Der Fall Xplain: Umdenken in der IT-Beschaffung

2023 wurde bekannt, dass der Software-Anbieter Xplain, der unter anderem für den Bund tätig war, gehackt wurde. Die Schweiz, speziell die IT-Branche, hielt kurz den Atem an. Die zentrale Frage: Befinden sich unter den Daten, welche die Hacker im Mai 2023 ins Darknet stellten, sensible Informationen des Bundes? Die kurze Antwort: Ja. Ein relevanter Teil der Daten konnte der Bundesverwaltung zugeordnet werden.


Die Daten stammten aus verschiedenen Einheiten der Bundesverwaltung, darunter dem Eidgenössischen Justiz- und Polizeidepartement (EJPD). Und mehr als die Hälfte der geklauten Daten, die vom Bund stammten, enthielten sensitive Inhalte wie Personendaten, technische Informationen, klassifizierte Informationen und Passwörter.

Die Auswirkungen der Learnings auf IT-Lieferanten

Eine kurz darauf folgende externe Administrativuntersuchung hielt fest, dass Mängel auf drei Ebenen festgestellt wurden. Erstens im Prozessbereich. So wurde ein Teil der Daten von Bundes- und Xplain-Mitarbeitenden etwa per E-Mail an den Dienstleister geschickt. Zweitens wurde das Fehlen von technischen Massnahmen festgestellt, die den Datenabfluss hätten verhindern können. Und drittens habe es Defizite in der Ausbildung und Sensibilisierung der zuständigen Bundesangestellten gegeben.

Der Bund musste über die Bücher, um das bestehende Rahmenwerk der IT-Beschaffung so zu überarbeiten, dass der Abfluss seiner Daten über Lieferanten künftig verhindert werden kann. Und das wirkt sich selbstverständlich auf die IT-Dienstleister und -Lieferanten aus, die IT-Aufträge für den Bund umsetzen.


Das Bundesamt für Cybersicherheit (BACS) und das Staatssekretariat für Sicherheitspolitik (SEPOS) nehmen auf den vorliegenden Seiten Stellung zu den daraus resultierenden Massnahmen und wie sich diese auf heutige IT-Ausschreibungen auswirken.

Den notwendigen Zugriff minimieren

Als zentrale Learnings listen die verantwortlichen Stellen vier Punkte auf. Erstens müssen IT-Lieferanten heute ein Betriebssicherheitsverfahren durchlaufen, mit dem Sicherheitsmassnahmen in verschiedenen Bereichen geprüft und dokumentiert werden. Zweitens wird ein risikobasiertes Modell beschrieben: Je sensibler die bearbeiteten Informationen sind, desto mehr Kontrollmechanismen greifen. Die Kategorisierung ist vierstufig und reicht von als «geheim» klassifizierten Informationen (Kategorie 1) bis zu Informationen, die dem Bundesgesetz über das Öffentlichkeitsprinzip BGÖ unterliegen (Kategorie 4).

Drittens werden vertragliche Sicherheits- und Löschvorgaben definiert, die von Lieferanten in ihre Support- und Wartungsprozesse übernommen werden müssen. Und viertens sollten IT-Leistungen fortan so gestaltet werden, dass die Nutzung produktiver Daten, wenn möglich, gar nicht erst nötig ist. Geregelt wird das im neuen Informationssicherheitsgesetz (ISG), das am 1. Januar 2024 in Kraft getreten ist.


Speziell die Tatsache, dass auch produktive Daten Teil des Leaks waren, wurde stark kritisiert. Zu den ­Learnings und abgeleiteten Massnahmen gehört damit auch, dass Lieferanten für Entwicklung, Wartung und Support fortan keine Produktivdaten des Bundes auf ihre eigenen Systeme übertragen dürfen.

Ausnahmen sind in gewissen Fällen aber unumgänglich. «In diesen Fällen muss der Zugriff auf das notwendige Minimum beschränkt und die Bearbeitung nachvollziehbar sein», wie BACS und SEPOS betonen. Weiter ziehen erweiterte Schutzmechanismen wie ein beschränkter Zugriff auf produktive Daten und die Nachvollziehbarkeit der Bearbeitungen.

Risikobasierte Kontrollmechanismen

Der Fall Xplain zeigt laut BACS und SEPOS unter dem Strich, «dass Informationssicherheit eine gemeinsame Verantwortung von Auftraggeberinnen und Lieferanten ist.» Der Bund muss die Anforderungen künftig vorgängig festlegen und kontrollieren, Lieferanten müssen in der Folge Prozesse entsprechend anpassen und das auch belegen können.

So wurden eine Reihe von Massnahmen beschlossen, die das Sicherheitsmanagement verbessern sollen. Gemäss ISG müssen alle Einheiten der zentralen Bundesverwaltung nun etwa ein Informationssicherheits-Managementsystem (ISMS) betreiben, mit dem Risiken erkannt, Sicherheitsmassnahmen gesteuert und Vorfälle behandelt werden können.


Der Bund muss zudem die Sicherheitsanforderungen in den jeweiligen Ausschreibungsunterlagen und Verträgen verankern. Lieferanten wiederum werden in diesen Prozess miteinbezogen und müssen wie erwähnt beweisen, dass sie diese erfüllen. «Die eingesetzten Aufsichtsinstrumente, beispielsweise Selbst­deklarationen, Kontrollen, Besuche oder Audits bei den IT-Lieferanten, richten sich nach dem mit dem Auftrag verbundenen Informationssicherheitsrisiko», so BACS und SEPOS.

