Staatssicherheitsdienst verhaftet externen Mitarbeiter wegen Diebstahls von Forschungsdaten

Chinas Ministerium für Staatssicherheit (MSS) hat die Festnahme eines externen IT-Wartungsmitarbeiters bekannt gegeben, der beschuldigt wird, sensible Kernforschungsdaten heruntergeladen und an ausländische Geheimdienste weitergeleitet zu haben. Der Fall unterstreicht die wachsenden Sicherheitsbedenken im Zusammenhang mit der Auslagerung von IT-Betrieben, da immer mehr Organisationen für Systemwartung, Datenaggregation und Plattformunterstützung auf Drittanbieter angewiesen sind.

Das MSS warnte, dass mangelnde strenge Aufsicht dazu geführt hat, dass einige Einheiten und Einzelpersonen nachlässig geworden sind und kritische Geschäftsabläufe, Daten und Berechtigungen an Dienstleister übertragen, ohne angemessene Schutzmaßnahmen zu ergreifen. Dieser Ansatz, der als „Hands-off“-Modell bezeichnet wird, kann systemische Sicherheitsrisiken schaffen. In den letzten Jahren haben Sicherheitsbehörden mehrere Fälle von Datenlecks und -verlusten im Zusammenhang mit ausgelagerten Datendiensten gemeldet, was eine Tendenz zur Priorisierung von Geschäftsfortschritten und Serviceeffizienz gegenüber robusten Sicherheitskontrollen aufzeigt.

In einem speziellen Fall ging es um eine Forschungseinrichtung, die den Betrieb ihrer experimentellen Datenbank an ein Drittunternehmen ausgelagert hatte. Die Einrichtung versäumte es, wesentliche Sicherheitsmaßnahmen wie Hintergrundüberprüfungen des Personals vor Ort und eine Protokollierung des Datenzugriffs zu implementieren. Ein externer Wartungsmitarbeiter, der von ausländischen Geheimdiensten angelockt wurde, nutzte Fernzugriffsberechtigungen aus, um umfangreiche Kernforschungsdaten herunterzuladen und ins Ausland zu schmuggeln. Der Mitarbeiter wurde inzwischen von nationalen Sicherheitsbehörden festgenommen, und die verantwortlichen Personen innerhalb der Forschungseinrichtung stehen vor einer Rechenschaftspflicht.

Weitere gemeldete Vorfälle umfassen ein Unternehmen, das Datendienste für ein Krankenhaus anbot und heimlich über 280.000 Patientenakten für seine eigene Datenbank sammelte. Ein weiterer Fall betraf eine öffentliche Einrichtung, deren Website, die für den Bau und die Wartung ausgelagert war, einen Cyberangriff und die Einschleusung illegaler Inhalte erlitt, da der Anbieter es versäumt hatte, grundlegende Cybersicherheitsmaßnahmen zu implementieren und bekannte Schwachstellen zu patchen.

Das MSS stellte fest, dass die Risiken im Zusammenhang mit „Daten-Outsourcing“ üblicherweise aus unzureichender Überprüfung des Personals, schlechter Zugriffskontrolle und mangelnder Closed-Loop-Verwaltung resultieren. Chinesische Gesetze, einschließlich des Datensicherheitsgesetzes, schreiben klare vertragliche Bestimmungen bezüglich der Zwecke, Dauer, Methoden, des Umfangs und der Schutzmaßnahmen der Datenverarbeitung bei der Beauftragung von Drittanbietern vor. Das Ministerium betonte, dass die Auslagerung die auftraggebende Stelle nicht von ihrer Hauptverantwortung für die Datensicherheit entbindet.