Der Zürcher Kantonsrat hat das Datenleck in der Justizdirektion an seiner Sitzung vom 26. Januar ein letztes Mal ausführlich diskutiert. Die Bürgerlichen teilten gegen Regierungsrätin Jacqueline Fehr (SP) aus. Die Linken stellten die Kosten der Aufarbeitung in Frage.

Eigentlich konnte der Kantonsrat den Bericht der Parlamentarischen Untersuchungskommission (PUK) Datensicherheit nur zur Kenntnis nehmen. Dieser wurde im vergangenen Dezember veröffentlicht. Doch offensichtlich bestand noch Redebedarf. Mehrere Stunden diskutierte der Rat über das Thema.

PUK-Präsident Benno Scherrer (GLP) prägte den Begriff des "Silodenkens". Andere sprachen von "sieben Königreichen" im Regierungsrat. Gemeint war in beiden Fällen eine fehlende Zusammenarbeit. Die Regierungsrätinnen und Regierungsräte hätten zu sehr auf ihre eigenen Direktionen geschaut, sagte Scherrer. Nötig sei aber eine gemeinsame Strategie bei der Datensicherheit.

Manuel Sahli (AL) fragte, ob die PUK nicht hinausgeschmissenes Geld war. Rund 570'000 Franken kostete sie laut Scherrer. Für die "allgemeinen Erkenntnisse" hätte es die PUK laut Sahli nicht gebraucht. Thomas Forrer (Grüne) sprach von "Wahlkampfgetöse", mit dem die SVP 2022 die PUK gefordert habe. Davide Loss (SP) ergänzte, dass sich die SVP eine "PUK Fehr" erhofft habe. Herausgekommen sei aber ein solides Grundlagenwerk zur Datensicherheit.

Wer einer Direktion vorstehe, trage die Verantwortung, meinte René Isler (SVP). Auch wenn die Justizdirektorin an den Vorfällen, die vor ihrer Amtszeit stattfanden, keine Schuld trage. Corinne Hoss (FDP) warf Jacqueline Fehr eine "Vogel-Strauss-Politik" vor. Sie habe zu Beginn versucht, das Datenleck unter den Teppich zu kehren.

Einig waren sich die Ratsmitglieder, dass die Kommunikation der Justizdirektorin nicht ideal war. Fehr habe dies aber erkannt und sich entschuldigt, sagte Loss. Claudio Zihlmann (FDP) blieb dabei, dass Fehr schlecht kommuniziert habe. "Inakzeptabel" sei, dass sie das Ergebnis der internen Administrativuntersuchung der zuständigen Kommission nicht überwiesen habe.

Die PUK untersuchte während rund zweieinhalb Jahren die Zürcher Datenleck-Affäre, die im Dezember 2022 bekannt wurde. Im Zentrum stand dabei die unsachgemässe Entsorgung von Datenträgern der Justizdirektion in den Jahren 2002 bis 2014. Auf den Festplatten und USB-Sticks waren teils sensible Informationen, die in der Folge an verschiedene Personen im Zürcher Drogen- und Sexmilieu gelangten.

Der Untersuchungsbericht ist 219 Seiten dick, wurde an 50 Sitzungstagen erarbeitet und zeigt vor allem eines: Im Zürcher Regierungsrat interessierte sich bis vor wenigen Jahren niemand für die IT-Sicherheit. Hauptsache die Informatik funktionierte im Alltag passabel. Die Entsorgung von alten Computern, Festplatten und USB-Sticks war erst recht nicht auf dem Radar.

Gemäss PUK-Bericht schaute jeder nur für sich. Die mangelnde Zusammenarbeit im Regierungsrat sei bis heute ein grundlegendes Problem, sagte Präsident Benno Scherrer bei der Präsentation im Dezember.

Kritik äusserte die PUK insbesondere an Justizdirektorin Jacqueline Fehr, die an einer Regierungssitzung beiläufig "ein mögliches Problem" mit der Datensicherheit erwähnt habe. "Eine gründliche Information an den Gesamtregierungsrat blieb aus."

Die meisten Regierungsmitglieder sagten später aus, sie hätten erst von der unsachgemässen Entsorgung der Datenträger erfahren, als die Sache bereits öffentlich geworden sei.

Die PUK gab in ihrem Bericht 50 Empfehlungen ab. Unter anderem soll es eine unabhängige Instanz zur Informationssicherheitskontrolle geben. Bereits vorläufig unterstützt hat der Rat im November mit 135 Stimmen eine parlamentarische Initiative, welche die "Stärkung der IKT-Aufsicht durch den Kantonsrat" verlangt. Neu soll eine Digitalisierungskommission eingeführt werden.

Regierungspräsident Martin Neukom (Grüne) verwies in der Debatte auf eine "massiv verbesserte Sicherheit". Die "sieben Königreiche" hätten zumindest einen Friedensvertrag und gäben sich Mühe, zusammenzuarbeiten. Viele der PUK-Empfehlungen würden laut Neukom umgesetzt oder seien es schon. Aber: "Sie müssen sich bewusst sein, dass jede Forderung nach IT-Sicherheit ein Preisschild hat."