Beim Datenleak aus dem Xplain-Hack waren auch "sicherheitsrelevante und personenbezogene Daten, insbesondere aus dem Bereich der inneren Sicherheit" betroffen. Das schreibt das Bundesamt für Cybersicherheit (Bacs) einleitend in seinem Bericht zur Analyse der Daten (PDF). Bei der Datenanalyse haben zu Beginn neun Mitarbeitende aus dem NCSC mitgewirkt, ausserdem wurden 27 freiwillige Mitarbeitende aus zehn verschiedenen Bundesämtern beigezogen. Die 36 Reviewer haben für die Analyse rund 1000 Arbeitsstunden aufgewendet.

Dabei kam das Bacs zum Schluss, dass das geleakte Paket ein Datenvolumen von rund 1,3 Millionen Objekten umfasste. Nachdem Duplikate und System- sowie Backupdateien von der weiteren Analyse ausgeschlossen wurden, habe das Bacs begonnen "die Gesamtmenge der für die Bundesverwaltung relevanten Daten zu identifizieren". 5% der Gesamtmenge, oder 64'793 Objekte mussten dem Bericht zufolge manuell geprüft und visioniert werden werden.

Mithilfe der E-Discovery-Lösung der Eidgenössischen Steuerverwaltung (ESTV) habe die Behörde die Datenbestände "effizient und strukturiert aufbereitet, manuell gesichtet und kategorisiert". Dabei sei die Zuteilung in jedem zehnten Fall nicht eindeutig gewesen, weshalb die Dokumente von einer zweiten Person beurteilt wurden, heisst es im Bericht.

Bei der vertieften Analyse hat das Bacs die Dateneigentümer identifiziert. Fast drei Viertel der geprüften Objekte (47'413) gehören demnach Xplain selbst. Nur 9040 oder knapp 14% gehören der Bundesverwaltung und knapp 10% (6200) den Kantonen. Das widerspricht etwas der Darstellung von Xplain-CEO Andreas Löwinger, der im Interview sagte, das Hauptthema sei "die Art und Weise, wie die Kundendaten zu uns gelangt sind".

Im Bericht sind die 9040 Objekte der Bundesverwaltung weiter aufgeschlüsselt. Fast alle (95%) werden dem Justizdepartement und konkret den Bundesämtern für Justiz, Polizei, Migration sowie dem ISC-EJPD zugeordnet. Weitere 306 Objekte gehören der Militärpolizei und dem Nachrichtendienst, allen anderen betroffenen Bundesstellen hat das Bacs weniger als 100 Objekte zugeordnet.

Dieselben Objekte hat das Bacs auch nach Datenkategorie klassifiziert. Dabei handelt es sich zu 92% um Personendaten, zu 5,3% um technische und zu 2,3% um klassifizierte Informationen. Ebenfalls verloren gingen vier Passwörter. Insgesamt waren 5182 von total 9040 geleakten Daten der Bundesvrwaltung also sensitiv.

Weiter stellt das Bundesamt im Bericht eine Diskrepanz zwischen der Behauptung der Ransomware-Gruppe Play, sie habe 907 Gigabyte an Daten entwendet, und der tatsächlichen Veröffentlichung von rund 400 Gigabyte fest. Diese "konnte nicht erklärt werden und gab Sorge zum Anlass, dass weitere Veröffentlichungen möglich sind oder die Kriminellen Teile des Datensatzes anderweitig weitergegeben haben", heisst es.

Auch diese Differenz sei analysiert worden. "Dazu nötig war ein systematischer Vergleich der bei der Firma Xplain zum Zeitpunkt des Angriffs abgelegten Datenbestände mit den veröffentlichten Daten." Xplain habe den betroffenen Kunden aus der Bundesverwaltung die strukturiert abgelegten Datenbestände aus dem Backup übermittelt, so das Bacs. Je nach Behörde wurden unterschiedlich viele Daten veröffentlicht. Das Bacs bilanziert, dass die Mehrheit der bei Xplain vorhandenen Datenbestände nicht veröffentlicht worden sei und es sei "keine Systematik erkennbar, nach welcher einzelne Datenbestände zurückbehalten und nicht veröffentlicht wurden". Es sei wahrscheinlich, dass die Auswahl der veröffentlichten Daten aus technischen Gründen oder limitierter Ressourcen seitens der Täter erfolgte.

Der Bericht des Bacs nimmt keine inhaltliche Bewertung der Daten vor. Er untersuche "auch nicht, weshalb welche Daten abfliessen konnten". Diese Frage werde im Rahmen der laufenden Administrativuntersuchung geklärt. Diese wird von der Genfer Kanzlei Oberson Abels durchgeführt – die Ergebnisse sollen Ende März vorliegen.

In einer Stellungnahme schreibt Xplain, dass man die Veröffentlichung der umfangreichen Analyse durch das Bundesamt für Cybersicherheit begrüsse. "Parallel zu den Abklärungen der Behörden hat das Unternehmen die Daten selbst analysiert und die Erkenntnisse koordiniert in die Untersuchungen des damaligen Nationalen Zentrums für Cybersicherheit (NCSC) eingebracht", heisst es vom Interlakner IT-Dienstleister.