Die Stille nach dem Datenklau

Auf den ersten Blick handelte die NZZ vorbildlich.

Der Medien­konzern war gemeinsam mit CH Media im Frühjahr 2023 Opfer einer Cyber­attacke der Hacker­gruppe Play geworden. Die Folgen: ein Abfluss von 530 Gigabyte Daten aus den IT-Unternehmens­netzwerken, die danach im Darknet veröffentlicht wurden.

Die Bande Play schaffte es, tief in das Unternehmens­netzwerk einzudringen, und publizierte darauf paket­weise die Dateien. Wer sich einen Überblick über das Ausmass der entwendeten Daten verschaffen wollte, brauchte Geduld: Die Menge an PDFs, E-Mails und Excel­dateien war derart gross, dass der Download mehrere Wochen benötigte.

Wie genau die Angreifer an all diese Geschäfts­interna gelangten, ist unklar. Gemäss «Blick» war der Klick auf eine Phishing-E-Mail durch einen Mitarbeiter von CH Media massgebend. Dadurch öffnete sich ein Einfallstor zu den IT-Systemen der NZZ. Denn CH Media ist ein Joint Venture von NZZ und AZ Medien und bezieht IT-Services der NZZ.

Im Darknet landeten die Daten, weil sich die Medienunternehmen weigerten, das geforderte Lösegeld an die Play-Hacker zu bezahlen. Stattdessen benachrichtigte sie das National Cyber Security Centre des Bundes, den Eidgenössischen Datenschutz- und Öffentlichkeits­beauftragten (Edöb) und die Strafverfolgungs­behörden über den Angriff, der sich Ende März ereignet haben soll.

Damit beherzigten die Medien­häuser einen alten Grundsatz der IT-Sicherheit: Lösegeld­forderungen von Cyber­kriminellen nicht nachkommen. Denn nur so wird deren Geschäfts­modell zerstört und der Markt ausgetrocknet.

Doch NZZ und CH Media zahlten mit der Verweigerung einen hohen Preis: Unter den Daten, die darauf im Darknet auftauchten, befanden sich teilweise kompromittierende persönliche Informationen von Personal und Leserschaft.

Das Schweigen

Die Reaktionen von NZZ und CH Media hinsichtlich der Straf­verfolgung bei der Cyber­attacke waren also State of the Art.

Die Informations­politik der NZZ ist hingegen eine Katastrophe.

Das Traditions­unternehmen an der Zürcher Falken­strasse verlautbarte zwar in zwei Haus­mitteilungen und wenigen Artikeln – die aber hinter einer Paywall versteckt waren –, dass Mitarbeiter­daten und Kundinnen­informationen betroffen seien. Doch die vage formulierte Mitteilung erweckte den Anschein, dass «nur» die Daten des aktuellen Personals entwendet worden seien.

Dabei befinden sich unter den geleakten Dateien nicht nur die Lohnausweise, Sozialversicherungs­nummern, Bankkonto­informationen, Pensionskassen­guthaben sowie die Postadressen von aktuellen Mitarbeitern, sondern auch diejenigen von vielen ehemaligen NZZ-Angestellten.

Das bedeutet: Zahlreiche Journalistinnen, die heute in anderen Schweizer Medien­häusern arbeiten, sind ebenfalls betroffen. Ihre Daten sind bereits seit zwei Monaten im Darknet einsehbar. Informiert wurden sie von der NZZ nie.

Darf die NZZ in diesem Fall schweigen?

Nach dem bestehenden Datenschutz­gesetz – das noch bis zum 31. August 2023 gilt – gibt es nach Meinung vieler Privacy-Experten, mit der die Republik gesprochen hat, keine zwingende Informations­pflicht bei solchen Sicherheits­lecks.

Der eidgenössische Datenschutz­beauftragte Adrian Lobsiger sieht das aber anders: «Wir vertreten schon seit dem Swisscom-Fall 2018 die Ansicht, dass sich die Informations­pflicht bis zu einem gewissen Grad aus dem alten Datenschutz­gesetz ableitet.» (Lobsiger nimmt damit Bezug auf einen Cyber­angriff, der zum Abfluss von 800’000 Swisscom-Kunden­daten führte.)

