Heikle Personendaten nach Hackerangriff im Darknet

Die Anzahl an Cyberangriffen nimmt zu. Seit Anfang Jahr seien schon über 13.000 Hacker-Angriffe gemeldet worden, so das Nationale Zentrum für Cybersicherheit (NCSC) des Schweizer Bundes. Betroffene waren die NZZ, CH Media, SBB und verschiedene Technologiekonzerne. Nun sind auch Daten vom Schweizer Bund in der Nacht auf den 14. Juni vollständig im Darknet veröffentlicht worden. Recherchen zeigen, dass darunter auch heikle Informationen zu finden sind, wie Personen- und Mitarbeiter-Daten. Der Bund sieht nun Handlungsbedarf.

Was ist genau passiert?

Xplain ist ein Schweizer Software-Entwicklungsunternehmen mit Sitz in Interlaken, das auch Programme für Behörden zur Verfügung stellt. Darunter auch für den Bund und andere staatliche Organisationen wie die Polizei. Bereits am 8. Juni 2023 gab das NCSC bekannt, dass die Bundesverwaltung von einem Ransomware-Angriff auf das IT-Unternehmen betroffen sei.

Nach einer fehlgeschlagenen Erpressung stellten die Hacker das gesamte Datenpaket von über 900 Gigabyte am 14. Juni öffentlich ins Darknet. Der NCSC teilte in einer neuen Mitteilung mit, dass sich unter diesem sogenannten "Full Dump" operative Daten der Bundesverwaltung befinden.

Das sind die gestohlenen Daten

"20 Minuten" konnte die gesamte Datenstruktur dank einer anonymen Quelle einsehen, dazu gehören Bezeichnungen von Ordnern, Dateien oder Programmen, die im Darknet veröffentlicht wurden. Darunter finden sich Offerten, Kundendaten, Mail-Korrespondenzen, Projekte, Namen und Ordner von Mitarbeitenden. Auch Kantone wie der Aargau sowie das Bundesamt für Polizei (Fedpol) sind laut Datensatz betroffen.

Dabei sind polizeiliche Daten wie Personendaten, Polizeiüberfälle und Ermittlungen ebenfalls ersichtlich. Wie umfänglich diese Daten sind, ist bisher nicht bekannt. Fedpol meint auf Anfrage von "20 Minuten": "Um einem allfälligen Strafverfahren nicht vorzugreifen, machen wir keine Angaben zur Art der operativen Daten." Im Daten-Dump finden sich auch kuriose Ordner und Files mit Bezeichnungen rund um Tesla, Elon Musk und den Cybertruck.

Neben diesen heiklen Daten findet man auch Dateien und Ordner mit Bezeichnungen rund um:

Elon Musk, Tesla und Cybertruck
Migration
Immobilien
Lieferscheine
Kaufmännische Berufsmaturität
Terminbestätigungen/E-Mail-Verläufe
Betriebshandbücher
Fehlermeldungen von IT-Systemen
Personalverordnungen

"Wenn sich Organisationen oder Personen Zeit nehmen, den ganzen Daten-Dump im Darknet auseinanderzunehmen, wird man voraussichtlich durchaus Kritisches finden", so IT-Sicherheitsexperte Marc Ruef, "besonders Kriminelle werden sich in den nächsten Wochen intensiv damit beschäftigen." Auch für Konkurrenten, Mitbewerbende oder andere Instanzen sei der ganze Datensatz aus Eigeninteresse sicher spannend, da viele Offerten und Projekte aufgelistet seien, so der IT-Fachmann.

So geht es jetzt weiter

Um das ganze Ausmaß und die Auswirkung zu identifizieren, könnte es noch länger dauern und wird derzeit vom NCSC noch abgeklärt. "Wir wollen abklären, unter welchen Umständen operative Daten auf das System der Firma Xplain gelangen konnten", heißt es seitens Fedpol und vom Bund. Strafanzeige wurde erstellt, nach aktuellem Wissensstand steckt die Hackergruppe "Play" hinter dem Vorfall.

Erste Maßnahmen wurden laut dem NCSC bereits getroffen, um das Sicherheitsrisiko zu minimieren und entsprechende Stellen zu informieren. Je mehr Zeit vergeht, umso heikler wohl die gefundenen Daten, denn bis alle Datensätze heruntergeladen und analysiert werden können, kann es laut Marc Ruef noch Wochen oder Monate dauern.