Sicherheitsrisiko

Rechnungshof weist auf IT-Sicherheitslücken in Ministerien hin

Der Rechnungshof (RH) weist am Freitag in einem Bericht auf IT-Sicherheitslücken in mehreren Ministerien und dem Bundeskanzleramt hin.

ÖSTERREICH. Der RH kritisiert in seinem heute veröffentlichten Bericht etwa Mängel bei der Vorbereitung auf mögliche IT-Notfälle und IT-Sicherheitsrisiken bei Kompetenzverschiebungen hin. Geprüft wurden im Zeitraum von 2018 bis 2020 folgende Ministerien: das Bundeskanzleramt (BKA), das Bundesministerium für Digitalisierung und Wirtschaftsstandort (BMDW), das Bundesministerium für Kunst, Kultur, öffentlichen Dienst und Sport (BMKÖS), sowie das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz (BMSGPK).

Sicherheitsrisiko im Homeoffice

Der Rechnungshof beleuchtete auch Sicherheitsaspekte des Homeoffice im Zuge der COVID-19-Pandemie. Es zeigt sich: Bedienstete des BKA, des BMDW und des BMSGPK nutzten mitunter ihre private IT-Ausstattung, um den Dienstbetrieb aufrechtzuhalten. "Das birgt erhebliche Sicherheitsrisiken", heißt es vom RH. Die Nutzung eigener Geräte berge das Risiko, dass dienstliche Daten auf privaten Geräten gespeichert bleiben. "Zudem fehlten für die Nutzung privater IT-Ausstattung während des Homeoffice ausdrückliche Vorgaben zur IT-Sicherheit", heißt es in dem Bericht.

Für den regulären Dienstbetrieb solle der Einsatz privater IT-Ausstattung für Telearbeit daher nicht standardmäßig vorgesehen werden, empfiehlt der RH. Es brauche auch fürs Homeoffice eine dienstliche Ausstattung. Außerdem solle festgelegt werden, ob bestimmte Tätigkeiten jedenfalls aus Sicherheitsgründen an der Dienststelle zu verrichten sind. 

Vorbereitung auf IT-Notfälle mangelhaft

Verbesserungsbedarf sieht der Rechnungshof auch bei der Vorbereitung auf IT-Notfälle. Das Bundeskanzleramt hätte Notfallszenarien für intern betriebene IT-Systeme nicht ausreichend festgelegt. „Es existierte etwa kein IT-Notfallhandbuch, und Kriterien für den Eintritt eines IT-Notfalls waren nicht klar definiert", mahnt der RH. Im Wirtschaftsministerium waren Notfallkonzepte, etwa IT-Notfallhandbücher, IT-Notfallszenarien oder ITNotfallpläne, für die intern betriebenen IT-Systeme nicht vorhanden.

Der Rechnungshof empfiehlt daher, künftig für die intern betriebenen IT-Systeme und IT-Dienste ein IT-Notfallhandbuch mit allen wichtigen IT-Notfallszenarien zu erstellen und darin klare Kriterien für den Eintritt von IT-Notfällen und eine eigene IT-Notfallorganisation festzulegen.