Finanzkontrolle bemängelt IT-Sicherheit im Bundeshaus
Vertrauliche Protokolle, persönliche Email-Accounts und vom Bund den National- und Ständeräten zur Verfügung gestellte Daten sollten gegen Hacker speziell gut geschützt sein. Sind sie auch – zumindest theoretisch. Denn die Parlamentarier foutieren sich oft um die Sicherheitsvorgaben.
Das Wichtigste in Kürze
- Die IT-Sicherheit der Parlamentsdienste für die National- und Ständeräte erhält gute Noten – theoretisch.
- In der Praxis werden die angebotenen Massnahmen und Empfehlungen oft ignoriert.
- «Es besteht eine tiefe Akzeptanz für notwendige Sicherheitsvorkehrungen», heisst es in einem Prüfbericht.
Theoretisch wäre die Technik vorhanden, unsere Parlamentarier so gut wie möglich vor Cybercrime zu schützen. Die Eidgenössische Finanzkontrolle EFK hat bei der Prüfung der IT-Sicherheit aber festgestellt: Ein Drittel des Parlaments verzichtet vollständig auf das Angebot, beim Rest kann fahrlässiges Verhalten zumindest nicht ausgeschlossen werden.
Wider besseren Wissens auf Sicherheit verzichtet
«Es besteht eine tiefe Akzeptanz der Benutzer für notwendige Sicherheitsvorkehrungen», hält die EFK fest. Lies: Auch wenn es die Parlamentsdienste den National- und Ständeräten vor jeder Session eintrichtern – also vier Mal im Jahr –, die Instruktionen sind schnell wieder vergessen oder verdrängt.
Zwar können Parlamentarier ihre Laptops «härten» lassen, so dass diese mit regelmässigen Updates sicherheitsmässig auf einer für nationale Politiker angemessenen Stufe sind. Aber: Nur 165 von 246 Parlamentarier haben solch harte Laptops im Einsatz.
Sicherheitslücken wo man hinsieht
Viele benutzen auch private Email-Adressen, statt denjenigen auf dem geschützten Server bei parl.ch. Obwohl das Merkblatt der IT-PD klar festhält: Private sind «grundsätzlich unsicher». Und: Auch die 165 folgsamen Politiker könnten nebenher noch andere Geräte benutzen. Zum Beispiel Handys oder Tablets. Auch diese könnten von der IT der Parlamentsdienste (IT-PD) gehärtet werden – wenn die Parlamentarier dies wünschen. Tun sie aber selten.
Hier liege die Schwierigkeit, sagt der Vizedirektor der EFK, Eric-Serge Jeannet, gegenüber Nau: «Bei den unterschiedlichen Bedürfnissen und Gewohnheiten der Parlamentarier, sowie bei der fehlenden Weisungsbefugnis der Parlamentsdienste.»
Vergebliche Schulungen
Oder weniger diplomatisch ausgedrückt: Viele der Damen und Herren Politiker wollen sich nicht umgewöhnen, und befehlen kann man es ihnen nicht. Die EFK bemängelt zwar auch, dass keine Schutzbedarfsanalyse, keine Risikobeurteilung und kein gesamtheitliches und detailliertes Informationssicherheits- und Datenschutzkonzept vorliege.
Ein solches könnten National- und Ständerat aber selbst mit Mehrheitsbeschluss fordern. Wohl auch deshalb kommt EFK-Vizedirektor Eric-Serge Jeannet zur wiederum diplomatisch formulierten Erkenntnis: «Obwohl die IT-PD regelmässig Schulungen und Sensibilisierungen durchführt, hängt es stark vom Willen der Ratsmitglieder ab.»
