Die Kontrolleure des Bundes schlagen Alarm

Sicherheitslücken im Parlament

Das Parlament soll digital werden. In der papierlosen Zukunft rufen die National- und Ständeräte alle Dokumente und Informationen auf einer Plattform ab und bearbeiten ihre Anträge online. So optimistisch tönte jedenfalls Andreas Wortmann, Leiter Infrastruktur und Sicherheit bei den Parlamentsdiensten und Mitglied der Geschäftsleitung, noch im vergangenen Jahr. Das passte gut in eine Zeit, als der Parlamentsbetrieb unter der Pandemie kollabierte und die Räte wochenlang ausserhalb des Bundeshauses tagten.

Doch fehlt der Vision eines digitalen Parlaments die technische Grundlage. Recherchen von SonntagsBlick zeigen, dass wichtige Digitalisierungsprojekte trotz Millionenkosten akut gefährdet sind. Mehr noch: Die Projekte bergen massive Sicherheitsrisiken. Sie laufen weiter, obwohl Beobachter beim Bund längst Alarm geschlagen haben.

Es ist die Rolle der Eidgenössischen Finanzkontrolle (EFK), den Bundesbehörden und ihren Beamten auf die Finger zu schauen. Als eine Art finanzpolitischer Wachhund soll sie die Verschwendung von Steuergeldern verhindern. In den vergangenen Monaten überprüften Kontrolleure die Digitalisierungsprojekte der Parlamentsdienste.

Interne Dokumente, die SonntagsBlick vorliegen, zeichnen die Untersuchung nach. Das Urteil ist verheerend. Seitenlang nimmt die EFK die Ausrichtung der Parlamentsdienste im Bereich der Informations- und Kommunikationstechnik (IKT) auseinander. «Eine auf die Geschäftsziele oder den Digitalisierungsauftrag abgestimmte IKT-Strategie ist nicht vorhanden.» In diesem Vakuum, so die Finanzkontrolle, wurden «von den Projekten – teilweise ohne Abklärung der Konsequenzen – Entscheide getroffen und Fakten geschaffen». Anders gesagt: Die Chefetage der Parlamentsdienste ist nicht auf der Höhe. Entscheide fällt sie trotzdem. Mit welchen Folgen, lässt sich anhand von zwei zentralen Vorhaben dokumentieren.

Unsichere Plattform

Da ist zum einen das Projekt «Cervin» (deutsch: Matterhorn). Cervin ist unter dem Namen Parlnet bereits als interne Arbeitsplattform für die Ratsmitglieder und deren persönliche Mitarbeitenden in Betrieb. Unberechtigte haben selbstredend keinen Zugriff auf die darauf gespeicherten Dokumente. Bloss: Sicher ist Parlnet nicht. «Das Sicherheitsniveau von Cervin ist gemäss extern durchgeführten Sicherheitsaudits unterdurchschnittlich», so die Erkenntnisse der EFK. «Es wurden Schwachstellen identifiziert, die gemäss Auditbericht schnellstmöglich umgesetzt werden müssen», was nicht erfolgt sei. Doch es sei unklar, «ob die Behebung der Schwachstellen in allen Fällen möglich ist».

Was macht diese Sicherheitslücken so gravierend? Auf Parlnet lagern Dokumente, die nicht für fremde Augen bestimmt sind. Zum Beispiel aus den Kommissionen, wo National- und Ständeräte um die Texte der Gesetze ringen. Nicht von ungefähr schützt das Kommissionsgeheimnis diesen sensiblen Prozess. Ist Parlnet undicht, ist die Vertraulichkeit dieser grundlegenden Parlamentsarbeit infrage gestellt.

Weiter kennt der Bund eine genaue Abstufung der Klassifikation vertraulicher Informationen. Die auf Parlnet abrufbaren Dokumente reichen bis zur Stufe «intern». Geraten sie Unberechtigten in die Finger, brächte das die Eidgenossenschaft nicht an den Rand des Abgrunds, könnte aber «den Landesinteressen einen Nachteil zufügen», wie die entsprechende Verordnung festhält.

Veraltete Konzepte

Gerhard Andrey (45) ist Grünen-Nationalrat und versteht etwas von Digitalisierung.

Der Ingenieur und Informatiker sitzt in der IT-Gruppe des Parlaments (PIT) und ist Mitglied der Reflexionsgruppe Digitalisierung der Bundeskanzlei. «Wenn die Schlussfolgerungen der Finanzkontrolle zutreffen, und ich habe grosses Vertrauen in die Arbeit dieser Behörde, dann ist das sehr bedenklich», sagt er.

Andrey macht sich schon länger Gedanken, wie das Parlament technisch den Sprung in die Gegenwart schaffen könnte. Den aktuellen Kurs sieht er skeptisch. «Die Konzepte wirken veraltet», so der Freiburger. «Wir verpassen damit die Chance, die eine echte Digitalisierung des Ratsbetriebs bieten würde. Nicht nur aus Effizienzgründen, sondern auch, damit die interessierte Öffentlichkeit den Gesetzgebungsprozess besser nachvollziehen kann.»

