DAT424 Ein Datenleck nach dem anderen – und niemand regt sich auf? (Teil 1)

0:01 Sprecher: Willkommen bei den Datenschutz-Plaudereien. Sprecher: Aktuelles, Bemerkenswertes und Persönliches Sprecher: rund um den Datenschutz und verwandte Themen. Martin Steiger: Guten Tag, Martin Steiger: mein Name ist Martin Steiger. Andreas Von Gunten: Und mein Name ist Andreas Von Gunten. Martin Steiger: Andi, bevor wir zum heutigen Thema kommen, Martin Steiger: zum Thema all dieser Datenlecks, die im Moment in der Schweiz auftauchen, Martin Steiger: ein paar Hinweise.

0:27 Martin Steiger: Zuerst wieder einmal ein Hinweis an unser Publikum: Martin Steiger: Wir freuen uns natürlich über Bewertungen und Kommentare, Martin Steiger: über Rückmeldungen. Martin Steiger: Bewertungen kann man auf den Podcast-Plattformen abgeben: Martin Steiger: Apple Podcasts, Spotify, Martin Steiger: Pocket Casts bietet das auch an.

0:41 Martin Steiger: Das kann man bei ganz vielen anderen auch machen, Martin Steiger: natürlich möglichst mit einer positiven Bewertung. Martin Steiger: Das hilft auch, dass andere unseren Podcast finden, die ihn noch nicht kennen. Martin Steiger: Das ist ein Grundproblem beim Podcasting. Martin Steiger: Es gibt ganz viele tolle Podcasts, die zum Teil schon seit Jahren existieren und die man nicht kennt.

0:54 Martin Steiger: Ich entdecke immer noch neue Podcasts, die es schon seit Ewigkeiten gibt, Martin Steiger: die ich bisher nicht kannte. Martin Steiger: Das kann in diesem Zusammenhang definitiv helfen. Andreas Von Gunten: Genau. Andreas Von Gunten: Und da haben wir auch gerade einen guten Hinweis zum Thema Podcast, Andreas Von Gunten: den wir geben möchten.

1:07 Andreas Von Gunten: Und zwar gibt es einen Journalisten, Andreas Von Gunten: den die meisten von Euch natürlich kennen: Andreas Von Gunten: Matthias Schüssler, Andreas Von Gunten: der seit Jahren auch bloggt. Andreas Von Gunten: Das gehört ja auf eine Art ein bisschen zum Gleichen wie Podcasting. Andreas Von Gunten: Man kann sagen, Podcasts Andreas Von Gunten: sind die Audioversion des Bloggens, Andreas Von Gunten: mit ein wenig mehr Möglichkeiten, Andreas Von Gunten: die sie bieten.

1:24 Andreas Von Gunten: Auf jeden Fall ist Matthias Schüssler ein Blogger der ersten Stunde, Andreas Von Gunten: wie wir zwei ja auch, Andreas Von Gunten: und eben auch jemand, der sich mit Audio beschäftigt. Andreas Von Gunten: Er ist Radiojournalist und arbeitet bei einem interessanten Radio. Andreas Von Gunten: Er macht immer wieder Beiträge bei einem alternativen Radio in Winterthur.

1:39 Andreas Von Gunten: Und er hat einen Blog, Andreas Von Gunten: Clickomania, und dort hat er kürzlich über 20 Jahre Podcast geschrieben: Andreas Von Gunten: «Ein Hoch auf eine Errungenschaft des Internets, die den Kommerzgelüsten von Spotify trotzte Andreas Von Gunten: und die sich in den letzten 20 Jahren vom Nerd-Experiment zum täglichen Begleiter entwickelte, Andreas Von Gunten: der authentisch bleibt, selbst wenn er Massen verzückt.» Andreas Von Gunten: Eine Liebeserklärung an den Blogpost.

2:02 Andreas Von Gunten: An den Podcast. Andreas Von Gunten: Eine Liebeserklärung an den Podcast. Andreas Von Gunten: Jedenfalls ein lesenswerter Beitrag. Martin Steiger: Und noch ein letzter Hinweis, der passt auch zum heutigen Thema der Datenlecks oder Data Leaks. Martin Steiger: Da ist ja das Datenschutz-Festival der Digitalen Gesellschaft am Freitagnachmittag.

2:21 Martin Steiger: Darauf haben wir auch schon hingewiesen. Martin Steiger: Und dort ist der EDÖB, also Dr. Adrian Lobsiger, zu Gast. Martin Steiger: Und das ist eben genau auch ein Thema, zu dem es Fragen an ihn geben wird, denke ich. Martin Steiger: Also: Wie ist das mit all diesen Datenlecks, die es im Moment gibt?

