Die Finanzkontrolle des Kantons Aargau hat im vergangenen Jahr ihre Informatikrevisionen intensiviert. "Noch nie haben wir so viele IT-bezogene Prüfungen durchgeführt", schreibt Karin Eugster, Leiterin der Finanzkontrolle, im Vorwort zum Jahresbericht 2024. Diese seien zeitintensiv und anspruchsvoll, "aber sie ermöglichen es uns, bedeutende Informatikrisiken frühzeitig zu erkennen und den geprüften Bereichen Verbesserungspotenziale aufzuzeigen".

Die fortschreitende Digitalisierung bringe neue Risiken für den Kanton Aargau mit sich, insbesondere die Bedrohung durch Cyberangriffe steige, heisst es im Bericht. Die Finanzkontrolle habe diese Herausforderungen im IT-Bereich analysiert und insgesamt neun IT-Prüfungen durchgeführt. "Es zeigte sich, dass in mehreren Applikationen ein umfassendes Business Continuity Management BCM-Konzept fehlt und keine regelmässigen Notfallübungen stattfinden. Dies birgt das Risiko, dass der Betrieb im Katastrophenfall nicht schnell wieder­her­ge­stellt werden kann."

Es gebe Mängel in der Verwaltung von IT-Zugriffsrechten und der Dokumentation von Änderungen wie der zentralen Ablage von Change Requests oder Testdokumentationen, kritisiert die Finanzkontrolle. Sie stellte zudem unzureichende Sicherheitsmassnahmen fest, wie unverschlüsselte Daten oder zu hohe Privilegien bei Systemzugriffen. In mehreren Fällen habe auch ein vollständiges Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) gefehlt, was zu Sicherheitsrisiken führen könne.

Unter anderem wurde die Applikation "Justthis" des Amts für Migration und Integration (MIKA) kontrolliert. Daten daraus waren im Zuge des Xplain-Hacks von der Ransomware-Bande Play entwendet und veröffentlicht worden.

"Die Beurteilung der IT General Controls (ITGC) für die Applikation Justthis MIKA ergab, dass zum Revisionszeitpunkt kein umfassendes technisches BCM-Konzept vorlag und keine Notfallübungen stattfanden", schreibt die Finanzkontrolle. Ebenfalls habe die Prüfung ergeben, dass nicht für alle vorgenommenen Änderungen an der Applikation ein detaillierter Nachweis der Testdokumentation einsehbar war.

Verbesserungspotenzial sieht die Finanzkontrolle auch bei der Passrech-Applikation, die im Ausweiszentrum für das Inkasso der Gebühren verwendet wird. Hier fehlte die gesetzlich vorgeschriebene Dokumentation der Informationssicherheit. "Dies wäre eine Schutzbedarfsanalyse, welche aufzeigt, ob ein detailliertes Informationssicherheits- und Datenschutz-Konzept oder allenfalls eine Datenschutz-Folgeabschätzung durchgeführt werden muss."

Zudem hätten Regelungen zur Vergabe von Zugriffsrechten der Passrech-Applikation und dem ISA-Client gefehlt. Weiter sei auf Verbesserungsbedarf bei der Administration und Speicherung von Passwörtern, Benutzerkonten und Personendaten hingewiesen worden. Auch sei für die Passrech-Applikation das Business Continuity Management nicht definiert und jährlichen Wiederherstellungstests würden nicht stattfinden.

Eine weitere Prüfung betraf die SAP-Module im Finanzdepartement. Nach einer Migration werden diese Systeme durch SAP seit 2023 als Cloud Service zur Verfügung gestellt. Im Bereich IT-Änderungsprozess werden hier die ungenügende Einschränkung verschiedener Zugriffe und die Administration und Speicherung der Passwörter bemängelt. "Die Prüfung der physischen Sicherheit der eingesetzten Rechenzentren und die Prüfung der Sicher­heits­dokumentation in Bezug auf das geänderte Betriebsmodell haben Handlungs­bedarf beim Nachweis der physischen Sicherheit aufgezeigt", so der Bericht. Weiter habe ein Desaster Recovery-Plan gefehlt, beim ISDS-Konzept bestehe Überarbeitungsbedarf und die Beschreibung der Wiederherstellung von Daten-Backups sei aufgrund des neuen Betriebsmodells unvollständig.

Bei der Informatik Aargau (ITAG) wurden Windows Clients und Windows Server begutachtet. Die ITAG habe wesentliche Massnahmen implementiert, urteilt die Finanzkontrolle. Bei den Clients seien aber ebenfalls Sicherheits­risiken identifiziert worden und es bestehe Verbesserungsbedarf bei der Grundinstallation von kritischer Software. Zu den Servern konstatiert sie: "Bemängelt wurde insbesondere die Konzentration von kritischem Fachwissen auf eine Person und die nicht definierte maximale Ausfalldauer für Windows Server."

Die Finanzkontrolle hat insgesamt 85 Empfehlungen in den Bericht­er­stattungen adressiert. "Die geprüften Stellen haben Massnahmen für ihren Verantwortungsbereich definiert. Ausserdem hat der Regierungsrat die Departemente beauftragt, die fehlenden ISDS-Konzepte bis Ende 2026 zu verfassen, wobei ein risikobasierter Ansatz in Bezug auf die Priorisierung zu wählen ist", hält der Bericht fest.