Die Schweizer Gemeindeverwaltungen sind von grossen, reisserischen Pech und Pannenberichten bis heute verschont geblieben. Man ist überzeugt, dass es Storys wie «CD mit sämtlichen Sozialhilfeempfängern kam beim Transport abhanden», «offener Webzugang zur aktuellen Einwohnerdatei», «Baugesuche sind aus dem IT-System verschwunden» nur im Ausland gibt. Auf unseren Verwaltungen wird durchs Band verantwortungsbewusst und mit hoher Qualität gearbeitet. Die meisten Mitarbeitenden sind sich jedoch kaum bewusst, wie stark ihre heutige Tätigkeit von einer funktionierenden IT-Umgebung abhängt. Die von den Stimmbürgern eingesetzten «Hüter» und «Garanten» für eine effiziente und bürgerfreundliche Verwaltung können nur hoffen, dass nichts passiert und sie nicht unvorbereitet für erlittene IT-Pannen plötzlich Rede und Antwort stehen müssen.

Von grossen IT-Pannen und latenten Gefahren
Funktioniert die IT nicht, kann an den meisten Verwaltungsarbeitsplätzen nicht weitergearbeitet werden (siehe Tabelle). Und ein Behördengang ohne Resultat löst grosse Verärgerung aus. Für jede Amtshandlung wurde in den letzten drei Jahrzehnten eine IT-Lösung gebaut. Die Mitarbeitenden bedienen diese Instrumente tagtäglich und vertrauen den Ergebnissen vielfach blindlings. Zu den latenten Gefahren gehören

  • die unbekümmerte Bedienung: Die grösste und teuerste Gefahr für die IT entsteht gemäss verschiedenen Studien durch Irrtum und Nachlässigkeit der Mitarbeitenden in der Verwaltung. Das Fehlverhalten wird begründet mit fehlenden Regelungen, Unwissenheit, mangelnder Ausbildung und Gleichgültigkeit der Menschen
  • der Remote-Support: Heute stehen in den Gemeindeverwaltungen neben den zentralen Applikationen 20 und mehr Randapplikationen im Einsatz. Diese werden von unterschiedlichen Herstellern meistens über Remote-Support am Laufen gehalten. Die Datenintegrität ist durch den Zugang von aussen gefährdet

Weitere Gefahren sind beispielsweise

  • Nachlässigkeiten im Umgang mit Listen bei Transport, Lagerung, Vernichtung und Wiederverwendung (Rückseiten)
  • Verlassen von Bildschirmarbeitsplätzen ohne Logout
  • Passwort-Handling
  • externe DVDs, USB-Sticks, Handys, PDAs oder Notebooks enthalten ein hohes Gefahrenpotenzial 
  • einfacher Zutritt zu Datenarchiven



Der Spagat zwischen Datenschutz und Auskunftsbereitschaft
Alle Amtsstellen verlangen den Zugang zu Einwohnerdaten wie auch zu Debitoren und Kreditoreninformationen. Die Daten sind vorhanden – in einer Form, in der sie sozusagen kostenlos den Interessenten zur Verfügung gestellt werden können. Der Zugang ist somit nur noch eine Formsache. Die Datenschutzstelle beobachtet im Bereich Personendaten deren korrekte Bearbeitung. Sie kontrolliert, wie die «öffentlichen Organe» – unter anderem Gemeinderäte, Kommissionen und Verwaltungsstellen – mit den Personendaten umgehen. Wird nach den Grundsätzen von Treu und Glauben und der Verhältnismässigkeit gearbeitet? Das bedeutet die Beachtung von Zweckbindung, Zugriffsrechten, Datenvermeidung und Datensparsamkeit. Bei festgestellten Mängeln werden die Verantwortlichen ermahnt – das sind die Gemeindebehörden!

