Im Sommer war es Xplain, vergangene Woche Concevis: Die Systeme dieser beiden IT-Dienstleister des Bunds wurden gehackt und Daten gestohlen.

Verantwortlich dafür sind natürlich einerseits die Anbieter selbst, andererseits aber auch der Auftraggeber – in diesem Fall die Bundesverwaltung. Diese kann die Dienstleister auditieren, denen sie die Daten von Bürgerinnen, Bürgern und Unternehmen anvertraut. Oder vielmehr: Sollte sie auditieren.

Denn wie schon im Fall von Xplain ist das auch bei Concevis nie geschehen, wie die 'NZZ' (Paywall) schreibt. "Der Bund hat bisher bei der Firma Concevis keine Sicherheitsprüfungen oder Audits vorgenommen", sagte das Nationale Zentrum für Cybersicherheit (NCSC) gegenüber der Zeitung. Dafür zuständig gewesen wären die Behörden, welche Software von Concevis einsetzen. In diesem Fall das Bundesamt für Statistik oder die Eidgenössische Steuerverwaltung, so die 'NZZ'.

Laut dem Bericht nutzten die Cyberkriminellen für den Angriff auf Concevis die Ransomware Phobos. Wer hinter dem Angriff steckt, ist allerdings nach wie vor unklar. Einerseits macht dazu weder das NCSC konkrete Angaben, andererseits hat sich bis dato auch noch keine aktive Gruppe zum Angriff bekannt.

Nach Bekanntwerden des Angriffs auf Concevis hat der Eidgenössische Datenschutzbeauftragte eine Vorabklärung eingeleitet. Es lägen erste Hinweise zu einem möglichen Verstoss gegen Datenschutzvorschriften vor, hiess es damals.

Der Angriff auf Xplain wird mittlerweile von der Bundespolizei (Fedpol) und der Bundesanwaltschaft untersucht. Der Fall Concevis liegt nach wie vor auf dem Tisch der Staatsanwaltschaft Basel-Stadt.

Offen bleibt, ob sowohl der Bund wie auch die über 1000 IT-Dienstleister, die diesen zur Kundschaft zählen, aus dem nunmehr zweiten Angriff ihre Lehren ziehen – oder ob es bald zum nächsten Datendiebstahl kommt. Es ist zu befürchten.