Auf einen Blick
- NDB jagte illegal Hacker von 2015 bis 2020
- Bericht von Oberholzer zeigt unprofessionelles Vorgehen des NDB
- NDB beschaffte illegal Daten von privaten Providern und IT-Firmen
- Unabhängige Aufsichtsbehörde fordert weitere Untersuchungen
Die Nachricht hatte für Schlagzeilen gesorgt: Jahrelang haben Cyberspezialisten des Schweizer Nachrichtendiensts (NDB) illegal Hacker gejagt. Diese sind von 2015 bis 2020 ausspioniert worden – ohne die nötigen Genehmigungen. Zu diesem Schluss kommt eine externe Administrativuntersuchung des ehemaligen Bundesrichters Niklaus Oberholzer (71), die das Verteidigungsdepartement (VBS) Ende 2022 aber nur auszugsweise vorgestellt hat.
Den vollständigen Bericht wollte der Bundesrat bisher keinesfalls veröffentlichen. Das 90-seitige Papier war als geheim klassifiziert. Auch Anträge aus dem Parlament lehnte die Landesregierung rundweg ab. Der Bericht stütze sich nicht nur auf geheime Quellen. Darin seien unter anderem die konkreten Methoden der Informationsbeschaffung beschrieben. Das soll auf gar keinen Fall bekanntwerden, befand der Bundesrat auch im Nationalrat.
«Zunehmend eigene Methoden entwickelt»
Nun aber liegt der Bericht zur sogenannten Cyber-Affäre Blick doch vor – in entscheidenden Passagen allerdings geschwärzt. Allzu tief will sich der Geheimdienst nicht in die Karten blicken lassen – gerade auch, weil ihm Oberholzer kein gutes Zeugnis ausstellt. Der alt Bundesrichter zeichnet ein Bild, das die Schweizer Schlapphüte wenig professionell wirken lässt.
So habe die neue Cyber-Abteilung bei privaten Providern illegal Daten beschafft und diese an private IT-Sicherheitsfirmen weitergegeben. Dabei sollen auch Gelder geflossen sein. Alles ohne Bewilligung, alles nach eigenem Gutdünken. Damit habe der NDB erfolgreich Cyber-Angriffe gegen die Schweiz abgewehrt, gesteht Oberholzer zu.
Nur: Der Erfolg basiert auf gravierenden Verletzungen des Gesetzes. Vollständig durchleuchtet sind sie bis heute nicht. Die Abläufe seien zu wenig erfasst, dokumentiert und kontrolliert worden, «sodass sich eine nachträgliche Rekonstruktion der Vorgänge im Einzelnen als unmöglich erweist», kritisiert Oberholzer.
Das Übel soll schon früh seinen Lauf genommen haben. Die Cyber-Abteilung sei 2014 unter hohem Zeit- und Erwartungsdruck aufgebaut worden. «Bei der Einführung von Cyber NDB blieb es weitgehend dem damals neu ernannten Chef überlassen, die aus seiner Sicht geeigneten und erforderlichen Vorkehrungen zu treffen, um die in das Ressort gesetzten Erwartungen erfüllen zu können», kommentiert Oberholzer. Dabei sei die neue Abteilung von einer besonderen Stellung ausgegangen, «und entwickelte zunehmend eigene Methoden der Datenbeschaffung und -bearbeitung».
«Quellen von Kritik mundtot gemacht»
Das sei auch der Führungsebene bekannt gewesen. «Vorgesetzte und Geschäftsleitung liessen es im Wesentlichen dabei bewenden, sich vom ehemaligen Chef Cyber NDB vergewissern zu lassen, dass alles in Ordnung sei», heisst es im Bericht. «Dies lässt eigentlich nur den Schluss zu, dass es an einer effizienten Führung und Beaufsichtigung fehlte.»
Dennoch will Oberholzer den Schweizer Spionen keine böse Absicht unterstellen. Sie hätten nicht vorsätzlich gegen das Gesetz verstossen, sondern «die Rechtslage verkannt». Anders gesagt: Die Cyberspezialisten waren sich nicht bewusst, etwas Illegales getan zu haben. Anzeichen aber habe es gegeben. Nur habe sie die Geschäftsleitung nicht erkennen wollen. Sie sei erst eingeschritten, als sich die Probleme in der Cyberabteilung nicht mehr länger hätten verbergen lassen.
Vielmehr seien aufkeimende Fragen oder Kritik von Mitarbeitenden nicht ernst genommen worden. Der damalige NDB-Direktor Jean-Philippe Gaudin (61) soll sogar versucht haben, eine erste interne Untersuchung kleinzuhalten. «Gewissen Leuten innerhalb des Dienstes sei es nicht darum gegangen, den Sachverhalt zu klären, sondern die Quellen von Kritik mundtot zu machen», heisst es im Untersuchungsbericht.
Versuch, einen Sündenbock aufzubauen?
Tatsächlich sei bei der unrechtmässigen Datenbeschaffung ein strafbares Verhalten denn auch nicht auszuschliessen, hält der Bericht fest. Für die Eröffnung eines konkreten Strafverfahrens aber genüge das nicht. Zwar schütze Rechtsunkenntnis normalerweise nicht vor Strafe. Hier aber handle es sich um Vorsatzdelikte; heisst: Die Betroffenen hätten wissend und wollend schuldhaft handeln müssen. Weil die Verantwortlichen unwissend gegen das Gesetz verstossen haben wollen, könnten sie nicht zur Rechenschaft gezogen werden.
Gleichzeitig aber wurde die Cyber-Affäre offenbar als so gravierend beurteilt, dass Köpfe rollten. So hatte sich der Nachrichtendienst vom verantwortlichen Bereichsleiter getrennt – ohne die Öffentlichkeit zu informieren. Zu Unrecht, wie dieser findet: «Er habe den Eindruck, von Seiten … (geschwärzt, Anm. der Redaktion) sei versucht worden, einen Sündenbock aufzubauen und ihm die gesamte Verantwortung anzulasten», steht im Oberholzer-Bericht.
Bald darauf musste auch der bei Verteidigungsministerin Viola Amherd (62) in Ungnade gefallene NDB-Chef Gaudin seinen Schlapphut nehmen. Ansonsten aber ist der Nachrichtendienst bisher ungeschoren davon gekommen.
Ob das so bleibt, wird sich zeigen. Nicht nur Parlamentarier, auch die unabhängige Aufsichtsbehörde über den Nachrichtendienst bleibt unzufrieden. Sie will weitere Informationen zu Ungereimtheiten und hat eine nächste Untersuchung eingeleitet. Unsicher bleibt, ob der Geheimdienst dieses Mal mehr Informationen rausrücken kann und will.