Firma Xplain gehackt– Personendaten vom Bund sind jetzt im Darknet

Die Anzahl an Cyberangriffen nimmt zu. Seit Anfang Jahr seien schon über 13’000 Hacker-Angriffe gemeldet worden, so das Nationale Zentrum für Cybersicherheit (NCSC) des Bundes. Betroffene waren die NZZ, CH Media, SBB und verschiedene Technologiekonzerne. Nun sind auch Daten vom Bund in der Nacht auf den 14. Juni vollständig im Darknet veröffentlicht worden. Recherchen zeigen, dass darunter auch heikle Informationen zu finden sind, wie Personen- und Mitarbeiter-Daten. Der Bund sieht nun Handlungsbedarf. 

Xplain ist ein Schweizer Software-Entwicklungsunternehmen mit Sitz in Interlaken, das auch Programme für Behörden zur Verfügung stellt. Darunter auch für den Bund und andere staatliche Organisationen wie die Polizei. Bereits am 8. Juni 2023 gab das NCSC bekannt, dass die Bundesverwaltung von einem Ransomware-Angriff auf das IT-Unternehmen betroffen sei.

Nach einer fehlgeschlagenen Erpressung stellten die Hacker das gesamte Datenpaket von über 900 Gigabyte am 14. Juni öffentlich ins Darknet. Der NCSC teilte in einer neuen Mitteilung mit, dass sich unter diesem sogenannten «Full Dump» operative Daten der Bundesverwaltung befinden. 

20 Minuten konnte die gesamte Datenstruktur dank einer anonymen Quelle einsehen, dazu gehören Bezeichnungen von Ordnern, Dateien oder Programmen, die im Darknet veröffentlicht wurden. Darunter finden sich Offerten, Kundendaten, Mail-Korrespondenzen, Projekte, Namen und Ordner von Mitarbeitenden. Auch Kantone wie der Aargau sowie das Bundesamt für Polizei (Fedpol) sind gemäss Datensatz betroffen. 

Dabei sind polizeiliche Daten wie Personendaten, Polizeiüberfälle und Ermittlungen ebenfalls ersichtlich. Wie umfänglich diese Daten sind, ist bisher nicht bekannt. Fedpol meint auf Anfrage von 20 Minuten: «Um einem allfälligen Strafverfahren nicht vorzugreifen, machen wir keine Angaben zur Art der operativen Daten.» 

Neben diesen heiklen Daten findet man auch Dateien und Ordner mit Bezeichnungen rund um:

«Wenn sich Organisationen oder Personen Zeit nehmen, den ganzen Daten-Dump im Darknet auseinanderzunehmen, wird man voraussichtlich durchaus Kritisches finden», so IT-Sicherheitsexperte Marc Ruef, «besonders Kriminelle werden sich in den nächsten Wochen intensiv damit beschäftigen.» Auch für Konkurrenten, Mitbewerbende oder andere Instanzen sei der ganze Datensatz aus Eigeninteresse sicher spannend, da viele Offerten und Projekte aufgelistet seien, so der IT-Fachmann. 

Um das ganze Ausmass und die Auswirkung zu identifizieren, könnte es noch länger dauern und wird derzeit vom NCSC noch abgeklärt. «Wir wollen abklären, unter welchen Umständen operative Daten auf das System der Firma Xplain gelangen konnten», heisst es seitens Fedpol und vom Bund. Strafanzeige wurde erstellt, nach aktuellem Wissensstand steckt die Hackergruppe «Play» hinter dem Vorfall.

Erste Massnahmen wurden laut dem NCSC bereits getroffen, um das Sicherheitsrisiko zu minimieren und entsprechende Stellen zu informieren. Je mehr Zeit vergeht, umso heikler wohl die gefundenen Daten, denn bis alle Datensätze heruntergeladen und analysiert werden können, kann es laut Marc Ruef noch Wochen oder Monate dauern.