Präsident der PIT ist derzeit SVP-Nationalrat Mauro Tuena (49, ZH). Er sagt: «Wir werden den Bericht der EFK genau lesen. Stimmen die Vorwürfe, werden wir dem Parlament die notwendigen Schritte empfehlen.»

Die Parlamentsdienste beantworten vor der Publikation des EFK-Berichts keine Fragen dazu. Grundsätzlich sei die Sicherheit der Informatiksysteme der Bundesversammlung ein sehr wichtiges Anliegen, schreibt ein Sprecher. «So liessen die Parlamentsdienste beispielsweise das Projekt ‹Cervin› (Parlnet) im Juni und November 2020 durch eine auf solche Audits spezialisierte Firma auf Sicherheitsmängel überprüfen.» Bei diesen Prüfungen seien «wie erwartet» eine Reihe von Problemen geortet worden. Keines werde als Notfall gewertet. «Damit ist der Betrieb von Parlnet nicht infrage gestellt. Die gemachten Befunde wurden in der Zwischenzeit entweder behoben oder sind adressiert.»

Meinung

Digitale Flops beim Bund

Räte hätten es in der Hand

Wackelt der Sockel, droht auch die Spitze zu kippen

Also alles halb so wild? Keineswegs. Wie die Finanzkontrolle rapportiert, «fehlen Voraussetzungen, um zu erkennen, ob Angreifer bereits Sicherheitslücken ausgenutzt haben». Ob sich jemand über die sensiblen Informationen hergemacht hat, lässt sich im Nachhinein gar nicht mehr feststellen.

Dabei scheute der Bund beim Projekt Cervin nicht vor hohen Ausgaben zurück. Der Auftrag ging vor knapp drei Jahren für beinahe zehn Millionen Franken an eine Firma aus der Ostschweiz. Bis heute bleiben wichtige Fragen des Betriebs ungeklärt. Und die Mängel von Cervin oder Parlnet sind keine isolierten Schwierigkeiten, die findige Spezialisten nach und nach abarbeiten könnten. Kein Projekt steht für sich allein, sondern die verschiedenen Plattformen bauen aufeinander auf. Wackelt der Sockel, droht auch die Spitze zu kippen.

Die Spitze, wenn man so will, ist ein Projekt namens Curiaplus. Rund zwölf Millionen Franken hat die Verwaltung für dieses Herzstück der digitalen Parlamentsarbeit reserviert. Geplant ist ein modernes Werkzeug für die Ratsmitglieder, die damit ihre Anträge online einreichen und bearbeiten können. Sämtliche Informationen zu einem Geschäft hätten sie bequem zur Hand. Es wäre ein Quantensprung für die eidgenössischen Räte.

Parlamentsdienste trotzen

Aber bereits 2020 geriet das viel simplere IT-Projekt «Soprano» ins Straucheln (SonntagsBlick berichtete), nun bringen die Probleme von Parlnet auch Curiaplus ins Wanken. Oder wie die EFK es formuliert: «Schwachstellen in Cervin wirken sich vielfach direkt oder indirekt auch auf Curiaplus aus, das mehr sensible Daten und Funktionen für die Parlamentarier zur Verfügung stellt.» Und weiter: «Curiaplus ist auf die rechtzeitige Fertigstellung von anderen IT-Projekten angewiesen, von denen einige bereits wesentliche Verzögerungen gemeldet haben.» So sei die Entwicklung von Curiaplus nach einigen Monaten bereits im Rückstand. Weiter bestünden Differenzen mit dem Lieferanten darüber, ob das Projekt zum definierten Endtermin abgeschlossen werden könne. «Angesichts der Projektrisiken und der ungeklärten strategischen Vorgaben ist ausserdem zu klären, ob eine Sistierung des Projekts Curiaplus angebracht wäre.»

Zusammenfassend halten die Kontrolleure fest, dass sowohl Curiaplus als auch Cervin geltende Richtlinien nicht einhalten und vorgeschriebene Sicherheitskonzepte im Anfangsstadium stecken geblieben sind, und empfehlen für beide Projekte erneute, zügige Sicherheitsüberprüfungen.

Die Parlamentsdienste erwidern auf Anfrage beinahe trotzig, dass diese Projekte alle auf Kurs seien, «wir erwarten, dass sie zeitgerecht und in der erforderlichen Qualität fertiggestellt werden können».

Ob zufällig oder nicht, momentan rollte eine grosse Reorganisation der Parlaments-IT an. Rund 20 Mitarbeiter müssen sich auf ihre eigenen Stellen neu bewerben. Das gilt jedoch nicht für die Mitglieder der Geschäftsleitung, welche die Pläne von Soprano, Cervin und Parlnet einst ausheckten.