Vielen Dank für Ihre Registrierung. Sie haben jetzt den Aktivierungslink für Ihr Benutzerkonto per E-Mail erhalten.

Vielen Dank für Ihre Anmeldung.

Ihr Konto ist aktiviert. Wir wünschen Ihnen viel Lesevergnügen.

Vielen Dank für Ihre Bestellung. Wir wünschen Ihnen viel Lesevergnügen.

«Schatten-Informatik» ist ein Sicherheitsrisiko für die Schweizer Armee

Private Mailserver, ominöse Netzwerke und sensible Daten in fremden Händen: Ein Bericht offenbart Lücken und fragwürdige Praktiken im Herzen der Schweizer Armee. Die möglichen Gefahren sind nicht unerheblich.
Sven Altermatt
Der Waffenplatz in Bure anlässlich einer Demonstration des Panzerbataillons 14: Revisoren des Verteidigungsdepartement haben dort nun unsichere WLAN-Zugänge entdeckt. (Bild: Georgios Kefalas/Keystone (Bure, 23. März 2013))

Der Waffenplatz in Bure anlässlich einer Demonstration des Panzerbataillons 14: Revisoren des Verteidigungsdepartement haben dort nun unsichere WLAN-Zugänge entdeckt. (Bild: Georgios Kefalas/Keystone (Bure, 23. März 2013))

Wie sicher sind die Informatiksysteme der Schweizer Armee? Ein Bericht der internen Revision des Verteidigungsdepartements (VBS) offenbart Lücken, die es ­ermöglichen könnten, in das Netz des Militärs einzudringen oder Daten von Soldaten abzu­schöpfen. Teils haben die Lücken schier irrwitzige Züge. Aufhorchen lässt besonders, was die Prüfer auf dem Waffenplatz Bure im Jura vorfanden. Bei ihrem Besuch im Frühjahr bemerkten sie, «dass verschiedene WLAN-Zugangspunkte bestehen, deren Ursprung vor Ort nicht genau bekannt ist». Ebenso wenig konnten die Revisoren in Erfahrung bringen, an welche Netzwerke die Geräte angeschlossen sind.

Im Klartext: An einem der zentralen Standorte der Schweizer Armee gibt es Verbindungen ins Internet, von denen die Verantwortlichen nicht wissen, woher sie kommen. Das berge Risiken, warnen die VBS-Prüfer. Schlimmstenfalls könnten Hacker darüber in Netzwerke der Armee eindringen.

Höheres Sicherheitsrisiko

Der Prüfbericht lässt keine Zweifel daran, um was es geht: «Schatten-Informatik», lautet dessen Titel. Die Experten fahndeten nach Software und Hardware, die Mitarbeiter und Soldaten auf eigene Faust einsetzen. «Schatten-Informatik», das bedeutet konkret: Es werden Netzwerkkabel gelegt, Router installiert oder Programme ausserhalb der offiziellen Systeme benutzt, obwohl Regelwerke genau das eigentlich verbieten. Was in vielen Fällen pragmatisch erscheinen mag, schafft heikle Lücken und erleichtert es Hackern, in eine Infrastruktur einzudringen. Bundesrat Guy Parmelin beauftragte die Revisoren mit einer allgemeinen Risikoeinschätzung in seinem Departement. Insgesamt offenbare ihre Prüfung im VBS ein «gutes Gesamtbild», halten sie nach getaner Arbeit fest. Schlecht weg kommt jedoch ausgerechnet die Armee. Bei der Gruppe Verteidigung bestehe Handlungsbedarf, heisst es. Besonders problematisch: Die von den Prüfern identifizierte «Schatten-Informatik» werde «allesamt für militärische Zwecke eingesetzt». Im Fall des Waffenplatzes Bure ist die Situation verworren. Man habe schlicht nicht klären können, wo die WLAN-Geräte genau stehen und wie sie vernetzt seien, konstatieren die Prüfer. Zumindest bei einem Gerät liege die Vermutung nahe, dass ein Armeeangehöriger es selbst installiert und nach Dienstende nicht deaktiviert habe. Die VBS-Revisoren sehen solche eigenhändige Installationen kritisch. Zumindest saubere Inventarlisten seien unabdingbar.

