Partner
Der Sieger des Verfahrens wird noch nicht bekanntgegeben. Das Kostendach zur Prüfung des Vorfalls beim VwbP beträgt 1,65 Millionen Franken.
Der Cyberangriff vom Ende Juli aufs Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern (VwbP) beschäftigt Verwaltung, Bevölkerung sowie das Ausland nach wie vor. Wer hinter der Tat steckt, ist weiterhin unklar – die strafrechtlichen Ermittlungen laufen weiter. Bereits bestätigt hat das Amt für Informatik, dass beim Angriff keine Daten verändert wurden. Zudem gibt es bisher keine Hinweise, dass die gestohlenen Informationen der rund 31 000 Rechtsträger veröffentlicht wurden. Mehr Licht ins Dunkel soll eine externe Untersuchung des Vorfalls bringen. Vor gut einer Woche hat die Regierung den Auftrag hierfür vergeben. Dies erklärte Regierungschefin Brigitte Haas vergangenen Freitag, als sie im Landtag die Kleine Anfrage des FBP-Abgeordneten Daniel Seger beantwortete.
Welches internationale Unternehmen den Zuschlag erhalten hat, wird noch nicht verraten. Es gelte vorläufig noch die «gesetzliche Stillhaltefrist», betonte Haas. Dafür gab sie Auskunft, mit welchem Budget bei der Untersuchung des Cyberangriffs gerechnet wird. Demnach beträgt die Vergabesumme 1,65 Millionen Franken (exklusive Mehrwertsteuer). Bei dieser Angabe handle es sich um ein «Kostendach» – also den Preis, den der Auftragnehmer maximal verrechnen darf. Mit Ergebnissen rechnet die Regierung «in der ersten Hälfte 2027». Es dauere eine gewisse Zeit, weil es sich um einen komplexen Prozess handle. Der Auftrag umfasst die Aufarbeitung des Vorfalls, eine Kontrolle ausgewählter IT-Systeme und deren Management. «Die Regierung wird die interessierten Kreise über die wesentlichen Ergebnisse der externen Prüfung informieren, sobald die entsprechenden Grundlagen vorliegen», kündigte Regierungschefin Haas an.
Die Untersuchung des Cyberangriffs könnte damit teurer als die Entwicklung der Software für das betroffene VwbP werden. Anbieter Aviita mit Sitz in Triesen habe hierfür 374 400 Franken erhalten, berichtete der Schweizer Finanzblog «Inside Paradeplatz» am Wochenende. Der jährliche Wartungspreis betrage 32 400 Franken und beinhalte vier Sicherheitsupdates. Dies gehe aus Unterlagen hervor, die das Amt für Informatik erst kürzlich, nach mehreren Gesuchen und einer Beschwerde beim Verwaltungsgerichtshof, herausgegeben habe. «Die Dokumente werfen unangenehme Fragen auf», stellt «Inside Paradeplatz» nach der Sichtung fest. Im ursprünglichen Angebot erwähne Aviita für die Einrichtung einen Penetrationstest gemäss einer weltweit gängigen Methode (OSSTMM). So ein Prüfbericht wurde dem Finanzblog jedoch nicht übermittelt.
Für die bevorstehende Untersuchung des Vorfalls erfolgte eine offene Ausschreibung und es wurden Offerten von internationalen Unternehmen eingeholt. Die zwei Entwicklungsaufträge vom November 2020 beziehungsweise Juli 2021 sind dem Artikel zufolge hingegen «im Verhandlungsverfahren oberhalb des Schwellenwerts ohne vorgängige Bekanntmachung» erfolgt. Für die Softwareentwicklung wurde also kein Wettbewerb durchgeführt, sondern es erfolgte eine direkte Vergabe an einen einheimischen Anbieter. Das Vorgehen sticht hervor, weil es eher unüblich ist. Ausserdem handelt es sich beim VwbP um eine Datenbank mit sensiblen Informationen für das Treuhandwesen. Es dient den Behörden als Nachschlagewerk, um Geldwäscherei und Terrorismusfinanzierung zu bekämpfen.
Eine Vergabe von öffentlichen Aufträgen oberhalb des Schwellenwerts ohne vorherige Bekanntmachung ist allerdings nicht per se rechtswidrig. Gemäss Gesetz kann die Regierung bei «ausserordentlichen Umständen», die durch eine Verordnung genauer geregelt sind, direkte Vergaben für zulässig erklären. Gründe für solche Ausnahmen können zum Beispiel extreme Dringlichkeit, technische Exklusivität oder der Schutz von Informationen sein, die für die Staatssicherheit relevant sind. Es besteht dabei die Pflicht für eine schriftliche Begründung, die auf Antrag der EFTA-Überwachungsbehörde übermittelt werden muss.
Quelle: Liechtensteiner Vaterland, Autor: Gary Kaufmann
