Bericht der Finanzkontrolle - Immer noch IT-Sicherheitsmängel bei Ruag

Die sensiblen Ruag-Daten seien sicher, sagt die Finanzkontrolle. Es gibt aber noch Mängel, die jetzt geprüft werden.

Die Eidgenössische Finanzkontrolle (EFK) sagt in ihrem neusten Bericht, das Schweizer Rüstungsunternehmen Ruag habe die Informatiksicherheit seit der Aufspaltung ins nationale und globale Geschäft durchaus im Griff. Die «Rundschau» jedoch gelangte kürzlich zu anderen Erkenntnissen.

Von der Teilprivatisierung zu Hackerangriffen

Der Schweizer Rüstungskonzern Ruag wurde gehackt, ohne es zu bemerken. Ausgerechnet beim Sicherheitsunternehmen mit enormem Know-How waren Computer-Cracks in der Lage, E-Mails und Dateien frei einzusehen. Das zeigten Recherchen der «Rundschau».

Diese Befunde schockierten IT-Expertinnen und -Experten ebenso wie Sicherheitspolitikerinnen und -politiker. Letztere sagen jetzt: Der geplante Teilverkauf der Ruag darf auf diese Weise nicht durchgezogen werden. Das Risiko für die Schweiz sei viel zu gross.

Der Bundesrat hatte die Ruag entflechtet und einen Teil privatisiert. Die Beteiligungsgesellschaft besteht nun aus zwei Subholdings: MRO Schweiz und Ruag International.

Unter die Lupe nahm die EFK den schweizerischen Teil der Ruag. Das umfasst Daten, die die in die Armee überführt wurden. Nun sagt der EFK-Direktor Michel Huissoud: «Wir konnten sehen, dass die Ziele erreicht worden sind. Die sensiblen Applikationen der Schweizer Armee, die von Hackern angegriffen wurden, sind jetzt ausgeschaltet.»

Die von Hackern angegriffenen sensiblen Armee-Applikationen sind jetzt ausgeschaltet.

Michel Huissoud Direktor der Eidgenössischen Finanzkontrolle

Damit seien sie in Sicherheit, so Huissoud weiter. Trotz dieses positiven Befundes der Finanzkontrolle gibt es zur IT-Sicherheit im Zusammenhang mit der Entflechtung der Ruag weiterhin offene Baustellen.

Noch nicht ganz alles gelöscht

Die noch vorhandenen Archive und Backups der militärischen und sicherheitsrelevanten Daten bei der Ruag International sollen bis Ende Jahr gelöscht werden.

Dazu schreibt die Finanzkontrolle: «Es kann nicht ausgeschlossen werden, dass vereinzelte militärische oder vertrauliche Daten nicht gefunden und somit auch nicht bereinigt werden.» Offenbar ist das ein Risiko, denn weitere Passagen dazu sind im Bericht geschwärzt.

Ist das Leck dann geschlossen?

Wie die «Rundschau» berichtete, gab es einen weiteren Hackerangriff bei der Ruag. Zudem bestätigte der Chef von RuagI nternational, André Wall, letzte Woche gegenüber der «Neuen Zürcher Zeitung», dass es weitere Sicherheitsmängel gebe. Sie betreffen vor allem den internationalen Geschäftsstrang der Ruag.

Eine Prüfung von Ruag International ist vorgesehen. Die wird in der nächste Woche starten.

Michel Huissoud Direktor der Eidgenössischen Finanzkontrolle

Da gibt es weiteren Handlungsbedarf, findet auch die EFK. Direktor Huissoud kündigt an: «Eine Prüfung von Ruag International ist vorgesehen. Die wird in der nächsten Woche starten.» Die Resultate werden im Herbst erwartet. Laut Huissoud werden diese aber nicht öffentlich zugänglich sein.