Die Visite in Bure war eine Stichprobe. Wie sich die Lage an anderen Standorten der Armee präsentiert, ist offen. Genauer angeschaut haben sich die Prüfer auch die Schnittstellen zwischen dem VBS und der Milizarmee – ihr Befund ist wenig schmeichelhaft. Oft werde Hardware oder Software privater Natur verwendet, «um dienstliche Aufgaben effizienter erledigen zu können». Drei Beispiele:

In der Führungsunterstützungsbrigade 41, der grössten ihrer Art, haben Armeeangehörige selber einen Mailserver installiert, um untereinander zu kommunizieren. Der Server wird mit Geldern der Armee finanziert, betrieben allerdings von einer externen Firma. Die Prüfer bemängeln das, weil der Server ganz klar einen militärischen Zweck habe. Für Argwohn sorgen private Websites mit militärischem Nutzen,das Portal urlaubsgesuch.ch. Dieses privat betriebene, kostenpflichtige Angebot nennt sich «Schweizer Plattform für online Urlaubsgesuche im Militär». Soldaten können so ihre Gesuche einreichen. Das Portal bietet den Führungspersonen auch die Möglichkeit, die Gesuche zu bewirtschaften. Die Seite stösst daher auf Anklang. Sie reduziere den Arbeitsaufwand, lässt sich ein Kommandant zitieren. Bedenklich: Personendaten verlassen die Armee und landen auf auswärtigen Servern. In welchem Zustand befindet sich ein Militärfahrzeug? Solche Informationen sollten nicht in fremde Hände gelangen. Die Software zur Instandhaltungslage aller betreuten Fahrzeuge auf dem Waffenplatz Bure ist eine Eigenentwicklung eines Armeeangehörigen. Das Tool wird jeweils einfach von Zugführer zu Zugführer weitergegeben, auf einem USB-Stick.

Die «Schatten-Informatik» bei der Miliz ist aus Sicht der internen Revision gleich doppelt fragwürdig. Einerseits, weil «sensitive Daten allenfalls ungenügend geschützt sind und daher in falsche Hände geraten könnten». Anderseits führten von privater Seite entwickelte Programme bisweilen zu «ungewollten Abhängigkeiten».

Das Problem der Miliz

Die Gruppe Verteidigung nimmt die Befunde zur Kenntnis – und zeigt sich damit sogar «mehrheitlich einverstanden». Die WLAN-Zugangspunkte etwa seien überprüft und aktualisiert worden. «Kritisch und verboten» seien bei der Miliz allerdings nur diejenigen Geräte, die mit VBS-Infrastruktur verbunden sind.

Hinsichtlich «Schatten-Informatik» dürfe man nicht vergessen: Die Armee stelle Informatikmittel nur für die Ausbildung zur Verfügung. Insbesondere die Vorbereitungsarbeiten der Miliz-Kader könnten in diesem Rahmen «nicht abgedeckt werden», heisst es. «Es ist deshalb für die Miliz unumgänglich, private Mittel einzusetzen.» Mit technischen und organisatorischen Massnahmen könne man die Risiken aber minimieren, sodass die Sicherheit nicht beeinträchtigt werde. Was damit konkret gemeint ist, bleibt unklar. Auf Anfrage wollte sich ein Armeesprecher nicht über die offizielle Stellungnahme hinaus äussern.

Merkliste

Hier speichern Sie interessante Artikel, um sie später zu lesen.

  • Legen Sie Ihr persönliches Archiv an.
  • Finden Sie gespeicherte Artikel schnell und einfach.
  • Lesen Sie Ihre Artikel auf allen Geräten.