2:36 Martin Steiger: Und ich tue jetzt so, Martin Steiger: als wäre völlig selbstverständlich, dass alle wissen, was es mit diesen Datenlecks auf sich hat. Martin Steiger: Aber ich glaube, man hat es vielleicht schon mitbekommen. Martin Steiger: Es gibt gerade eine kleine Serie in der Schweiz. Martin Steiger: Ich bin kürzlich von der Republik informiert worden, Martin Steiger: also, ich sage mal, einem etwas linksalternativen Online-Magazin, Martin Steiger: dass sie irgendwie die ganze Datenbank verloren haben.

2:59 Martin Steiger: Darüber können wir dann noch reden. Martin Steiger: Dann hat die Pensionskasse des Bundes, Martin Steiger: Publica, Martin Steiger: über einen Datenabfluss informiert. Martin Steiger: Unterdessen auch ganz viele andere Pensionskassen, Martin Steiger: weil sie offenbar alle den gleichen Softwarelieferanten haben.

3:11 Martin Steiger: Dann das Auktionsportal der Swiss Marketplace Group, Martin Steiger: Ricardo, Martin Steiger: die hatten da auch ein Problem. Martin Steiger: Dann eine Plattform namens Quitt, Martin Steiger: davon habe ich auf Reddit gelesen. Martin Steiger: Das ist so eine Plattform, Martin Steiger: wie ich salopp gesagt habe: Wenn Du eine Putzfrau legal beschäftigen willst, Martin Steiger: nehmen die Dir die ganze Bürokratie ab.

3:31 Martin Steiger: Und schliesslich noch Offerz. Martin Steiger: Das ist wohl so ein Online-Shop, Martin Steiger: den ich ehrlich gesagt gar nicht kenne. Martin Steiger: Aber die hatten auch noch ein Problem. Martin Steiger: Darauf können wir dann auch noch zurückkommen. Martin Steiger: Eben, ich bin bei der Republik direkt betroffen.

3:45 Martin Steiger: Ja. Martin Steiger: Andi, Martin Steiger: hast Du auch Mitteilungen bekommen? Martin Steiger: Bist Du direkt betroffen? Andreas Von Gunten: Ja, Andreas Von Gunten: ich bin natürlich auch direkt betroffen bei der Republik, Andreas Von Gunten: wie sehr viele in meinem Umfeld. Andreas Von Gunten: Und ich möchte noch etwas zu der Liste sagen, die Du vorhin vorgelesen hast.

3:58 Andreas Von Gunten: Ich weiss nicht, wie es anderen geht, Andreas Von Gunten: die uns vielleicht zuhören. Andreas Von Gunten: Ich hatte irgendwann ein bisschen die Nase voll. Andreas Von Gunten: Es hat irgendwie nicht mehr aufgehört. Andreas Von Gunten: Und ich habe es auch nicht mehr so richtig wahrgenommen.

4:09 Andreas Von Gunten: Heute bei der Vorbereitung, als wir noch einmal geschaut haben, was alles dazugehört, Andreas Von Gunten: ist mir das nochmals richtig bewusst geworden. Aber ich weiss noch: Bei Ricardo habe ich mittlerweile nur noch mit den Schultern gezuckt. Andreas Von Gunten: Also weisst Du, es ist so, eigentlich bei allem.

4:19 Andreas Von Gunten: Ja. Andreas Von Gunten: Und das ist eigentlich schon verrückt, Andreas Von Gunten: oder? Andreas Von Gunten: Es kommt einem im Moment fast so vor, Andreas Von Gunten: als ob es gar nicht mehr anders möglich wäre. Andreas Von Gunten: Man muss eigentlich damit rechnen, dass überall, Andreas Von Gunten: wo irgendwelche Daten von mir sind, diese jetzt an die Öffentlichkeit gelangen.

4:31 Andreas Von Gunten: So hat man ein bisschen das Gefühl. Andreas Von Gunten: Bei mir herrscht ein bisschen Ratlosigkeit, ein bisschen Ermüdung. Martin Steiger: Ich habe gerade daran gedacht: Martin Steiger: Ich erinnere mich, Andi, wir haben über das Naming and Shaming durch den EDÖB gesprochen. Martin Steiger: Und jetzt habe ich das Gefühl, es spielt gar keine Rolle mehr.

4:44 Martin Steiger: Also ob der EDÖB jetzt noch über irgendjemanden sagt: Martin Steiger: «Ja, die haben den Datenschutz verletzt», oder so, Martin Steiger: darauf kommt es dann auch nicht mehr an. Martin Steiger: Ja, eines nach dem anderen kommt. Martin Steiger: Es gibt gar nicht mehr die Aufmerksamkeit, Martin Steiger: um sich wirklich vertieft darum zu kümmern.