Der Datenschutz­beauftragte selbst verfährt bereits jetzt nach neuem Datenschutz­recht, das ab dem 1. September verbindlich für alle in der Schweiz gilt. Und dieses sieht je nach Vorfall eine Kommunikation an alle Betroffenen vor. Insbesondere wenn der Datenverlust «Risiken für die betroffenen Personen mit sich bringt» und sie dadurch «Massnahmen ergreifen müssen, um sich davor zu schützen», wie Lobsiger auf Anfrage schreibt.

Die NZZ-Gruppe teilte dem Datenschutz­beauftragten am 12. Mai 2023 mit, dass neben Haus­mitteilungen eine «erneute separate Information» über das Ausmass des Vorfalls an alle betroffenen Mitarbeiterinnen erfolgen würde. Allerdings gilt das nicht für die Abonnenten. Obwohl die Post­adressen von einem Teil der NZZ-Leserschaft ins Darknet gelangt sind.

Der Datenschutz­beauftragte forderte daraufhin, dass die NZZ-Abonnentinnen ebenfalls einzeln benachrichtigt werden sollen, da die allgemeine Information via Artikel und Mitteilung nicht ausreiche. In den Daten­sätzen im Darknet finden sich gemäss Swissinfo.ch auch E-Mail- und Postadressen von 425’000 Ausland­schweizerinnen, die zum Abonnenten­stamm des Schweizer Magazins «Schweizer Revue» gehören, das in einer Druckerei hergestellt wird, die zu CH Media gehört.

Die Republik wies Lobsiger vor zwei Wochen darauf hin, dass auch betroffene Ex-Mitarbeiter der NZZ keine Post von ihrer früheren Arbeit­geberin erhalten haben. Daraufhin setzte sein Team für den 28. Juni ein Treffen mit der NZZ an. Lobsiger sagt dazu: «Wir sind der Ansicht, dass auch ehemalige Mitarbeitende ein Anrecht auf aktive Information haben. Die Modalitäten einer solchen Information sind aber momentan noch Gegen­stand von Diskussionen mit der NZZ.»

Warum kommuniziert das Medien­unternehmen so zögerlich? Der NZZ sei es wichtig gewesen, zunächst ihre heutigen Beschäftigten über das Datenleak und den Inhalt der im Darknet veröffentlichten Daten zu informieren, sagt Medien­sprecherin Karin Heim auf Anfrage. Benachrichtigt wurde lediglich ehemaliges Personal, dessen Bank- und Ausweis­kopien von den Hackern veröffentlicht worden sind.

Wie hat CH Media die Kommunikations­politik gehandhabt?

Der Konzern hält fest, dass alle vom Leak betroffenen Gruppen im Bilde seien: «Wir haben unsere Mitarbeitenden, unsere ehemaligen Mitarbeitenden sowie unsere Kundinnen und Kunden zeitnah, wiederholt und breitflächig über das Datenleak und den Inhalt der betroffenen Daten informiert. Überdies haben wir eine Anlauf­stelle eingerichtet für individuelle Anfragen.»

Doch das stimmt nur teilweise. Zwar haben CH-Media-Leser einen entsprechenden Infobrief erhalten. Doch die Republik befragte neun ehemalige CH-Media-Mitarbeiterinnen, deren Lohn- und Sozial­versicherungs­ausweise sowie Arbeits­zeugnisse im Darknet vorhanden sind: Niemand hat von seiner ehemaligen Arbeit­geberin je etwas gehört.

Es drohen Identitäts­diebstahl und Phishing-Attacken

Die Risiken für alle Betroffenen des Hacks sind nicht zu unterschätzen. Die persönliche AHV-Nummer beispiels­weise ist eine Zahl, die das ganze Leben unverändert bleibt. Eine Änderung auf eine neue AHV-Nummer ist nicht möglich.

Die Sozial­behörden finden das erstaunlicher­weise nicht problematisch.

Harald Sohns, Medien­sprecher des Bundesamts für Sozial­versicherungen, begründet dies so: «Eine Person mit kriminellen Absichten kann mit meiner AHV-Nummer nicht mehr anrichten, als wenn sie nur meinen Namen kennt, denn die AHV-Nummer gilt nicht als Identitäts­nachweis.»

