkeitsfehler passieren häufig wegen Zeitdruck oder einer hohen Fluktuation in der Belegschaft. Darum sollten Mitarbeitende regelmässig geschult und für mögliche Fehlerquellen sensibilisiert werden.
3. Anpassung automatische Vervollständigung: In E-Mail-Programmen wie Outlook sollte die automatische Vervollständigung von E-Mail-Adressen angepasst oder ausgeschaltet werden.
4. Double-Opt-in: Bei Anmeldungen für Newsletter oder bei Internetportalen ist das Double-Opt-in mittlerweile Standard. Beim Double-Opt-in werden den Nutzenden ihre Angaben in einem E-Mail zugesandt. Das Konto wird erst eröffnet, wenn der Erhalt des E-Mails bestätigt wird. Die Plattformbetreibenden sind dann sicher, dass die E-Mail-Adresse richtig ist. So können Fehler in den Stammdaten verhindert werden.
5. Plattform: Informationen können auch über eine Plattform ausgetauscht werden, statt sie per E-Mail oder Post zu senden. Ein öffentliches Organ kann beim Eintritt die persönlichen Zugangsdaten bereitstellen.
6. Vier-Augen-Prinzip: Beim Einpacken von Berichten in Couverts kann das Vier-Augen-Prinzip sinnvoll sein.
7. Rundschreiben: Sind sehr viele Stammdaten fehlerhaft, ist das Anschreiben jeder einzelnen Person die einzige Möglichkeit, die Fehler zu korrigieren.

Vorfall wegen fehlerhaftem Update
Bei einem öffentlichen Organ führte ein fehlerhaftes Update einer Smartphone-App zu unberechtigten Zugriffen. Einige Personen konnten die Personendaten anderer Personen einsehen. Das Organ handelte schnell, nahm die App innert 2,5 Stunden offline und entfernte die neue Programmbibliothek, die den Vorfall verursachte. In Zukunft werden Anpassungen an zentralen Verarbeitungsfunktionen besser kontrolliert, getestet und einem strengeren Review-Prozess unterzogen. Zudem soll der Support bei Software-Änderungen verstärkt und besser erreichbar gemacht werden.