Die Videokameras, mit denen die Schweizer Armee ihre Gebäude und Anlagen überwacht, sind teilweise ungenügend gegen Hackerangriffe geschützt und nicht auf dem neuesten technischen Stand. Zudem werden Vorschriften des Datenschutzes nicht eingehalten. Zu diesem Schluss kommt ein interner Untersuchungsbericht des Verteidigungsdepartements (VBS).
Die IT-Sicherheitsdokumente liegen mehrheitlich nicht oder nur in ungenügend dokumentiertem Umfang vor.
Installiert sind die Kameras unter anderem bei Eingängen zu militärischen Anlagen, Waffenplätzen, Logistikzentren oder Verwaltungsgebäuden der Schweizer Armee. Wie viele solcher Kameras existieren, ist unklar. Es fehle eine gesamtheitliche Übersicht, stellt die interne Revision des VBS in einem Prüfbericht fest.
Viele Kameras älter als 10 Jahre
Der Bericht wurde im Auftrag von Verteidigungsministerin Viola Amherd erstellt. Mittels Stichproben überprüfte die interne Revision deshalb, ob die Videoüberwachungssysteme genügend vor Hackerangriffen geschützt seien. Sie kommt zum beunruhigenden Schluss, dass die Armee die IT-Sicherheit vernachlässige.
«Die IT-Sicherheitsdokumente liegen mehrheitlich nicht oder nur in ungenügend dokumentiertem Umfang vor», heisst es im Bericht. Die technischen Vorgaben, die das Bundesamt für Rüstung Armasuisse eigentlich vor vier Jahren definiert hat, würden an den meisten Standorten «nicht vollumfänglich erfüllt», kritisiert die Revision.
Die Überwachungsmittel werden nicht an allen Standorten regelmässig auf öffentlich bekannte Schwachstellen hin überprüft.
Das sei unter anderem darauf zurückzuführen, dass die meisten der eingesetzten Videokameras seit mehr als zehn Jahren in Betrieb seien: «Die eingesetzten Überwachungsmittel werden nicht an allen Standorten regelmässig auf öffentlich bekannte Schwachstellen hin überprüft und mittels Software-Updates aktualisiert.»
Datensicherheit wirft Fragen auf
Auch beim Datenschutz liegt einiges im Argen. Wie mit dem sensiblen Bildmaterial umgegangen wird, sei bei vielen militärischen Standorten und Verwaltungsgebäuden nicht abschliessend geklärt, so der Bericht. Zum Beispiel sei unklar, wie lange das Material aufbewahrt werden muss oder wer es bearbeiten darf.
Zwar existiere ein Musterreglement für die Videoüberwachung bei der Gruppe Verteidigung. Aber: «Ein allgemein formuliertes Reglement für die Videoüberwachung ist aus datenschutz- und informationsschutzrechtlicher Sicht nicht ausreichend.»
Die interne Revision des VBS empfiehlt deshalb, für jeden einzelnen Standort die Verantwortlichkeiten im Bereich Datenschutz zu klären, dafür zu sorgen, dass die minimalen Anforderungen an die IT-Sicherheit eingehalten werden und dass ein Inventar aller Videoüberwachungsanlagen erstellt wird.
