Datenpanne bei der Schaffhauser Polizei
Wegen eines Sicherheitslecks mit einem Windows-Produkt waren höchstpersönliche Dokumente von Mitarbeitenden allgemein einsehbar. An die Öffentlichkeit gelangen sollte diese Panne nicht.
Immer wieder warnt die Schaffhauser Polizei vor Gefahren, die in Computernetzwerken lauern. Auf ihrer Website hat die Polizei dem Thema einen eigenen Bereich gewidmet. Dort kann man unter anderem die Broschüre «Fünf Schritte für Ihre digitale Sicherheit» herunterladen.
Mit der digitalen Sicherheit ist es allerdings auch bei der Polizei selbst nicht zum Besten gestellt. Persönliche Unterlagen von Mitarbeitenden waren im letzten Dezember im internen Netzwerk der Polizei allgemein einsehbar. Um sie zu finden, brauchte man keine besonderen Computerkenntnisse: Eine einfache Abfrage mit der Explorer-Suchfunktion reichte aus, um die Dokumente auf den Schirm zu bekommen.
Polizeisprecher Patrick Caprez hat gestern entsprechende Recherchen der SN bestätigt. «Auf einem unserer Server wurden Dateien angezeigt, die nicht den persönlichen Zugriffsrechten entsprachen», schreibt er in einer Stellungnahme. Möglich sei dies gewesen, weil Dateien und Dokumente aus einem globalen Speicher in einen Ablageort mit spezifischen Zugriffsrechten verschoben worden seien. In der Folge seien Dateien auch aus scheinbar persönlichen Ordnern dann für alle, die eine solche Suche durchführten, sichtbar geworden. Ein Mitarbeiter habe auf den Fehler aufmerksam gemacht. Es seien unverzüglich Gegenmassnahmen eingeleitet worden, und die Lücke sei geschlossen worden.
Die Angestellten seien instruiert worden, wie sie die Zugriffsrechte auf ein Dokument überprüfen und anpassen konnten. Weiter werde der betroffene Server abgelöst. Dies aber sei schon vor der Entdeckung des Fehlers beschlossen worden. Vom Datenleck nicht betroffen gewesen seien Tatbestandsrapporte.
«Ich verlange eine Bestätigung, dass der Fehler wirklich behoben ist.»
Christoph Storrer, Kantonaler Datenschützer
Unklar ist, welche Daten genau einsehbar waren, und wie viele Personen davon tangiert waren. «Aus Gründen des Datenschutzes geben wir über konkrete Inhalte und davon betroffene Personen keine weiteren Informationen bekannt», sagt Caprez. Aber sämtliche Mitarbeitenden seien sofort informiert worden, weiter auch die zuständigen Behörden.
Datenschützer wusste von nichts
Dass die zuständigen Behörden informiert wurden, stimmt zumindest in einem ganz zentralen Fall allerdings nicht: Ausgerechnet der Kantonale Datenschutzbeauftragte Christoph Storrer wusste von nichts. Erst aufgrund einer Anfrage der SN erhielt er gestern überhaupt Kenntnis vom Fall. «Ich bin erstaunt», sagt Storrer. Er wolle von der Polizei weitere Auskünfte. «Ich verlange eine Bestätigung, dass der Fehler wirklich behoben ist, und eine umfassende Schilderung, was genau passiert ist. Zudem will ich wissen, was unternommen wird, um künftig solche Pannen zu vermeiden.»
Ganz zentral ist für Rechtsanwalt Storrer noch ein weiterer Punkt: Er will ganz genau wissen, ob tatsächlich keine Daten von Dritten betroffen waren. Storrer behält sich vor, sogar ein Aufsichtsverfahren einzuleiten.
«Eine rein interne Angelegenheit»
Doch wieso wurde der Datenschutzbeauftragte, immerhin eine vom Regierungsrat offiziell bestimmte Aufsichtsstelle für genau solche Fälle, nicht von Anfang an über das Leck informiert? Die Polizei ist organisatorisch dem Finanzdepartement angeschlossen. Dessen Departementssekretärin Natalie Greh sagt: «Da es sich um eine rein interne Angelegenheit gehandelt hat und die Datensicherheit gegen aussen immer gewährleistet war, wurden nicht noch weitere Kreise und die Öffentlichkeit informiert.»
Auch sie betont, dass Daten von Dritten, etwas aus Fällen, nicht betroffen seien: «Sämtliche Personenstamm-, Fall- und Rapportierungsdaten werden in einem eigenständigen Rapportierungssystem (Polis) gespeichert.»
Doch warum kam es bei den Personalakten zum Leck? Laut Greh handelt es sich bei der Datenpanne um ein «Anwendungsproblem»: «Wenn Nutzer Dokumente verschoben haben, wurden die Zugriffsberechtigung des Ursprungsordners übernommen. War der Ursprungsordner ein gemeinsamer Speicherordner und verschob der Mitarbeiter oder die Mitarbeiterin ein Dokument von einem solchen Ordner in ihren persönlichen Ordner, blieb die ursprüngliche Berechtigung erhalten.»
Nichts zu tun hat das Leck mit der KSD, dem Informatikunternehmen von Kanton und Stadt Schaffhausen. Die Schaffhauser Polizei ist laut KSD-Chef Gerrit Goudsmit nicht an die KSD angehängt, sondern betreut ihre Informatik selbstständig.
Die Schaffhauser Polizei arbeite mit einem handlungsüblichen Windows-Produkt, sagt Greh. «Es hat bis zu einer bestimmten Generation bei der Vererbung der Berechtigungen zwischen Kopieren (keine Vererbung) und Verschieben (Vererbung) von Dokumenten unterschieden.»
Im Übrigen, so Greh weiter, habe die Polizei rasch gehandelt. Das Kommando habe am 11. Dezember 2018 Kenntnis vom Problem erhalten und Sofortmassnahmen eingeleitet. Das Finanzdepartement sei am 12. Dezember informiert worden.
Für das Leck sanktioniert worden ist laut Greh niemand. Gemäss Informatiksicherheitsverordnung des Kantons steht aber letztlich die Polizeileitung in der Verantwortung: «Die Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank überprüfen regelmässig (…) die Einhaltung und Angemessenheit der Sicherheitsmassnahmen sowie die Zugangsrechte.»
