Aus dem Grossen Rat – Interpellation bezüglich mehrfachen Attacken auf die IT Infrastruktur des Kantons Aargau, sowie auf deren externen Dienstleister, die Firma Xplain vom 29. August 2023

VORSTOSS

Interpellation René Bodmer, SVP, Unterlunkhofen (Sprecher), Roland Vogt, SVP, Wohlen, Mario Gratwohl, SVP, Niederwil, bezüglich mehrfachen Attacken auf die IT Infrastruktur des Kantons Aargau, sowie auf deren externen Dienstleister, die Firma Xplain vom 29. August 2023

Text und Begründung:

Seit längerer Zeit häufen sich Meldungen über sog. Cyber Angriffe welche global auf Regierungen und Behörden erfolgen. Davon ist auch die Schweiz und wie sich jüngst zeigte auch der Kanton Aargau nicht gefeit.
Namhafte Cyber Spezialisten warnen seit Jahren davor, dass der Bund, Kantone, die nationale kritische Infrastruktur, lokale Behörden, aber auch das Gesundheitswesen mehrheitlich ungenügend geschützt sind. Umso erstaunlicher mutet es an, dass diese Warnungen, sowie konkret vorgeschlagene Massnahmen nicht genügend zur Kenntnis genommen und entsprechende Schritte umgesetzt werden.
Bezüglich der Zusammenarbeit mit professionellen Partnerunternehmen entsteht nach wie vor der Eindruck, dass alt hergebrachte Beziehungsnetzwerke wichtiger sind, als professionelle globale Kompetenz.
Aus den jüngsten Vorfällen, von denen der Kanton Aargau betroffen ist, ergeben sich die folgenden Fragen, welche ich den Regierungsrat bitte zu beantworten:

1. Ist es richtig, dass sowohl der Bund als auch einige Kantone, u.a. der Kanton Aargau denselben externen Dienstleister (Xplain) beauftragten?
2. Handelt es sich dabei um den einzigen externen Dienstleister im Bereich Datenlagerung und -Bewirtschaftung? Falls Nein, mit welchen anderen Drittunternehmen arbeitet der Kanton Aargau in diesem Bereich?
3. Wie und durch wen wurde die Firma Xplain als externer Dienstleister evaluiert? Gab es eine öffentliche Ausschreibung?
4. Wie viele externe Anbieter wurden eingeladen an der Ausschreibung teilzunehmen, falls eine Ausschreibung stattfand und wie viele haben ein Angebot eingereicht?
5. Welche Kriterien haben dazu geführt, dass die Firma Xplain den Auftrag zugeschlagen bekam?
6. Welche Daten werden durch die interne kantonale IT bewirtschaftet, wo liegen diese Daten (zentral, dezentral auf wie viele Standorte verteilt) und wie wird die Infrastruktur bezüglich Cyber Security geschützt?
7. Welche Daten werden durch den externen Dienstleister Xplain bewirtschaftet, liegen diese Daten in einem Schweizer Datacenter, falls nicht, wo sind diese gelagert, welchem Datenschutzgesetz unterliegen diese und wie wird die Infrastruktur bezüglich Cyber Security geschützt?
8. Setzt man beim Kanton, resp. dem Drittanbieter Xplain Threat Intelligence Services eines qualifizierten global agierenden Anbieters ein, um geplante Angriffe mittels gezieltem Darknet- und Deepweb-Scanning frühzeitig zu erkennen und bereits im Vorfeld eines Angriffes entsprechende Massnahmen zur Abwehr einleiten zu können?
9. Wie kommt der Kanton seiner Verpflichtung nach die Datenschutz-Prozesse sowie die Cyber Security-Vorkehrungen zu überprüfen – dies in den eigenen Datacenters wie auch beim externen Anbieter? Und in welchen Intervallen findet diese Überprüfung statt?
10. Existieren Assessment Protokolle der jeweiligen Überprüfungen und wie werden festgestellte Unzulänglichkeiten (Vulnerabilities) behandelt, resp. mit welchen Prioritäten behoben (Stichwort Steigerung der Resilienz)?
11. Wie aus den Berichten zu entnehmen ist, wurden im Rahmen eines Tests, nebst fiktiven Daten auch reale Daten des MIKA, der Staatsanwaltschaft, des Amtes für Justizvollzug, sowie der
    KAPO Aargau abgezogen. Um welche Daten und welches Datenvolumen handelt es sich dabei konkret?
12. Wer führte die Tests durch und wurden diese durch qualifizierte Mitarbeiter des Kantons begleitet, falls die Tests durch die Firma Xplain durchgeführt wurden? Wer hat angeordnet, dass «scharfe» Daten in einen Testlauf einfliessen? Und wurden besondere Schutzmassnahmen bezüglich der realen Daten vorgenommen, falls Ja, welche. Falls Nein, warum nicht und wer verantwortet dies?
13. Wurde nach Feststellung des Breaches das NCSC beigezogen und falls Ja, wie sieht die konkrete Hilfestellung aus, resp wurden durch das NCSC externe Dienstleister zur Behebung der Probleme empfohlen, falls Ja, welche?