4:55 Martin Steiger: Die Medien schon gar nicht, bei dem, was von ihnen noch übrig ist. Martin Steiger: Ich meine, die wenigen Medienschaffenden, Martin Steiger: die überhaupt die Kompetenz haben, Martin Steiger: sich mit dem Thema zu befassen, Martin Steiger: ohne nur die Medienmitteilung wiederzugeben Martin Steiger: oder einfach ganz allgemeine Dinge zu sagen, Martin Steiger: von denen gibt es nicht mehr viele.

5:09 Martin Steiger: Wollen wir mal starten? Vielleicht mit einem Blick auf die Ursachen. Martin Steiger: Ich finde es natürlich auch interessant, Martin Steiger: Andi, Du und ich sind ja zum Teil auch verantwortlich für Kundendaten, für Daten Dritter. Man kann jetzt immer Kritik üben und sagen, es sollte nicht passieren.

5:23 Martin Steiger: Logisch, es sollte nicht passieren. Martin Steiger: Aber ich glaube, man kann auch immer etwas daraus lernen. Andreas Von Gunten: Genau. Andreas Von Gunten: Und das ist auch das, was ich hoffe, wenn wir noch über den einen oder anderen Fall reden. Andreas Von Gunten: Man merkt aber auch immer wieder, und das werden wir vielleicht auch noch sehen, Andreas Von Gunten: dass sehr oft eben keine Informationen vorhanden sind oder fast keine.

5:39 Andreas Von Gunten: Und da kann man eben nicht daraus lernen. Andreas Von Gunten: Und ich habe das Gefühl, das ist auch das, was wir jetzt erleben: Andreas Von Gunten: diese Art Schulterzucken. Andreas Von Gunten: Man bekommt eigentlich nur mit, Andreas Von Gunten: dass etwas passiert. Andreas Von Gunten: Man hat das Gefühl, das kann halt passieren.

5:49 Andreas Von Gunten: Aber wir lernen irgendwie nicht daraus, Andreas Von Gunten: oder fast nie. Andreas Von Gunten: Und da hoffe ich jetzt, dass wir heute vielleicht einen kleinen Beitrag leisten können. Martin Steiger: Fangen wir an. Martin Steiger: Ich kann versuchen, darzulegen, Martin Steiger: was die Ursachen sind, soweit man sie schon kennt.

6:01 Martin Steiger: Je nachdem. Martin Steiger: Ich habe nicht überall gleich tief recherchiert und bin zum Glück nicht überall selber betroffen. Martin Steiger: Bei Offerz, dem Online-Shop oder der Online-Shop-Plattform, Martin Steiger: war es wohl so, Martin Steiger: dass ein externer IT-Dienstleister eine Kopie von produktiven Daten, Martin Steiger: also von echten Kundendaten, Martin Steiger: für Testzwecke in einer Cloud-Umgebung abgelegt hat.

6:22 Martin Steiger: Und die sind nach Abschluss der Arbeit nicht gelöscht worden. Martin Steiger: Die Täterschaft hat dann Zugriff auf die nicht gut genug gesicherte Testumgebung bekommen. Martin Steiger: Also man hatte einerseits Testdaten, die nicht gut genug geschützt waren, Martin Steiger: man hat sie nicht gelöscht, und es waren dann auch noch echte Daten, Martin Steiger: die man zum Testen verwendet hat.

6:42 Martin Steiger: Genau. Andreas Von Gunten: Man muss immer den Einzelfall anschauen. Andreas Von Gunten: Ich möchte auch noch einmal an Dich anknüpfen. Andreas Von Gunten: Es geht nicht darum, Andreas Von Gunten: dass wir überall besser wissen, Andreas Von Gunten: wie man es machen könnte, Andreas Von Gunten: sondern es ist einfach gut, Andreas Von Gunten: dass man sich darüber klar wird, Andreas Von Gunten: was man alles machen kann, Andreas Von Gunten: um solche Dinge zu verhindern.

6:56 Andreas Von Gunten: Und da finde ich, Andreas Von Gunten: sind zwei Dinge sehr wichtig. Andreas Von Gunten: Das eine ist wirklich, Andreas Von Gunten: dass man Testdaten heute fast immer problemlos generieren kann. Andreas Von Gunten: Das ist heute fast kein Problem mehr. Andreas Von Gunten: Früher war es vielleicht noch ein bisschen aufwendiger, Andreas Von Gunten: aber heute ist es mit KI wirklich kein Problem mehr, sich Testdaten generieren zu lassen.