Das ist arg beschönigend. Erstens wird die AHV-Nummer als persönliches Merkmal eine Rolle spielen bei der künftigen E-ID oder beim Adressdienst­gesetz, was von Organisationen wie der Digitalen Gesellschaft stark kritisiert wird.

Und zweitens ist jede personen­bezogene, amtliche Information im Darknet eine zu viel. Kriminelle könnten sich aus dem Fundus bedienen und eine umfassende Datenbank mit der wichtigsten Sozial­versicherungs­kennzahl sowie der zugehörigen Postadresse, dem Geburts­datum und allenfalls auch Mobil­nummern erstellen. Dieses Hintergrund­wissen über eine einzelne Person dient Hackern für potenziellen Identitäts­diebstahl. Es handelt sich um Informationen, die bei Hotlines oft als Identifizierung von Kundinnen angegeben werden. Die AHV-Nummer wird beispiels­weise in der Korrespondenz bei der kantonalen Steuer­behörde und der Sozial­versicherungs­anstalt sehr wohl auch als identifizierendes Merkmal verlangt.

Ausserdem können solche Informationen für personalisierte Phishing-Angriffe genutzt werden. Ein mögliches Szenario: Eine böswillige Hackerin erstellt eine Fake-Website des Bundesamts für Sozial­versicherungen oder der Sozial­versicherungs­anstalt des Kantons Zürich und versendet eine E-Mail an ein potenzielles Opfer mit Angabe der persönlichen AHV-Nummer. Die ahnungslose Person nimmt im schlimmsten Fall an, es handle sich beim Absender wirklich um eine offizielle Stelle – schliesslich ist diese im Besitz einer persönlichen Kennzahl, die sich nicht einfach so ergoogeln lässt.

Und zu schlechter Letzt: In den im Darknet veröffentlichten Dokumenten von NZZ und CH Media finden sich auch arbeits­rechtliche Auseinander­setzungen mit Angestellten und Kader­mitgliedern sowie E-Mail-Verläufe mit wüsten Beschimpfungen – alles Informationen für potenzielle Erpressungen. So kann Journalistinnen, über die heikles Material vorhanden ist, bei missliebiger Bericht­erstattung gedroht werden.

Ein problematischer Präzedenzfall

Zwar informierte CH Media Betroffene umfassender als die NZZ-Gruppe. Weniger vorbildlich verhielt sich der Verlag, als es um die Bericht­erstattung über den Daten­diebstahl ging.

CH Media versuchte nämlich, die Publikationen rund um das Datenleak einzuschränken, und schuf vor knapp zwei Monaten einen problematischen Präzedenzfall: Das Unter­nehmen erwirkte mittels einer super­provisorischen Verfügung, dass Medien wie das Branchen­portal «Inside IT» und die Wochen­zeitung WOZ in ihren Artikeln zum Thema mehrere Abschnitte schwärzen oder löschen mussten. Die Leserschaft durfte nicht erfahren, welche gravierenden Folgen die Cyber­attacke auf CH Media und NZZ hatte.

«Inside IT» und WOZ wehrten sich vor Gericht erfolgreich gegen die Zensur. In einem Vergleich einigten sich die Medien­häuser darauf, dass die Artikel wieder unzensiert veröffentlicht werden dürfen – unter der Bedingung, dass die Medien­häuser die aus dem Darknet herunter­geladenen Datensätze danach löschen würden.

Der Vergleich ist ein gutes Signal für die Medien­branche. Denn er bedeutet: Investigativ­journalistinnen sollen im Darknet recherchieren können, etwa um zu verifizieren, ob eine Sicherheits­lücke entgegen anders­lautenden Aussagen von Unternehmen und Bundes­organen effektiv ausgenutzt wurde, oder um heraus­zufinden, wie viele Daten gestohlen wurden.

Das ist wichtig. Gemäss den Recherche­erfahrungen der Republik werden solche Vorkommnisse von attackierten Firmen und Institutionen stets herunter­gespielt oder ganz geleugnet. Und selbst­verständlich ist es Praxis, solche Datensätze nach Beendigung einer Recherche zu löschen.

Bleibt zu hoffen, dass das Unternehmen NZZ nach der Intervention des Datenschutz­beauftragten ihre Kommunikations­politik verbessert und dass auch CH Media ihr ehemaliges Personal individuell informiert.