Die Sicherheitsanalysen nach dem Cyberangriff auf das Verzeichnis der wirtschaftlich berechtigten Personen (VwbP) sind abgeschlossen. Das teilt die Regierung mit. Die Schwachstellen sind identifiziert und dokumentiert, die Schutzmassnahmen stehen fest. Die Ende Juli vorsichtshalber vom Netz genommenen Systeme sollen nun schrittweise wieder aufgeschaltet werden.

Vor der Wiederinbetriebnahme führt das Amt für Informatik laut Mitteilung nochmals umfassende, mehrstufige Sicherheitsprüfungen durch. Erst wenn diese abgeschlossen sind, gehen die Systeme zurück ans Netz.

Fabian Schmid, Leiter des Amts für Informatik, wird in der Mitteilung mit den Worten zitiert: „Wir setzen jetzt alles daran, die Systeme weiter zu stärken und die Voraussetzungen für eine sichere Wiederinbetriebnahme der vorsichtshalber vom Netz genommenen Systeme zu schaffen.“ Die dafür noch notwendigen Sicherheitstests seien sehr umfassend und benötigten entsprechend Zeit.

Nach aktuellem Stand sollen alle geprüften Systeme schrittweise wieder aufgeschaltet werden. Ein Stichtag für den Vollbetrieb nennt die Mitteilung nicht.

Was die Analyse ergeben hat

Der unberechtigte Zugriff war gemäss Mitteilung möglich, weil die Logik zur Überprüfung der Berechtigungen fehlerhaft war. Über die Anwendungsprogrammierschnittstelle (API) liessen sich die Daten mit wiederholten Einzelanfragen in einer Weise abrufen, die so nie vorgesehen war.

„Es war keine klassische Software-Schwachstelle“, heisst es im Zitat von Schmid. Nicht ein Programmierfehler in einer Komponente war also das Einfallstor, sondern die Frage, wer was abfragen darf – und wie oft. Aus ermittlungstaktischen Gründen könnten derzeit keine weiteren Angaben zu den Ergebnissen gemacht werden.

eID wird vorgeschaltet

Die Schwachstellen liegen im Registrierungsbereich. Wer künftig Zugriff will, muss sich über die staatlich anerkannte elektronische Identität ausweisen: Die Anforderungen an die Verifizierung von Benutzerkonten und an die Identitätsprüfung werden durch die Vorschaltung der eID verstärkt.

Parallel dazu baut das Amt die Überwachungs- und Erkennungsmechanismen aus, damit unberechtigte Zugriffe früher auffallen. Beim Angriff Ende Juli hatte das Amt für Justiz die Unregelmässigkeiten erst im Verlauf des Folgetages bemerkt und daraufhin das Amt für Informatik eingeschaltet.

Täterschaft weiterhin unbekannt

Die Vorerhebungen beim Fürstlichen Landgericht zur Ermittlung der unbekannten Täterschaft dauern an. An verschiedene Jurisdiktionen wurden Rechtshilfeersuchen gerichtet, Antworten stehen aus. Erfahrungsgemäss werde dies noch einige Zeit in Anspruch nehmen.

In der Nacht auf den 30. Juli waren Datenkopien von rund 31’000 Gesellschaften, Stiftungen, Treuhänderschaften und weiteren Rechtsträgern abgegriffen worden. Betroffen sind Name, Vorname, Geburtsdatum und Staatsangehörigkeit der erfassten Personen. Ein Lösegeld wurde nach bisherigem Stand nicht gefordert, Hinweise auf ein Auftauchen der Daten im Darknet gibt es nicht.

Über den weiteren Sachstand will die Regierung in enger Abstimmung mit den Ermittlungsbehörden informieren.