Das Bundesamt für Polizei (Fedpol), das Bundesamt für Zoll und Grenz­sicher­heit (BAZG) sowie der IT-Dienstleister Xplain haben die Daten­schutz­empfehlungen zum Cyberangriff akzeptiert. Dies teilte der Datenschutz- und Öffentlichkeitsbeauftragte (Edöb) mit.

Unter anderem müssen Bundesorgane bei der Zusammenarbeit mit privaten Unternehmen prüfen, ob es erforderlich ist, dass Personendaten die geschützte Infrastruktur der Bundesverwaltung verlassen oder dass Private Zugang zu dieser Infrastruktur erlangen, schrieb der Edöb.

Die Bundesverwaltung und deren private Auftragsbearbeiter seien angehalten, ihre Zusammenarbeit in Bezug auf die gewonnenen Erkenntnisse zu überprüfen. Die Aufarbeitung des Ransomware-Vorfalls bei Xplain habe die hohen Risiken und Schadenspotenziale von solchen Datenübertragungen aufgezeigt, hiess es weiter.

Der Edöb hatte die Untersuchung gegen das Fedpol und das BAZG im Juni 2023 eröffnet und vier Wochen später auf Xplain ausgeweitet. In den Anfang Mai publizierten Ergebnissen kam der Datenschützer zum Schluss, dass sowohl der Bund als auch die Berner IT-Firma Fehler begangen haben.

Zum Beispiel hätten die Bundesstellen ausdrücklich festhalten müssen, in welchem Umfang Personendaten an die Interlakner Firma übermittelt und dort gespeichert werden dürfen. Ohne diese genauen Anforderungen sei letztlich "eine Sammlung von unstrukturierten Daten" entstanden. Die Menge der an Xplain übermittelten Personendaten hält der Edöb zudem für unverhältnismässig.

Unter dem Strich dürfte es nicht erstaunen, dass die beiden Bundesämter und Xplain die Empfehlungen des Edöb akzeptieren. Sein Bericht fiel angesichts des Ausmasses des Cyberangriffs harmlos aus. Wenn sich beide Seiten bereits an heutige gültige Standards gehalten hätten, wäre wohl weit weniger passiert.