Wird ein erhöhtes Risiko festgestellt, reichen die Kontrollmechanismen bis hin zu Audits vor Ort. Diese beschreiben die zuständigen Stellen als «Besuch mit einem vorbereiteten und mit dem IT-Lieferanten vereinbarten Prüfprogramm», die gründlich vor- und nachbereitet werden müssen. Durchgeführt werden sie je nach Fall von der Auftraggeberin selbst oder einer dafür beauftragten Organisation.

Standardisierung von Pflichten

Seit dem 1. Januar 2026 sind ausserdem neue Vertragsklauseln für Lieferanten wirksam, die verbindlich werden, wenn sie innerhalb eines Beschaffungsverfahrens vorgegeben und vertraglich vereinbart werden. Geregelt werden mit den Bestimmungen etwa die Nachvollziehbarkeit des Zugriffs auf Daten des Bundes, Melde- und Löschungspflichten sowie Sicherheitsanforderungen an Subunternehmen.

Welche dieser verschiedenen Bestimmungen zur Informationssicherheit gelten, ist mitunter abhängig von der vorliegenden Beschaffungssituation. Die fünf definierten Varianten im Detail aufzuschlüsseln, würde an dieser Stelle den Rahmen sprengen, das SEPOS bietet aber einen öffentlich einsehbaren Leitfaden für Lieferanten.

Bis zu fünf Jahre Ausschluss

Welche Strafen ein Lieferant, der diese Massnahmen nicht einhält, zu erwarten hat, lässt sich kaum kategorisch sagen. Denn eine einheitliche Regelung für Cybervorfälle gibt es laut BACS und SEPOS nicht. Entscheidend sind konkret vereinbarte Sicherheitsanforderungen, die anwendbaren AGB und gesetzliche Bestimmungen. Dazu sollen auch die Umstände des Einzelfalls in eine Bewertung der Schuldfrage hineinspielen. Wenn ein Audit ungenügend ist oder ein Sicherheitsvorfall geschieht, entsteht aber nicht automatisch eine Schadenersatzpflicht.


Wenn eine Abweichung festgestellt wird, die zu einem vertraglichen Mangel führt, kann der Bund verschiedene Massnahmen ergreifen. Dann kommen etwa eine Nachbesserung, eine Herabsetzung der Vergütung, die Behebung durch Dritte (auf Kosten des Lieferanten) oder der Rücktritt vom Vertrag infrage. Weiter hätte eine Vertragsverletzung vermutlich Einfluss auf weitere Ausschreibungen. Bei schwer­wiegenden Verletzungen kann sogar ein Ausschluss von künftigen öffentlichen Aufträgen für bis zu fünf Jahre drohen. Und wenn es um Personendaten geht, sind je nach Fall auch strafrechtliche Folgen nicht auszuschliessen.

Dokumentation von Sublieferanten

Abhängig vom Auftrag sind bei IT-Beschaffungen aber nicht nur Auftraggeberin und Lieferant, sondern gegebenenfalls eine ganze Reihe von Sublieferanten beteiligt. Allgemein gesprochen gilt: Die Verantwortung für die Sublieferanten trägt der Hauptlieferant. Für Lieferanten heisst das, dass die Sicherheitsvorgaben in die Verträge mit dem beigezogenen Subunternehmen aufgenommen werden müssen.

Eine für alle Beschaffungen einheitliche Pflicht zur Dokumentation der Lieferkette gibt es nicht. Die AGB für Informatikdienstleistungen setzen aber eine vorgängige schriftliche Zustimmung der Auftraggeberin zum Beizug Dritter voraus. BACS und SEPOS ergänzen: «Welche Angaben bereits mit der Offerte einzureichen sind, richtet sich nach den Ausschreibungsunterlagen, dem konkreten Auftrag und dessen Informationssicherheitsrisiko.»


Eine Weisung des SEPOS, die Anfang 2027 in Kraft treten soll, sieht ausserdem vor, dass sämtliche beteiligte Lieferanten und Sublieferanten dokumentiert werden müssen. Denn diese Informationen sind für die vollständige Risikobeurteilung und die Überprüfung der Einhaltung der Sicherheitsanforderungen notwendig.

Anforderungen entlang der Lieferkette

Die grosse Knacknuss für Lieferanten ist aber kaum, die Klauseln in den Vertrag mit dem Sublieferanten zu schreiben. Sondern die Frage, wie sie zu kontrollieren sind. Das BACS empfiehlt den Lieferanten, ihre Lieferkette im Rahmen eines kontinuierlichen und risikobasierten Cyber-Supply-Chain-Risk-Managements zu überprüfen. Die Empfehlungen rund um die Prüfung der Sublieferanten ist durchaus vergleichbar mit den bereits genannten Prüfpflichten des Bundes gegenüber seinen Hauptlieferanten: Selbstauskünfte, Nachweise, Vor-Ort-Prüfungen und risikobasierte Audits. Ausserdem, so das SEPOS, müssen alle Sicherheitsanforderungen entlang der Lieferkette weitergegeben werden.


«Eine vollständige technische Überwachung von Unterlieferanten ist kaum möglich», wie das SEPOS abschliessend einräumt. «Entscheidend ist deshalb eine Kombination aus geregeltem Informationsfluss, Überwachung der eigenen Schnittstellen und risikobasierter Kontrolle.» (win)