Programmierer eines externen IT-Unternehmens dürften über Jahre hinweg Zugriff auf sensible Daten im Innenministeriums gehabt haben. Das geht aus einer internen E-Mail hervor, über die die Rechercheplattform "Fass ohne Boden" berichtet hatte und die auch der APA vorliegt. Demnach wurde das mutmaßliche Datenleck erst im März geschlossen. Das Ministerium will die Angelegenheit prüfen, heißt es. Der STANDARD hat bereits berichtet.
Ob tatsächlich Daten – darunter auch jene des Schengen-Informationssystems und der "Integrierten Kriminalpolizeilichen Datenanwendung" (IKDA) – von Programmierern eingesehen wurden, ist nicht bekannt. In der internen Mail des Innenministeriums heißt es nämlich, dass "sämtliche Zugriffe und Aktivitäten, die direkt auf der Datenbank erfolgen, nicht protokolliert werden". Das IT-Unternehmen, dessen Name der APA bekannt ist, hatte immer wieder Aufträge aus dem Innenministerium erhalten.
"Haben Sicherheitslücke unverzüglich schließen lassen"
"Wie in allen anderen Fällen auch werden wir auch hier genau prüfen. Sobald Ergebnisse vorliegen, werden wir umfassend und transparent informieren", heißt es aus dem Innenministerium. Allerdings bestätigte man im Büro des früheren Innenministers Herbert Kickl (FPÖ) die Existenz des Lecks: "Sobald wir davon erfahren haben, haben wir die Sicherheitslücke unverzüglich schließen lassen", hieß es auf APA-Nachfrage.
Laut der Ministeriums-Mail, die am 1. März verschickt wurde, wurden die User-Accounts der Programmierer deaktiviert. Bei heiklen Supportarbeiten müssen nun in der Folge technische Mitarbeiter des Ressorts anwesend sein. Zuvor soll dieses Vieraugenprinzip ebenfalls nicht gegolten haben.
Kommentar
Der Anwalt jenes IT-Unternehmens, dessen Mitarbeiter uneingeschränkten Zugang zu sensiblen Daten des Innenministeriums gehabt haben sollen, sieht kein "Datenleck" durch diese Situation. "Wenn meine Mandanten Aufträge bekommen, ist es zur Umsetzung technisch unerlässlich, dass man auch Zugang zu Datenbanken bzw. der IT erhält", sagte Johannes Zink am Freitag im Ö1-"Mittagsjournal".
"Tatsache ist, dass es weder ein Datenleck gibt noch jemals gab", so der Anwalt der betroffenen Firma. Die Mitarbeiter würden sicherheitsüberpfüft "und unsere Information war stets, dass sehr wohl genau mitprotokolliert wird, welcher Mitarbeiter wann welche Tätigkeit für das Ministerium setzt". Die Datenbanken bestünden zudem aus "Hunderten von Spalten und Tausenden von Zeilen", die nur mit einem User-Zugang Sinn ergeben würden. (APA, 20.9. 2019)