7:11 Andreas Von Gunten: Natürlich ist mir auch klar, Andreas Von Gunten: am Schluss Andreas Von Gunten: ist es dann schon so: Andreas Von Gunten: Man muss wirklich davon ausgehen, Andreas Von Gunten: dass es mit den realen Daten wieder anders aussieht, Andreas Von Gunten: je nachdem, Andreas Von Gunten: wie man die Testdaten generiert.

7:20 Andreas Von Gunten: Aber nochmals: Andreas Von Gunten: Das kann man wirklich gut lösen. Andreas Von Gunten: Und das Zweite ist Andreas Von Gunten: das Aufräumen nach dem Testen. Das kenne ich auch bei mir, logischerweise, das ist ein Problem. Andreas Von Gunten: Man muss sich dort wirklich ganz fest zusammenreissen, Andreas Von Gunten: wenn man etwas zum Testen gemacht hat, Andreas Von Gunten: dass man nachher wieder aufräumt.

7:35 Andreas Von Gunten: Und das ist halt wirklich etwas, was man sich hinter die Ohren schreiben muss. Andreas Von Gunten: Es ist so mühsam, Andreas Von Gunten: aber man muss es machen. Andreas Von Gunten: Das zeigt sich jetzt sehr schön: Das wird sehr oft vernachlässigt. Martin Steiger: Das ist so. Und eben, der Idealfall wäre, Martin Steiger: dass man nicht mit produktiven Daten testet, sondern mit synthetischen Daten.

7:51 Martin Steiger: Bei «mit KI ganz einfach» bin ich ein bisschen skeptisch, weil je nachdem, wie Du das machst, Martin Steiger: das Problem besteht, Martin Steiger: dass Deine produktiven Daten für die Herstellung von synthetischen Daten wieder irgendwo landen. Martin Steiger: Also wenn man KI nutzt, über die Compliance-Probleme haben wir auch schon gesprochen. Aber ja, es ist lösbar.

8:06 Martin Steiger: Man kann das selber KI-gestützt machen. Martin Steiger: Wenn man Projekte entwickelt, Martin Steiger: Software entwickelt, Martin Steiger: ist es dort unterdessen so, Martin Steiger: dass die KI-Agenten das sogar selber vorschlagen. Martin Steiger: Also die Tests, die sie ja sehr gerne machen, wo auch ihr Harness beim Coden dabei ist, Martin Steiger: da gehört es fast dazu, Martin Steiger: dass sie synthetische Daten verwenden und lokale Tests machen.

8:25 Martin Steiger: Dann Quitt oder quitt.ch. Martin Steiger: Dort haben die Angreifer wohl automatisiert gefälschte Arbeitgeberinnen- und Arbeitgeberkonten erstellt und dann offenbar über eine veraltete API, Martin Steiger: also eine Schnittstelle, Martin Steiger: knapp 30'000 Profile von Arbeitnehmerinnen und Arbeitnehmern abrufen können.

8:46 Martin Steiger: Also einerseits gab es noch die API, Martin Steiger: die wohl veraltet und unsicher war. Martin Steiger: Das deutet darauf hin, ich habe es nicht nachgeprüft, aber es soll eine neue, Martin Steiger: moderne API geben, wie das so häufig ist. Martin Steiger: Und eben, dann haben Zugriffskontrollen nicht richtig funktioniert.

9:02 Martin Steiger: Und was natürlich auch häufig vorkommt, Martin Steiger: ist, dass solche Dinge skalieren. Martin Steiger: Eben, es stand, sie hätten irgendwie Arbeitgeberkonten erstellt. Martin Steiger: Ich habe jetzt den Mechanismus nicht genau durchschaut, Martin Steiger: aber für mich steckt die Lektion vor allem in dieser veralteten technischen API.

9:18 Martin Steiger: Ja. Andreas Von Gunten: Und dort haben wir natürlich auch ein klassisches Problem, das man als Softwareanbieter hat. Andreas Von Gunten: Ich kann mir gut vorstellen, Andreas Von Gunten: dass sie die API noch weiterlaufen liessen, Andreas Von Gunten: weil sie ein paar Kunden haben, Andreas Von Gunten: die die Legacy-API noch nutzen, und sie diese nicht richtig dazu gezwungen haben, auf die neue zu wechseln.

9:33 Andreas Von Gunten: Das ist auch mühsam, und das scheisst auch die Kunden an. Andreas Von Gunten: Und dann muss man halt auch gut kommunizieren und gut erklären, Andreas Von Gunten: warum das so ist. Andreas Von Gunten: Das ist halt oft ein kleines Problem, wenn man früh dabei ist. Andreas Von Gunten: Also wenn sie früh angefangen haben, APIs anzubieten, und diese weiterentwickeln mussten, Andreas Von Gunten: nachher merken, sie müssen das auf eine bessere Basis stellen, Andreas Von Gunten: dass sie das dann nicht durchgesetzt haben.

