Letzthin hat der Tagesanzeiger über einen Hardwaredefekt in der Infrastruktur der Bundesverwaltung berichtet. Was ist genau passiert? Mitarbeiter der Bundesverwaltung melden sich am Arbeitsplatz nicht mit Benutzernamen und Passwort an, sondern benutzen dafür eine Smartcard. Eine Smartcard enthält kryptographische Elemente mit dem sich die Benutzer am Computer anmelden oder auch verschlüsselte Mails versenden können. Wegen eines Hardwaredefekts in einem zentralen Rechenzentrum des Bundes, sind nun gewisse kryptographische Schlüssel nicht mehr wiederherstellbar (resp. verwendbar). Darauf mussten alle Mitarbeiter der zivilen Bundesverwaltung ihre Smartcards ersetzen.
Die Sprecherin des Bundesamtes für Informatik, Frau Uhlmann-Haenni wurde vom Tagesanzeiger gefragt, warum denn kein Backup vorhanden sei. Die Antwort ist ausweichend und erschreckend zugleich: «Zu den Details des Ausfalls erteilen wir aus Sicherheitsgründen keine Auskunft». Aus Sicherheitsgründen kann also nicht gesagt werden, ob ein Backup existiert oder nicht.
Fast jedes KMU und ganz sicher jedes Grossunternehmen, hat ein Backup-Konzept erarbeitet und betreibt redundante Backupsysteme. Backupkonzept wie Sicherungssysteme werden regelmässig überprüft und sollten so den im Konzept definierten Standards genügen.
Es bleibt also die Frage, ob die Smartcard-Backups überhaupt in den Backup-Prozess eingeflossen sind, denn Konzepte existieren in der Bundesverwaltung mit grösster Sicherheit. Ein solcher Fehler ist einer Bundesverwaltung mit grosszügigen Ressourcen nicht würdig. Einem Lehrling im zweiten Lehrjahr kann man verzeihen, denn er ist ja noch in Ausbildung. Dieser peinliche Fauxpas ist kein solcher Fehler, da über solch zentrale Infrastrukturen mehrere Augenpaare wachen.
Besorgniserregend ist auch, dass das Bundesamt für Informatik ebenfalls Dienstleister für den Dienst ÜPF und das VBS ist. Es bleibt zu hoffen, dass die Dienstleistungen dieser hochsensiblen Bereiche mit mehr Sorgfalt betreut werden.
Der Bund sollte aus dem Fehler lernen und mit etwas Weitsicht die Konsequenzen daraus ziehen. So ist es wünschenswert ein Melderegister für Computerpannen einzuführen. In dieses Register könnten Cyberangriffe, Sicherheitsprobleme oder eben auch gravierende Computerpannen gemeldet werden.