Rechnungshof-Alarm! Sicherheitsrisiken in Ministerien

In einem aktuellen Bericht nimmt der österreichische Rechnungshof drei Ministerien unter die Lupe. Die Prüfer kritisieren laut "Standard" vor allem unvollständige und veraltete Strategien zur IT-Sicherheit und Sicherheitslücken, die durch die Umbildung der Ministerien entstanden seien.

In der Rechnungshof-Untersuchung wurden die Ministerien für Finanzen, Klimaschutz und Landwirtschaft analysiert. Die Sicherheitslücken kämen vor allem daher, dass sich die Kompetenzen der Bundesministerien mehrmals verschoben haben.

Umbildung der Ministerien dauert bis zu ein Jahr

Durch die Umbildung der Ministerien hätten auch die Bediensteten sowie deren IT-Arbeitsplätze mehrfach Veränderungen erfahren. Diese Migrationsprozesse dauerten bei den drei überprüften Stellen bis zu einem Jahr. Dieser Zeitraum sei "kritisch für die durchgängige Gewährleistung der IT-Sicherheit".

"Die öffentliche Verwaltung war in den vergangenen Jahren vermehrt von IT-Sicherheitsvorfällen betroffen", heißt es in dem Rechnungshofbericht. Allein im ersten Quartal 2023 kam es zu mehr als 50 Sicherheitsvorfällen im Cyber-Bereich, fünf davon waren schwerwiegend. Auch die drei Ministerien waren im überprüften Zeitraum von IT-Sicherheitsvorfällen betroffen.

Der Bericht liest sich wie die Einführung im Informatikunterricht: Die Prüferinnen und Prüfer empfehlen etwa eine Überarbeitung der IT-Sicherheitsstrategien, klare Zuständigkeiten in den IT-Abteilungen, mehr Awareness-Schulungen für das Personal und teils umfangreichere IT-Sicherheitsprüfungen.

So fiel das Urteil für die einzelnen Ministerien aus: Im Finanzministerium von Magnus Brunner erkennt der Rechnungshof an, dass das Finanzministerium durch Zertifizierungen und zahlreiche Sicherheitsüberprüfungen Sicherheitsrisiken in einem hohen Ausmaß aufdecken, analysieren und reduzieren konnte.

Kritik gibt es vor allem an den beiden anderen Ressorts. Dem Landwirtschaftsministerium von Nobert Totschnig und dem von Leonore Gewessler geführten Klimaschutzministerium empfiehlt der Rechnungshof daher, den Bedarf an IT-Sicherheitsüberprüfungen mittels umfassender Risikoanalyse zu erheben sowie die notwendigen IT-Sicherheitsüberprüfungen durchzuführen.