9:50 Andreas Von Gunten: Und ich glaube, das müssen wir auch als Kundinnen und Kunden solcher Angebote akzeptieren, Andreas Von Gunten: wenn wir APIs nutzen. Andreas Von Gunten: Es kann sein, Andreas Von Gunten: dass wir auf unserer Seite nochmals umstellen müssen, Andreas Von Gunten: weil in der Zwischenzeit Andreas Von Gunten: die Anbieterseite, Andreas Von Gunten: die uns Daten liefert, Andreas Von Gunten: eine bessere, sicherere Lösung hat.

10:05 Andreas Von Gunten: Das scheisst ein bisschen an, Andreas Von Gunten: aber das muss man halt machen. Andreas Von Gunten: Das ist so. Martin Steiger: Bei Ricardo war wohl auch eine Schwachstelle in einer API. Martin Steiger: Sie sagen das nicht so klar. Martin Steiger: Sie sprechen von einer Sicherheitslücke in einer Schnittstelle für Lieferinformationen, Martin Steiger: was auch immer das heisst.

10:23 Martin Steiger: Ich habe mich ein bisschen umgehört, und man sagte mir, Martin Steiger: dass dort irgendwie Angaben von Leuten drin seien, Martin Steiger: die etwas gekauft haben. Martin Steiger: Sprich, die betroffenen Personen haben etwas bei Ricardo gekauft, und das war die Datenbank, Martin Steiger: auf die man über die Schnittstelle zugreifen konnte.

10:40 Martin Steiger: Bei Ricardo finde ich noch interessant, Martin Steiger: dass es online auch Lob für ihre Kommunikation gab. Martin Steiger: Bei LinkedIn zum Beispiel hat Antoine das geteilt. Andreas Von Gunten: Ja. Andreas Von Gunten: Also ich finde die Kommunikation okay. Andreas Von Gunten: Das sage ich auch als jemand, Andreas Von Gunten: der auch schon dabei geholfen hat, solche Kommunikation Andreas Von Gunten: mitzuentwerfen.

10:56 Andreas Von Gunten: Das ist immer so ein bisschen eine Sache. Andreas Von Gunten: Je nachdem weisst Du ja nicht so viel Andreas Von Gunten: und willst die Leute nicht unnötig verschrecken. Andreas Von Gunten: Zum Teil sagst Du auch: Andreas Von Gunten: «Jetzt warnen wir auch wieder vor Phishing.» Andreas Von Gunten: Das haben die anderen auch schon gemacht.

11:06 Andreas Von Gunten: Das haben wir auch schon in einem Podcast diskutiert. Andreas Von Gunten: Aber ja, Andreas Von Gunten: ich finde das alles in allem noch okay, Andreas Von Gunten: das E-Mail, das Antoine veröffentlicht hat. Andreas Von Gunten: Wie bei allem, worüber wir reden, Andreas Von Gunten: gibt es dazu dann auch einen Link in den Shownotes.

11:16 Andreas Von Gunten: Diejenigen, die das zum Glück nicht selber bekommen haben, weil sie nicht betroffen sind, können es nachlesen. Martin Steiger: Spannend finde ich noch, Martin Steiger: dass die Grussformel am Schluss lautet: Martin Steiger: «Freundliche Grüsse, Francesco.» Martin Steiger: Geschäftsführer Ricardo AG.

11:29 Martin Steiger: Das habe ich so noch nie gesehen, Martin Steiger: dass man Martin Steiger: in der E-Mail die Empfängerinnen und Empfänger Martin Steiger: siezt, aber am Schluss kommt dann Martin Steiger: «Francesco». Martin Steiger: Ich weiss nicht, ob das Absicht Martin Steiger: ist oder so. Martin Steiger: Ich will es gar nicht werten, Martin Steiger: aber es ist mir einfach aufgefallen.

11:40 Andreas Von Gunten: Ja, lustig, das ist mir jetzt nicht aufgefallen, Andreas Von Gunten: aber Du hast recht. Andreas Von Gunten: Das ist noch ein interessanter Aspekt, Andreas Von Gunten: vor allem, wenn man weiss, dass Ricardo ja Andreas Von Gunten: zur grossen Swiss Marketplace Group gehört, Andreas Von Gunten: also zum eigentlich einzigen verbliebenen Andreas Von Gunten: Marktplatzanbieter in der Schweiz, zu dem Andreas Von Gunten: alle diese Plattformen gehören, oder fast alle.

