Sicherheitsrisiko: Kanton schaltet mehrere Online-Dienste ab

Die Tessiner Kantonsverwaltung hat vorübergehend einige Online-Dienste aus Sicherheitsgründen abgeschaltet. Die Entscheidung wurde heute Abend von Bellinzona aus vom Departement für Finanzen und Wirtschaft mitgeteilt, das betonte, dass die Massnahme ausschliesslich vorsorglich und befristet getroffen wurde.

Ursprung der Massnahme ist eine heute vom Bundesamt für Cybersicherheit (BACS) veröffentlichte Warnung, der zuständigen Schweizer Behörde in diesem Bereich. Das Bundesamt hat zwei kritische Schwachstellen in PHP identifiziert, einer Programmiersprache, die sowohl national als auch international breit für den Betrieb von Websites und Online-Diensten eingesetzt wird. Laut BACS könnten die beiden Schwachstellen einem Angreifer ermöglichen, auf den betroffenen Servern schädlichen Code auszuführen, ohne sich vorher authentifizieren zu müssen.

Dringend empfohlene Updates

Die Sicherheitsupdates zur Behebung der beiden Schwachstellen sind bereits verfügbar. Deshalb empfiehlt das BACS allen Verantwortlichen für IT-Systeme, diese so schnell wie möglich zu installieren, ohne weitere Bestätigungen abzuwarten. Das Bundesamt weist zudem darauf hin, dass sich die Kontrollen nicht auf Webserver beschränken dürfen: Auch Anwendungen und Geräte, die PHP als internen Bestandteil enthalten, müssen überprüft werden, da sie ebenso gefährdet sein könnten.

Das Ausmass des Problems wird durch die Einschätzung des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) bestätigt. Die deutsche Behörde hat das mit diesen Schwachstellen verbundene Risiko in die Stufe «3 / Orange» eingeordnet, was gemäss ihrer eigenen Bewertungsskala einer als extrem hoch beschriebenen Bedrohung entspricht.

Im Tessin hat die Kantonsverwaltung nicht präzisiert, welche Online-Dienste ausgesetzt wurden, noch wie viele Bürgerinnen und Bürger oder Ämter davon betroffen sind. In der Mitteilung wird auch kein Datum für die Wiederinbetriebnahme genannt: Es wird lediglich wiederholt, dass die Abschaltung befristet ist und ausschliesslich die als gefährdet eingeschätzten Systeme betrifft, bis die notwendigen Korrekturen angewendet worden sind.

«I servizi saranno riattivati non appena saranno state applicate le misure necessarie» (die Dienste werden wieder aktiviert, sobald die notwendigen Massnahmen umgesetzt wurden), versicherte der Kanton.