Bei 22 Gemeinden, Spitälern und beim Kanton stattete der Zürcher Datenschutzbeauftragte Bruno Baeriswyl im vergangenen Jahr einen Besuch ab. Ziel war es, die Sicherheit der Daten zu überprüfen, also ob sie einigermassen vor Hackerangriffen geschützt sind.
Mit dem Ergebnis ist Baeriswyl alles andere als zufrieden. Vor allem Gemeinden hätten grosse Lücken bei der Datensicherheit, sagte er heute vor den Medien. Oft gebe es keinerlei Passwortvorgaben, Daten könnten problemlos auf einen USB-Stick geladen werden und auch für Mobiltelefone existierten keine Sicherheitsrichtlinien.
«Steuerdaten bei Gemeinden sind noch schlechter geschützt als Gesundheitsdaten», sagte Baeriswyl weiter. Bei Spitälern gebe es zwar auch Nachholbedarf, doch seien diese generell etwas weiter.
Hacker greifen Kanton an
Etwas sicherer sind die Daten beim Kanton, obwohl dieser in den vergangenen Monaten gleich mehrfach Ziel von Hackern wurde. Es habe mehrere Erpressungsversuche gegeben, sagte Baeriswyl. Nähere Angaben wollte er zu diesen Fällen nicht machen.
Private machen es generell etwas besser: Bei Banken und Versicherungen sind Kundendaten vergleichsweise gut geschützt.
Gemeinden setzten Hinweise nicht um
Was Baeriswyl ärgert: «Unsere Hinweise werden nur sehr teilweise umgesetzt«, sagte er mit Blick auf die Gemeinden. Bei den Spitälern würden seine Ratschläge immerhin positiv aufgenommen. Allerdings gebe es dort oft Verzögerung bei der Umsetzung.
Weil das Thema nicht überall mit der gleichen Ernsthaftigkeit verfolgt wird, fordert Baeriswyl vom Kanton eine Taskforce, welche Institutionen kontrolliert und beim Schliessen der Lücken begleitet. «Schon mit wenig Ressourcen würde sich viel erreichen lassen.»
Der Kanton Zürich bewilligte in diesem Jahr zwar zusätzliche zwanzig Stellen für die Verfolgung von Cyberkriminalität. Nach Ansicht des Datenschützers setzt dies aber zu spät an. Die Chancen, Betrüger zu überführen, seien gering. Indem Sicherheitslücken geschlossen würden, könnten diese Straftaten aber verhindert werden.
Beim Regierungsrat nimmt man die Forderung nach einer Taskforce zur Kenntnis, wie es dort auf Anfrage der sda hiess. Massnahmen würden zum jetzigen Zeitpunkt aber keine eingeleitet.