11:55 Andreas Von Gunten: Dann ist es interessant, dass man versucht, Nähe herzustellen, Andreas Von Gunten: obwohl man eigentlich zu einem Grosskonzern gehört. Martin Steiger: Vor allem ist es so, Martin Steiger: dass Ricardo unterdessen bei vielen verhasst ist. Martin Steiger: Wie überhaupt die Praktiken der Swiss Marketplace Group.

12:07 Martin Steiger: Die drücken natürlich recht auf die Gebühren. Martin Steiger: Ich muss sagen, an der Börse, ich habe sie zuletzt nicht verfolgt, Martin Steiger: aber ich glaube, die sind mal recht gecrasht. Martin Steiger: Das ist, glaube ich, nicht so schön mit dem Börsenwert. Martin Steiger: Und eben, die Gebühren erhöhen, Martin Steiger: die Renditen erhöhen: Martin Steiger: Sie haben sicher eine sehr starke Stellung im Markt.

12:23 Martin Steiger: Was aber jetzt nach und nach natürlich auch der Konkurrenz den Weg öffnet. Martin Steiger: Und eben, sie leiden natürlich vielleicht auch ein bisschen unter KI. Martin Steiger: Das ist halt immer die grosse Frage, Martin Steiger: die jetzt über allem schwebt: Braucht es diese Art von Plattformen überhaupt noch?

12:35 Martin Steiger: Das wird man dann sehen. Andreas Von Gunten: Ja, was ich auch noch interessant finde, Andreas Von Gunten: das ist zwar wirklich ein Nebenschauplatz, Andreas Von Gunten: das war mir gar nicht so bewusst: Andreas Von Gunten: Es gibt mittlerweile ganz viele Andreas Von Gunten: WhatsApp-Marktplätze, Andreas Von Gunten: lokale, regionale, Andreas Von Gunten: die die Leute nutzen.

12:46 Andreas Von Gunten: Ich merke, dass da immer mehr Leute Andreas Von Gunten: inzwischen ganz ausgewichen sind Andreas Von Gunten: auf eine ganz andere Art und Weise, Andreas Von Gunten: wie sie das handeln. Martin Steiger: Das habe ich gar nicht mitbekommen. Martin Steiger: Das ist völlig an mir vorbeigegangen.

12:55 Andreas Von Gunten: Da gibt es wirklich ganz viele, Andreas Von Gunten: das sind dann häufig solche Gruppen. Andreas Von Gunten: Der Nachteil ist halt: Andreas Von Gunten: Das sind geschlossene Gruppen, Andreas Von Gunten: es ist unübersichtlich. Andreas Von Gunten: Du hast keine Suchfunktion oder so, Andreas Von Gunten: sondern bist einfach dort drin Andreas Von Gunten: und siehst halt, was so kommt.

13:07 Andreas Von Gunten: Das scheinen viele Leute spannend zu finden, vielleicht fast schon als Freizeitbeschäftigung. Andreas Von Gunten: Aber es bedingt natürlich, Andreas Von Gunten: dass Du dort dabei bist, Andreas Von Gunten: weil Du sonst das Angebot verpasst. Andreas Von Gunten: Das funktioniert nur, wenn dort wirklich die Leute aktiv sind.

13:18 Martin Steiger: Genau. Martin Steiger: Und ja, auch dort können natürlich Datenlecks passieren. Martin Steiger: Aber lassen wir das und schauen weiter, Martin Steiger: was wir noch haben. Martin Steiger: Genau, kommen wir zu den beiden grösseren Geschichten. Martin Steiger: Die erste Geschichte ist Publica, Martin Steiger: also die Pensionskasse der Beamtinnen und Beamten beim Bund.

13:35 Martin Steiger: Da gab es eine Medienmitteilung am 8. Martin Steiger: Oktober 2026 vom Bund selber, also auf admin.ch, mit dem Titel: Martin Steiger: «Cyberangriff auf Softwarelieferant von Publica: Martin Steiger: Datenabfluss bestätigt». Martin Steiger: Da heisst es unter anderem: Ein externer Softwarelieferant der Pensionskasse des Bundes, Publica, Martin Steiger: stellte Ende September einen Cyberangriff fest.

13:55 Martin Steiger: Das Unternehmen habe Strafanzeige erstattet, Martin Steiger: alle relevanten Stellen beim Bund und Kundinnen und Kunden informiert. Martin Steiger: Die Bundesanwaltschaft ermittelt. Martin Steiger: Keine andere Bundesstelle habe Geschäftsbeziehungen mit dem Unternehmen. Martin Steiger: Und der Softwarelieferant, den kennt man unterdessen: Er heisst PK Softech.

