Der Nachrichtendienst des Bundes (NDB) habe zwar nicht vorsätzlich gegen Bestimmungen des Nachrichtendienstgesetzes (NDG) verstossen, aber die Rechtslage in diesem Zusammenhang verkannt. Zu diesem Schluss kommt das Verteidigungsdepartement in einer Administrativuntersuchung. Die Unter­suchung des ehemaligen Bundesrichters Niklaus Oberholzer zeigt, dass der Bereich Cyber des Geheimdienstes die fernmelderechtliche Dimension der Datenbeschaffung und -bearbeitung nicht erkannt hat, wie es in Bern an einer Medienkonferenz zum Bericht hiess.

Es seien weder richterliche Genehmigungen noch die politische Freigabe vorhanden gewesen. So sei es zur unrechtmässigen Datenbeschaffung gekommen, sagte Oberholzer gegenüber 'Keystone-SDA'. Der Druck sei gross, einen Verantwortlichen für das Fehlverhalten zu finden. Man habe einerseits den "technisch versierten, erfolgreichen und innovativen" Chef des Cyber NDB. Dieser habe den "Laden" quasi weitgehend selbst aufgebaut. Auf der anderen Seite seien die Vorgesetzten und die Geschäftsleitung gewesen, die zu wenig hingeschaut hätten. In dieser Mischung sei das Fehlverhalten möglich geworden, sagte Oberholzer weiter.

Die Mitarbeitenden seien davon ausgegangen, dass der NDB berechtigt sei, von jeder Person Meldungen entgegenzunehmen, solange die Auskunft freiwillig erfolge, was jedoch nicht der Fall sei. Insgesamt seien die Erwar­tungen an das Ressort Cyber hoch. Deshalb sei das Vorgehen zwar nicht gerechtfertigt, aber durchaus nachvollziehbar. Zudem hätten auch interne Kontroll- und Aufsichtsmassnahmen versagt, steht im Bericht.

Der geheime Schlussbericht enthält verschiedene Vorschläge für das weitere Vorgehen. Viola Amherd, Vorsteherin des Eidgenössischen Departements für Verteidigung, Bevölkerungsschutz und Sport (VBS), habe den NDB ange­wiesen, diese Empfehlungen zu prüfen und umzusetzen. Die Vorgaben betreffen die Anpassung der operationellen Mittel im Bereich Cyber und sollen zudem in die Revision des Nachrichtendienstgesetzes einfliessen. Um die im Bericht aufgezeigten Führungsprobleme zu beheben, sollen in den nächsten Monaten weitere konkrete Massnahmen ergriffen werden.

Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) hatte im Zusammenhang mit Informationsbeschaffungen des NDB im Bereich Cyber Anfang 2022 eine unabhängige Administrativuntersuchung in Auftrag gegeben. Gegenstand der Überprüfung waren Informations­be­schaffungen des NDB von 2015 bis 2020, für die keine Genehmigungen vorlagen.

Laut dem Bericht ist es unbestritten, dass die Arbeit des Geheimdienstes in den besagten Jahren sehr erfolgreich gewesen ist. Zahlreiche Cyberangriffe auf Computersysteme seien in diesem Zeitraum abgewehrt worden. Der Erfolg beruhte aber unter anderem auch auf unrechtmässigen Beschaffungs­methoden, wie es weiter heisst.

Bei der Informationsbeschaffung zu möglichen Cyberangriffen wurden so auch Informationen beschafft, die dem Fernmeldegeheimnis unterstehen. Solche Massnahmen sind gemäss dem Nachrichtendienstgesetz bewilligungspflichtig und nur mit einer Genehmigung des Bundesverwaltungsgerichts zulässig.

Zudem sei auch der Netzwerkverkehr auf Servern aufgezeichnet worden, die von Cyberkriminellen benutzt werden – ebenfalls ohne gerichtliche Genehmigung. Betroffen gewesen sind gemäss Mitteilung ausländische Angreifer, die Cyberangriffe gegen die Schweiz beziehungsweise gegen Schweizer Interessen verübt haben, oder die von der Schweiz aus ausländische Einrichtungen angegriffen haben.

Der NDB hatte bereits im Frühjahr 2021 festgestellt, dass gewisse Genehmigungen vom Bundesverwaltungsgericht fehlten. Die Beschaffung von Informationen zu diesen Cyberangriffen sei daraufhin gestoppt und erste vertiefte Abklärungen in Auftrag gegeben worden.

Das VBS klassiert den Schlussbericht als geheim, da er unter anderem Informationen aus geheim klassifizierten Quellen enthält, wie es weiter hiess.

Er beschreibt die spezifischen Informationsbedürfnisse sowie die konkreten Informationsbeschaffungs- und -bearbeitungsmethoden des NDB bei der Abwehr von international koordinierten Cyberangriffen. Deshalb werde nur eine Zusammenfassung (PDF) der wesentlichen Erkenntnisse sowie ein Auszug aus den Empfehlungen und der rechtlichen Beurteilung (PDF) veröffentlicht werden.

Das VBS habe den Schlussbericht der parlamentarischen Oberaufsicht, der Geschäftsprüfungsdelegation der eidgenössischen Räte (GPDel) und der Aufsichtsbehörde (AB-ND) zugestellt und sie über die Umsetzung der Empfehlungen informiert.