Datenabfluss bei Xplain: Auch SEM betroffen

Ende Mai 2023 wurde bekannt, dass die Schweizer Firma Xplain, eine Anbieterin von Behörden-Software, Opfer eines Ransomware-Angriffs geworden ist. Bei einem Ransomware-Angriff werden Dateien des Opfers verschlüsselt und somit unbrauchbar gemacht, damit Lösegeld erpresst werden kann. Dabei hat die unter dem Namen «Play» auftretende Hackergruppierung grosse Datenmengen gestohlen. Darunter befinden sich auch operative Daten der Bundesverwaltung, welche durch den laufenden Betrieb der Informationssysteme der Bundesverwaltung entstehen.
Da Xplain in Absprache mit den Strafverfolgungsbehörden und dem Nationalen Zentrum für Cybersicherheit (NCSC) keine Lösegeldzahlung an die Hacker geleistet hatte, veröffentlichten diese am 14. Juni 2023 das entwendete Datenpaket im Darknet.

Seit Bekanntwerden dieses Datenabflusses hat das NCSC in enger Zusammenarbeit mit den betroffenen Behörden eine Organisation zur Bewältigung des Vorfalls etabliert. Es laufen intensive Arbeiten zur Auswertung und Analyse der gestohlenen Daten. Der Bund hat zudem Massnahmen eingeleitet, um das Sicherheitsrisiko für die Bundesverwaltung zu minimieren.

Nach wie vor gibt es keine Hinweise darauf, dass Bundessysteme direkt angegriffen wurden. Da operative Daten vom Angriff betroffen sind, haben verschiedene Stellen der Bundesverwaltung Strafanzeige erstattet oder prüfen diesen Schritt. Mit dem Vorgehen soll insbesondere geklärt werden, wie und warum Daten aus der Bundesverwaltung auf das System der Firma Xplain gelangen konnten.

SEM informiert Personen, von welchen besonders schützenswerte Daten veröffentlicht wurden

Vom Datenabfluss bei Xplain sind auch Personendaten betroffen, für deren Bearbeitung das Staatssekretariat für Migration (SEM) sowie die kantonalen Migrationsbehörden zuständig sind. Gemäss aktuellem Stand der Analysen handelt es sich um Daten aus den Bereichen Einreise, Aufenthalt und Arbeitsmarkt sowie Fernhaltemassnahmen.

Personen, von welchen besonders schützenswerte Daten veröffentlicht wurden, werden vom SEM mit einem persönlichen Schreiben direkt informiert. Dieser Prozess wird ungefähr Ende Oktober 2023 abgeschlossen sein.

Das SEM hat den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet. Die vorliegenden Informationen zu diesem Vorfall werden nach dem jeweiligen Stand der Kenntnisse laufend ergänzt.