14:13 Martin Steiger: Und den kennt man auch, weil sich andere betroffene Pensionskassen geoutet haben. Martin Steiger: Ja, bei Publica hat man jetzt noch nicht so viel erfahren, Martin Steiger: obwohl es eigentlich ein riesiger Fall ist. Martin Steiger: Bei Pensionskassen bist Du auch nicht freiwillig Nutzerin oder Nutzer, sondern die hast Du einfach über die Arbeitgeberin oder den Arbeitgeber.

14:30 Martin Steiger: Und mich hat es mit dem Softwarelieferanten ein bisschen irritiert, Martin Steiger: der dann Daten hat. Martin Steiger: Aber Softwarelieferant hat eben mehr als eine Bedeutung. Martin Steiger: Ein Softwarelieferant könnte jemand sein, der Dir Software liefert, Martin Steiger: die Du selber betreibst.

14:42 Martin Steiger: Aber es kann natürlich auch ein Software-as-a-Service-Angebot sein, Martin Steiger: eine Plattform oder so. Martin Steiger: Und darum geht es da vermutlich. Martin Steiger: Aber eben, die Informationslage ist noch etwas dürftig. Martin Steiger: PK Softech hat auch ihre Website weitgehend offline genommen.

14:56 Martin Steiger: Also ganz viele Seiten. Martin Steiger: Und jetzt: Error 404, die Seite ist nicht mehr vorhanden. Martin Steiger: Ich vermute aber, die wollen jetzt vielleicht zum Beispiel ihr Team ein bisschen schützen. Martin Steiger: Das ist natürlich verheerend. Martin Steiger: Sie waren offenbar bislang ein sehr erfolgreicher kleiner Softwareanbieter in diesem Bereich.

15:11 Martin Steiger: Und jetzt fliegt ihnen das um die Ohren. Martin Steiger: Und das Ganze weckt bei mir natürlich direkte Erinnerungen an Xplain. Martin Steiger: Das war ein Schweizer Softwareanbieter, Martin Steiger: der insbesondere für Sicherheitsbehörden gearbeitet hat, Martin Steiger: bei dem aber auch die öffentliche Hand nie genau hingeschaut hat.

15:25 Martin Steiger: Und auch jetzt konnten wir in den Medien schon lesen, dass einige Pensionskassen gesagt haben, Martin Steiger: nein, sie hätten ja nie einen Audit oder so gemacht. Martin Steiger: Da kommt also immer wieder ein bisschen das Gleiche zum Vorschein. Andreas Von Gunten: Ja. Andreas Von Gunten: Du kennst meine Zweifel, die ich immer wieder habe, auch wenn es darum geht, zu behaupten oder zu beurteilen: Andreas Von Gunten: Schweizer Firma, Andreas Von Gunten: Schweizer Hosting, Schweizer Software, Andreas Von Gunten: das sei viel sicherer als alles, was irgendwie im Ausland sein könnte.

15:52 Andreas Von Gunten: Für mich sind solche Fälle wie Xplain und andere Andreas Von Gunten: immer wieder auch ein Gegenbeispiel, Andreas Von Gunten: die einfach zeigen können: Hey, Andreas Von Gunten: das ist einfach kein gutes Signal per se. Andreas Von Gunten: Nur weil das eine Schweizer Softwarefirma mit Schweizer Hosting ist, Andreas Von Gunten: heisst das noch lange nicht, Andreas Von Gunten: dass Deine Daten dort so viel sicherer sind, Andreas Von Gunten: als wenn sie irgendwo bei einem grösseren Cloud-Anbieter Andreas Von Gunten: im Ausland sind. Es muss nicht einmal Amerika sein, aber selbst dort können sie sicherer sein.

16:18 Andreas Von Gunten: Und das finde ich halt immer wieder ein bisschen das Mühsame daran, Andreas Von Gunten: dass man eigentlich Andreas Von Gunten: bei der Beurteilung von Softwareprodukten nicht wirklich schaut: Andreas Von Gunten: Ist es wirklich sicher im Rahmen Andreas Von Gunten: dessen, was möglich ist? Sondern man glaubt einfach an den Mythos, dass es sicher besser ist, Andreas Von Gunten: wenn ich die Person persönlich kenne, Andreas Von Gunten: die den Server streichelt.

16:35 Andreas Von Gunten: Und da habe ich einfach Andreas Von Gunten: ein bisschen meine Bedenken. Andreas Von Gunten: Und ich ... Andreas Von Gunten: Ich habe fast den Verdacht, dass es auch darauf hinausläuft, Andreas Von Gunten: dass es von vielen kleinen Firmen einfach zu viel verlangt ist, dass sie das wirklich im Griff haben, Andreas Von Gunten: vor allem, wenn es um ganz heikle Daten geht.