Wie die Nuss geknackt werden kann
IT-Sicherheit ist Chefsache. Wie kriegt die verantwortliche Behörde das Thema in den Griff? Hat sie die Zeit und das Wissen für fundierte Sicherheitsabklä¬rungen, oder soll sie Hilfe von aussen für folgende notwendige Arbeiten beiziehen?

Definition des Schutzbedarfes

  • Der Ausführungsgrad der technischen Sicherheit wird ermittelt aufgrund der Frage: Wie viel Ausfall verträgt die EDV? 
  • Wie lange können Sachbearbeiter schlimmstenfalls ohne Verfügbarkeit einer Anwendung auskommen? 
  • Eine tabellarische Auflistung sämtlicher Anwendungen dient der Ermittlung des Schutzbedarfes

Sind die Verwaltungsmitarbeitenden für die IT-Sicherheit sensibilisiert? 

  • Die Gefährdung im IT-Betrieb setzt sich zusammen aus Bedrohung und Schwachstellen
  • Die Gefährdungsarten sind grob in höhere Gewalt, technisches Versagen, vorsätzliche Handlung und organisatorische Mängel zu unterteilen

Wie bekommt die Behörde verlässliche Auskunft über den Sicherheitszustand in ihrer Gemeindeverwaltung?

  • Durch Beiziehen von spezialisierten, unabhängigen Fachleuten
  • Erfassen der Istsituation vor Ort zusammen mit dem IT-Verantwortlichen
  • Gemeinsame Festlegung des Schutzbedarfes Definition der Zugriffsberechtigungen.

Ein Bericht über den Sicherheitszustand und ein Massnahmenkatalog zur Sicherstellung der IT-Sicherheit müssen der Behörde vorliegen und laufend bei IT-Entscheiden beigezogen werden. Eine grundsätzliche Abklärung der IT-Sicherheit ist für alle von Nutzen – für die Behörden, das Verwaltungskader, die IT-Verantwortlichen und nicht zuletzt für die Bürgerinnen und Bürger.

Das Beispiel der Gemeinde Arth 
Die IT-Kommission der Gemeinde Arth entschied im Frühling 2008 anlässlich einer Sicherheitspräsentation, eine detaillierte Sicherheitsabklärung in Auftrag zu geben. Diese lief folgendermassen ab:

Standortbestimmung: Vor Ort wurde anhand eines Kriterienkataloges die Sicherheit rund um den IT-Betrieb abgeklärt. Die Hardware- und Netzwerkkomponenten wurden erfasst. Besonders aufmerksam wurden der Zugang zu den Daten und die Bedienung der Programme durchleuchtet 
Kenntnisnahme Sicherheitsbericht: Der aus den Abklärungen entstandene Sicherheitsbericht wurde aufmerksam zur Kenntnis genommen. Er zeigt die vorhandenen Schwachstellen auf und unterstützt die IT-Kommission mit einem Massnahmekatalog in ihren zukünftigen Sicherheitsvorkehrungen
Strategie-Ausarbeitung: Machbarkeit abklären, technisch, organisatorisch. Kostenschätzung pro Schwachstelle
Prioritäten setzen: Terminierung der Umsetzung
Umsetzung: Zuerst wurde ein Notfallszenario ausgearbeitet für den Fall, dass an den Bildschirmen in der Gemeindever-waltung nichts mehr geht. Es soll der Gemeindeleitung ermöglichen, einen Desasterablauf ordnungsgemäss nach Re¬geln abzuwickeln. Ein Sicherheitshandbuch ist in Arbeit, wird laufend fortgeschrieben und dient den Mitarbeitenden als Nachschlagewerk für alle IT-Sicherheitsbelange. Die IT-Sicherheit ist ab sofort ein fixes Traktandum in den Sitzungen der IT-Kommission. Sicherheitsbericht nachführen


---
 
Zum Autor:
Urs Fässler, Fässler Consulting, Tribull AG, Impact Systems Schweiz  

---

Quelle:
Schweizer Gemeinde 2/10

---

Text in Originalversion und -länge: