Parlamentarische Untersuchungskommission Datensicherheit (Kanton Zürich)

Die Parlamentarische Untersuchungskommission Datensicherheit (PUK Datensicherheit) war ein vom Zürcher Kantonsrat eingesetztes Gremium. Es untersuchte einen Datensicherheitsvorfall bei der Direktion der Justiz und des Innern (JI) des Kantons Zürich sowie übergeordnete Fragen zur Informationssicherheit in der kantonalen Verwaltung. Der Kantonsrat setzte die Kommission am 3. Juli 2023 mit 92 zu 76 Stimmen ein.

mini|Gedruckte Exemplare des Schlussberichts der PUK Datensicherheit

Nach gut zweijähriger Untersuchung genehmigte die PUK ihren Schlussbericht am 21. November 2025 mit 11 zu 0 Stimmen. Die Untersuchung umfasste 50 Sitzungstage, umfangreiches Aktenstudium sowie knapp 1000 Seiten protokollierter Befragungen. Der Schlussbericht enthielt 50 Empfehlungen, die unter anderem die Organisation und Steuerung der Informationssicherheit, rechtliche Grundlagen, die Entsorgung und Löschung von Datenträgern sowie die interne, externe und parlamentarische Aufsicht betrafen. Die PUK kritisierte insbesondere die unzureichende direktionsübergreifende Steuerung der Informationssicherheit und ein fortbestehendes «Silodenken». Einen kausalen Zusammenhang zwischen einem Fehlverhalten des Regierungsrates oder einzelner Direktionsvorsteherinnen und Direktionsvorsteher und dem ursprünglichen Datensicherheitsvorfall stellte sie dahingehend nicht fest.

Hintergrund

Ende 2022 wurde der zuvor verwaltungsintern behandelte Datensicherheitsvorfall Gegenstand einer breiten öffentlichen und politischen Diskussion. In der parlamentarischen Anfrage KR-Nr. 456/2022 vom 28. November 2022 wurde thematisiert, dass zahlreiche zur Entsorgung bestimmte Festplatten der Zürcher Justiz teilweise hochsensible, ungelöschte Daten enthalten hätten und in die Hände unbefugter Dritter gelangt seien.

Am 5. Dezember 2022 folgte eine dringliche Interpellation zu den Verantwortlichkeiten innerhalb der JI. Im Rahmen der anschliessenden parlamentarischen Behandlung forderten verschiedene Mitglieder des Kantonsrates die Einsetzung einer parlamentarischen Untersuchungskommission. Die für die parlamentarische Oberaufsicht zuständige Geschäftsprüfungskommission (GPK) beschloss am 26. Januar 2023, dem Kantonsrat die Einsetzung einer PUK zu beantragen. Am 27. April 2023 verabschiedete sie ihren Bericht und den formellen Antrag.

Einsetzung und Auftrag

Am 3. Juli 2023 folgte der Kantonsrat dem Antrag der GPK und setzte die PUK Datensicherheit mit 92 zu 76 Stimmen gestützt auf die §§ 115 ff. des Kantonsratsgesetzes ein. Gegenstand der Untersuchung waren der Datensicherheitsvorfall bei der Direktion der JI sowie allfällige Bezüge zu weiteren kantonalen Stellen.

Der Auftrag ging über die reine Rekonstruktion des eigentlichen Vorfalls hinaus: Die PUK hatte insbesondere zu klären, über welchen Zeitraum sich der Datensicherheitsvorfall erstreckt hatte, wer dafür verantwortlich war und wann der Regierungsrat sowie die direkt betroffenen Direktionen davon Kenntnis erhalten hatten. Zudem sollte sie untersuchen, ob die zuständigen Stellen zweckmässig, zeitnah und rechtmässig reagiert hatten, wie die Entsorgung von Datenträgern im fraglichen Zeitraum geregelt war und ob die Datensicherheit sowie die Datenvernichtung in der kantonalen Verwaltung ausreichend geregelt und dokumentiert waren. Auf Grundlage ihrer Untersuchungsergebnisse sollte die PUK organisatorische und strukturelle Verbesserungsvorschläge aufzeigen und dem Kantonsrat über festgestellte Verantwortlichkeiten und institutionelle Mängel berichten.

Zusammensetzung und Organisation

Am 4. September 2023 wählte der Kantonsrat zwölf Mitglieder in die PUK und bestimmte Benno Scherrer (GLP, Uster) zu deren Präsidenten. In ihrer zweiten Sitzung vom 6. Oktober 2023 wählte die Kommission Michael Bänninger (EVP, Winterthur) zum Vizepräsidenten. Vertreten waren GLP, EVP, Die Mitte, FDP, SVP, Grüne, SP und AL. Nachdem Yvonne Bürgin infolge ihrer Wahl in den Nationalrat aus dem Kantonsrat und der PUK ausgeschieden war, wurde am 20. November 2023 Marzena Kopp (Die Mitte, Meilen) zu ihrer Nachfolgerin in der PUK gewählt.

Das Sekretariat wurde von den Parlamentsdiensten des Kantonsrates geführt. Der wissenschaftliche Mitarbeiter Heiri Gander war mit einem Pensum von 80 Stellenprozenten als Sekretär der PUK tätig. Per 1. Oktober 2023 wurde Rechtsanwältin Noëlle Glaus mit einem Pensum von 20 Stellenprozenten als Rechtskonsulentin angestellt und zur Stellvertreterin des PUK-Sekretärs ernannt.

Die Untersuchungsakten wurden im Geschäftsverwaltungssystem des Kantonsrates geführt. Der Zugriff war auf die Mitglieder der PUK, den PUK-Sekretär, die Rechtskonsulentin und die Protokollführerin beschränkt. Zu den wenigen physisch aufbewahrten Akten hatten nur der PUK-Sekretär und die Rechtskonsulentin Zugang.

Untersuchungstätigkeit

Im Schreiben vom 2. November 2023 informierte die PUK die Vorsteherin der Direktion der JI, Jacqueline Fehr, über den Beginn ihrer Untersuchung und bat um die Zustellung des Schlussberichts der zuvor durchgeführten Administrativuntersuchung. Am 7. Februar 2024 war für das Sekretariat der PUK ein Fernzugriff auf das Geschäftsverwaltungssystem der JI eingerichtet. Die beigezogenen Akten umfassten insbesondere die Unterlagen, welche die JI seit Sommer 2023 im Hinblick auf die Tätigkeit der PUK zusammengestellt hatte, darunter den ungeschwärzten Schlussbericht der Administrativuntersuchung mit Beilagen. Insgesamt nahm die PUK zunächst 224 Dokumente der JI zu ihren Akten; im März 2025 kamen weitere hinzu.

Parallel dazu koordinierte die Kommission ihre Arbeit mit den strafrechtlichen Ermittlungen. Bereits im Oktober 2023 informierte der damalige Leitende Oberstaatsanwalt Herr Andreas Eckert die PUK über die laufenden Verfahren. Für konkrete Fragestellungen konnte sie nach Absprache mit der Verfahrensleitung Einsicht in die Akten der Staatsanwaltschaft III nehmen und Unterlagen beiziehen.

In einer ersten Phase zur Informationsbeschaffung führte die PUK zwischen Ende Januar und Ende März 2024 Befragungen und Einvernahmen zu den Themen Informationssicherheit, Datenschutz, Datenträgerentsorgung und Archivwesen durch. Die gewonnenen Erkenntnisse bildeten die Grundlage für die anschliessende Sachverhalts- und Beweiserhebung. Zwischen Juni 2024 und Januar 2025 befragte die Kommission dazu unter anderem Mitglieder und ehemalige Mitglieder des Regierungsrates, Mitarbeitende kantonaler Stellen sowie weitere Auskunftspersonen und Zeugen.

Neben der Rekonstruktion der historischen Abläufe erhob die PUK auch den aktuellen Stand der Informationssicherheit. Am 22. Januar 2025 sandte sie den Informationssicherheitsbeauftragten der Direktionen einen Fragebogen zu; bis zum 21. Februar lagen sämtliche Antworten vor. Einen weiteren Fragebogen erhielten am 23. Januar die selbständigen öffentlich-rechtlichen Anstalten des Kantons. Deren Antworten gingen bis März 2025 ein.

Die Sachverhaltsermittlung und eigentliche Berichtsarbeit liefen zeitweise parallel. Bereits im Januar 2025 begann die PUK mit der Beratung ihrer Feststellungen und Schlussfolgerungen. Mitte März legte sie die Struktur des Schlussberichts fest. Zwischen Mai und Juli beriet sie die einzelnen Teilberichte; im August führte sie die Ergebnisse zu einer Gesamtsicht zusammen und befasste sich mit ihren Schlussfolgerungen und Empfehlungen. Im September wurde der Entwurf des Schlussberichts integral beraten und vorläufig verabschiedet.

Anschliessend erhielten die vom Bericht betroffenen Personen Gelegenheit, sich im Rahmen des rechtlichen Gehörs spezifischen, sie betreffenden Teilen des Berichtsentwurfs zu äussern. Nach Auswertung der Stellungnahmen und entsprechender Überarbeitung genehmigte die PUK den Schlussbericht am 21. November 2025 mit 11 zu 0 Stimmen zuhanden des Kantonsrates.

Feststellungen zum Datensicherheitsvorfall

Die PUK grenzte den Zeitraum, in dem durch eine unsachgemässe Entsorgung von Datenträgern Daten der JI abgeflossen sein könnten, auf die Jahre 2002 bis 2014 ein. Nach den strafrechtlichen Ermittlungen könnte der damals beigezogene externe Dienstleister in diesem Zeitraum maximal rund 2700 Personal Computer der JI zur Löschung, Wiederverwendung oder Entsorgung erhalten haben. Hinzu kamen möglicherweise 60 bis 70 Geräte der Statthalterämter sowie Papierakten und Datenträger aus dem Entwicklungsbüro des Rechtsinformationssystems (RIS). Wie viele Geräte und Datenträger tatsächlich vom Datenabfluss betroffen waren, liess sich jedoch nicht abschliessend bestimmen. Insbesondere war nicht mehr vollständig rekonstruierbar, wie viele Datenträger dem Dienstleister übergeben worden waren und in welchem Umfang diese verschlüsselt waren.

Für die Zusammenarbeit mit dem externen Dienstleister liess sich keine vollständige Dokumentation mehr rekonstruieren. Die PUK konnte insbesondere keinen schriftlichen Vertrag feststellen; auch die damaligen Kontroll- und Sicherheitsmechanismen erwiesen sich als unzureichend.

Im Rahmen der strafrechtlichen Ermittlungen wurden an zehn verschiedenen Orten 202 Datenträger oder Gehäuse sichergestellt. Darunter befanden sich vier private Geräte, 39 Serverplatten, 150 Datenträger wie Festplatten oder USB-Sticks sowie neun Computergehäuse ohne Datenträger. Bei den 39 Serverplatten konnte eine Herkunft von der JI lediglich vermutet werden; sie waren aus ihren RAID-Verbünden herausgelöst und für Dritte nicht mehr lesbar. Von den 150 übrigen Datenträgern konnten 73 der JI und 43 Dritten zugeordnet werden; bei 34 blieb die Zuordnung offen. Da auch auf privaten Datenträgern kopierte JI-Daten gefunden wurden, ging die Staatsanwaltschaft III insgesamt von etwa 80 bis 90 Datenträgern mit JI-Relevanz aus.

Betroffen waren Daten verschiedener Amtsstellen der JI, insbesondere des Statistischen Amtes und des Amtes für Justizvollzug und Wiedereingliederung. Daneben fanden sich Unterlagen unter anderem aus Staatsanwaltschaften, dem Gemeindeamt, dem Staatsarchiv und den Statthalterämtern sowie punktuell aus Bezirksratskanzleien und dem Verwaltungsgericht. Nach den Ermittlungen stammten die Daten aus lokal und unverschlüsselt gespeicherten Informationen und nicht direkt aus dem Rechtsinformationssystem (RIS). Hinweise darauf, dass Daten anderer Direktionen oder der Staatskanzlei in Umlauf gelangt waren, ergaben sich nicht.

Nicht alle Entsorgungsvorgänge innerhalb dieses Zeitraums waren jedoch gleich gelagert. Für den Austausch der Arbeitsplatzcomputer im Jahr 2010 konnte die PUK einen gesonderten und dokumentierten Entsorgungsprozess nachvollziehen. Dabei wurden 2649 Geräte ausgemustert; für 2385 davon lagen noch Löschzertifikate vor. Der für andere untersuchte Entsorgungsvorgänge relevante externe Dienstleister war an diesem Prozess nicht beteiligt.

Die PUK unterschied die festgestellten organisatorischen und prozessualen Mängel von der politischen Verantwortlichkeit für den ursprünglichen Datensicherheitsvorfall. Einen kausalen Zusammenhang zwischen einem Fehlverhalten des Regierungsrates oder einzelner Direktionsvorsteherinnen und Direktionsvorsteher und dem ursprünglichen Vorfall stellte sie nicht fest.

Internes Bekanntwerden und Aufarbeitung ab 2020

Ausgangspunkt des internen Bekanntwerdens war ein Vorfall vom 8. November 2020, als die Mutter eines Beschuldigten einen Zürcher Staatsanwalt an dessen Privatadresse aufsuchte. Im Gespräch stellte sich heraus, dass sie dessen Kontaktdaten über Roland Gisler erhalten hatte, gegen den bereits ein Strafverfahren lief. Am folgenden Tag informierte der Staatsanwalt den Leitenden Oberstaatsanwalt und wies auf den Verdacht hin, dass Gisler über seinen Bruder in den Besitz von Daten der JI gelangt sein könnte. Die Oberstaatsanwaltschaft veranlasste daraufhin Ermittlungen durch die Staatsanwaltschaft Zürich-Sihl.