16:50 Martin Steiger: Ja. Martin Steiger: Es ist noch schwierig zu sagen, Martin Steiger: eben weil die Website auch weitgehend offline genommen worden ist. Martin Steiger: Es ist einfach eindrücklich, Martin Steiger: wenn wir jetzt einfach nach dem Lieferanten, also nach PK Softech, Martin Steiger: googeln.

17:00 Martin Steiger: Da kommt jetzt eine Pensionskasse nach der anderen. Martin Steiger: Und da ist es natürlich schon von den Daten her einigermassen dramatisch. Martin Steiger: Einerseits reden wir da von Daten, Martin Steiger: bei denen die meisten Leute finden, die müssten vielleicht nicht öffentlich sein.

17:13 Martin Steiger: Wie viel habe ich jetzt für das Alter gespart und wie hoch ist das Einkommen? Martin Steiger: Und auch die ganzen Lebensverhältnisse sind ja dort drin. Martin Steiger: Also dort stecken wirklich sehr viele brisante Daten drin. Martin Steiger: Und neulich hat mich sogar ein Mandant darauf angesprochen, Martin Steiger: der in sicherheitskritischen Bereichen unterwegs ist.

17:29 Martin Steiger: Er hat natürlich gesagt: Martin Steiger: Wenn das da irgendwo raus ist, Martin Steiger: ist das natürlich ein Traum für ausländische Geheimdienste oder für sonstige Gegner. Martin Steiger: Weil Du musst davon ausgehen, Martin Steiger: dass zum Beispiel auch Leute vom Schweizer Nachrichtendienst, Martin Steiger: von Sicherheitsbehörden natürlich dort versichert sind.

17:44 Martin Steiger: In der Schweiz haben wir ja das Pensionskassenobligatorium. Martin Steiger: Dort drin sind vielleicht auch Leute mit einer Tarnidentität und so weiter. Martin Steiger: Das kann auch verheerend sein. Martin Steiger: Man sagt jetzt immer, bei all diesen Angriffen sei noch nichts davon zu sehen, Martin Steiger: dass es im Darknet auftaucht.

18:00 Martin Steiger: Aber die Daten sind irgendwo. Martin Steiger: Man weiss eben nicht, was dann passiert. Martin Steiger: Auch da wieder eine gewisse Ratlosigkeit. Andreas Von Gunten: Ja. Andreas Von Gunten: Ich bin auch ein wenig überfordert, muss ich fast sagen, mit der Vorstellung, dass es im Moment so wenig Aufschrei gibt.

18:15 Andreas Von Gunten: Also, was das anbelangt: Gefühlt ist das von all den Leaks, die wir hier aufgezählt und von denen wir gehört haben, schon der krasseste. Andreas Von Gunten: Und es ist eigentlich, Andreas Von Gunten: gefühlt, mehr oder weniger nichts passiert. Andreas Von Gunten: Ich denke, Andreas Von Gunten: es gibt die ...

18:28 Andreas Von Gunten: In den Medien, Andreas Von Gunten: in der Community wird schon darüber diskutiert, Andreas Von Gunten: das ist schon klar. Aber wenn ich mir vorstelle, Andreas Von Gunten: das muss doch ein gefundenes Fressen sein Andreas Von Gunten: für alle journalistisch tätigen Menschen in dem Bereich, Andreas Von Gunten: wo man wirklich der Frage nachgehen muss: Was ist da eigentlich passiert?

18:43 Andreas Von Gunten: Und das auch kommentieren. Weil ich denke schon, Andreas Von Gunten: das ist schon ein recht krasser Fall, Andreas Von Gunten: wenn man sich überlegt, was für Daten da draussen sind. Andreas Von Gunten: Im Vergleich zu vielen anderen, bei denen man sagen muss: Andreas Von Gunten: Mühsam, aber nicht so schlimm. Aber das ist schon Andreas Von Gunten: ein recht krasser Fall.

18:56 Andreas Von Gunten: Und ich kann mich nur Andreas Von Gunten: an diese Mitteilungen erinnern, in denen einfach Andreas Von Gunten: alles, was Du mir vorgelesen hast, Andreas Von Gunten: beschrieben ist, was gemacht worden ist, und gut ist. Andreas Von Gunten: Und das finde ich schon ein bisschen erstaunlich Andreas Von Gunten: und auch nicht so richtig.

19:07 Andreas Von Gunten: Also ich hoffe schon, dass da noch ein bisschen mehr kommt. Andreas Von Gunten: Eigentlich. Sprecher: Haben Dir die Datenschutz-Plaudereien gefallen? Sprecher: Wir freuen uns über Deine Bewertung, Deinen Kommentar oder Deine Rückmeldung.