Kleine Anfrage des Abg. Kaufmann Manfred zum Thema: eGD – Expertenmeinung zu allfälligen Risiken und Schwachstellen
Am 16. September 2023 titelte das «Vaterland» «IT-Sicherheitsexperten orten Schwachstellen bei eGD-Software». Laut Hackern bietet der Betreiber der Software für das elektronische Gesundheitsdossier systematisch Einfallstore für Cyberangriffe.
Der Artikel wirft Fragen auf, weshalb ich von der Regierung Folgendes in Erfahrung bringen möchte:
Wie kommt es dazu, dass die IP-Adressen zur Liechtensteiner eGD-Website im Besitz des amerikanischen Unternehmens Cloudflare mit Sitz in San Francisco sind?
Die Prämisse der Frage ist nicht korrekt, da sich keine IP-Adressen zur eGD-Website im Besitz des amerikanischen Unternehmens Cloudflare befinden. Cloudflare ist ein führendes Unternehmen im Bereich Web-Sicherheit und Content Delivery. Dessen Technologie ist in die Sicherheitsinfrastruktur des elektronisches Gesundheitsdossiers integriert, um sensible Daten vor potenziellen Bedrohungen zu schützen. Um diesen Schutz zu gewährleisten, verarbeitet Cloudflare lediglich Metadaten, darunter Informationen zur Verfügbarkeit des Dienstes, IP-Adressen und IP-Bedrohungsbewertungen sowie Anfragevolumina.
Wer hat allenfalls dieses Eigentumsverhältnis zugelassen beziehungsweise wer trägt die Verantwortung dafür?
Wie bereits in der Antwort zu Frage 1 festgehalten ist, liegt kein Eigentumsverhältnis vor. Cloudflare verarbeitet ausschliesslich Metadaten, die für die Sicherheit und den Schutz des Netzwerks erforderlich sind. Das Unternehmen hat weder Zugriff auf noch Kontrolle über Inhalte der im Gesundheitsdossier gespeicherten Dokumente. Selbst die Metadaten werden nicht in den USA über einen längeren Zeitraum gespeichert, sondern nach einigen Stunden wieder gelöscht.
Warum wurde in Kauf genommen, dass die höchstsensiblen eGD-Daten in die USA geschickt werden?
Die Prämisse dieser Frage ist nicht korrekt. Es wurden und werden keine höchstsensiblen eGD-Daten in die USA geschickt.
Was resultiert datenschutzmässig aus der angeblichen Information, dass dieses erwähnte Unternehmen dem amerikanischen Gesetz «Cloud-Acts» unterstellt ist und somit US-Behörden Datenzugriff haben?
Die Anwendung des Cloud Acts auf von Cloudflare verarbeitete Daten ist aus mehreren Gründen äusserst unwahrscheinlich und wäre aktuell mangels Abkommen mit den USA rechtlich unzulässig. Zudem wäre für einen Datenzugriff unter dem Cloud Act ein Gerichtsbeschluss erforderlich, der sich auf einen begründeten Verdacht stützt, dass die Daten relevant sind für eine laufende strafrechtliche Untersuchung in den USA. Die Wahrscheinlichkeit, dass diese Voraussetzungen in Bezug auf die Dienstleistungen von Cloudflare zutreffen, ist praktisch auszuschliessen. Die Daten sind über einen viel zu kurzen Zeitraum vorhanden, umfassen keinen Kommunikationsinhalt und können angesichts ihres Umfangs (IP-Adresse und Gerätedaten) kaum für eine strafrechtliche Untersuchung in den USA relevant sein.
Wird die Regierung die Bevölkerung detailliert über die aufgezeigten Sachverhalte des Liechtensteiner IT-Sicherheitsexperten informieren und falls ja, bis wann?
Es ist geplant, generell zum Thema Sicherheit im eGD zu informieren. Ein Zeitplan liegt allerdings noch nicht vor.
Kleine Anfrage der Abg. Hoop Franziska zum Thema: Missbrauch in der katholischen Kirche
Im Jahr 2022 gab die Bischofskonferenz in der Schweiz eine Studie in Auftrag, um eine Aufarbeitung von sexuellem Missbrauch in der Umgebung der katholischen Kirche zu erforschen. In der Schweiz wurde seitens katholischer Kirche umgehend beschlossen, Massnahmen zur Verhinderung von sexuellen Übergriffen einzuleiten. Im Interview mit Radio L äusserte Benno Elbs, Bischof von Feldkirch und neuer Apostolischer Administrator in Liechtenstein, dass es in Österreich eine klare und stringente Vorgangsweise gebe. Sexueller Missbrauch solle nicht verharmlost und verschwiegen werden. Das Erzbistum Vaduz äusserte sich bisher nicht zu möglichen Schutzmassnahmen.
Dazu meine vier Fragen:
Welche Schutzmassnahmen fordert die Regierung gegenüber der katholischen Kirche ein?
Wie in der Einleitung zur Kleinen Anfrage von der Fragestellerin bereits beschrieben wird, war es in der Schweiz die Bischofskonferenz und damit die Katholische Kirche selbst, die die Studie in Auftrag gegeben hat. Es wäre auch in Liechtenstein Aufgabe der Katholischen Kirche im Anlassfall entsprechende Untersuchungen einzuleiten. Die Regierung kann keine Schutzmassnahmen von der Katholischen Kirche fordern. Die Katholische Kirche hat – wie jede andere Organisation und Gruppierung – sich aber an geltendes Recht zu halten.
Gibt es eine Anlaufstelle für die Opfer in Liechtenstein von damals?
Allfällige Opfer von Straftaten, somit auch Opfer von Sexualdelikten, können sich an die Opferhilfestelle wenden. Sie bietet Beratung und Unterstützung für jede Person an, die durch eine Straftat in ihrer körperlichen, psychischen oder sexuellen Integrität unmittelbar beeinträchtigt worden ist. Die Opferhilfestelle kann zur Erfüllung ihrer Aufgaben andere Hilfseinrichtungen beiziehen, wenn dies vom Opfer gewünscht ist. Weitere Anlaufstellen werden auf der Homepage der Opferhilfestelle aufgeführt.
Würde die Regierung Geld sprechen, um bei der Studie mitzuwirken, nachdem ein Fall mit Liechtensteinbezug Teil der Studie ist?
Wie in Frage 1 ausgeführt, liegt die Verantwortung für eine solche Studie oder eine Ergänzung nicht bei der Regierung, sondern bei der betroffenen Organisation selbst.
Welche Einflussmöglichkeiten hat die Regierung beziehungsweise die Justiz Liechtensteins gegenüber der katholischen Kirche zur Herausgabe der Akten?
Die Justiz bzw. die Strafverfolgungsbehörden können nur tätig werden, wenn ihnen der Sachverhalt bekannt ist, aus welchem sich ein Verdacht auf sexuellen Missbrauch ergibt. Bei einem Verdacht auf sexuellen Missbrauch sollte daher Strafanzeige bei der Landespolizei oder der Staatsanwaltschaft erstattet werden, damit die Strafverfolgungsbehörden den Sachverhalt erheben und den Verdacht prüfen können.
Wenn ein solcher Verdacht einer strafbaren Handlung vorliegt, kann die Staatsanwaltschaft nach der Strafprozessordung beim Untersuchungsrichter Zwangsmassnahmen beantragen, insbesondere eine Hausdurchsuchung oder eine Herausgabeanordnung, und die Akten beschlagnahmen lassen, wenn diese nicht freiwillig herausgegeben werden.
