Spar: Spionage durch Bundeswettbewerbsbehörde?

Der Spar-Konzern erhebt schwere Vorwürfe gegen die Bundeswettbewerbsbehörde (BWB): Diese habe bei der jüngsten Hausdurchsuchung am 19. August in der Regionalzentrale in Maria Saal in Kärnten eine Spionage-Software eingesetzt, die das FBI entwickelt habe und in Österreich nicht einmal bei Gewaltverbrechen verwendet werden dürfe, sagte Spar-Vorstandschef Gerhard Drexel im Interview mit den Salzburger Nachrichten (SN, Donnerstagausgabe). Die BWB ermittelt wegen des Verdachts von Preisabsprachen zwischen Spar und seinen Lieferanten.

"Es hat sich um einen ganz normalen USB-Stick mit Standard-Software gehandelt, den das Bundeskriminalamt bei Hausdurchsuchungen schon Hunderte Male verwendet hat", so ein Sprecher der Behörde gegenüber der APA. Im Übrigen habe die gerichtlich angeordnete Hausdurchsuchung nicht die Bundeswettbewerbsbehörde durchgeführt sondern das Bundeskriminalamt. Nachsatz: "Herr Drexel schaut offenbar zu viel Science-Fiction."

Firewall entdeckte Software

Die Firmen-Firewall hat laut Spar-Chef die Schadsoftware bemerkt. In einer Telefonkonferenz mit der Bundeswettbewerbsbehörde, die auch protokolliert wurde, hätten Beamte des Bundeskriminalamts angegeben, als Hilfsorgan bei der Hausdurchsuchung auf Wunsch der Bundeswettbewerbsbehörde eine ihnen neuartige Software eingesetzt zu haben, die sie über einen „befreundeten Dienst“ erhalten hätten. "Einer der Mitarbeiter des Bundeskriminalamts hat bei der Hausdurchsuchung in Kärnten ohne unser Wissen einen USB-Stick mit dieser Software an unseren Rechner angesteckt. Unsere Firewall hat aber einen Programmteil als schädlich erkannt und abgewehrt. Das Programm heißt osTriage und ist eine Sammlung von Tools mit vielen Programmen und Inhalten", sagte Drexel.

Sachverständiger

Spar habe sofort einen gerichtlich beeideten Sachverständigen mit der Erstellung eines Gutachtens beauftragt. In diesem werde "wasserdicht bewiesen", worum es sich handelt. Die Bundeswettbewerbsbehörde habe eingeräumt, selbst wenig über das Programm zu wissen. "Sie war überrascht, dass unsere Firewall das überhaupt bemerkt hat." Das Unternehmen habe dann Kontakt zum Entwickler des Programms beim FBI aufgenommen. Die Software sei demnach entwickelt worden, um schnell einen gesamten Zugriff auf ein System zu haben. Dadurch sollen unter anderem Daten mit der FBI-Datenbank abgeglichen werden können, etwa zur Terrorismusbekämpfung.

"Wir wollten wissen, was das Programm bei uns anrichten kann. Wir haben ja eine voll automatisierte Logistik. Wir könnten bei Fehlern im System vielleicht nichts mehr ausliefern oder in den Märkten kein Obst mehr wiegen. Aber von der Bundeswettbewerbsbehörde und dem Bundeskriminalamt haben wir keine Informationen. Die wissen nicht, was hier bei uns auf dem Spiel steht. Das Bundeskriminalamt hat kommuniziert, es habe ein Standardtool eingesetzt, weil die Wettbewerbsbehörde schneller suchen und einen schnellen Überblick haben wollte."

Das Programm war nach Drexels Angaben mindestens 30 Minuten lang aktiv. Das reiche laut FBI-Experten, damit das gesamte Programm durchlaufe. Aber solange man den Stick von der Behörde nicht habe, könne nicht gesagt werden, was genau abgelaufen sei. "Wir können nicht sagen, wie groß der Schaden ist, aber der gerichtlich beeidete Sachverständige hat dringend geraten, dass wir bei mehr als 25.000 Endgeräten diverse Informationstechnologie-Komponenten austauschen müssen. Das allein kostet mindestens eine Million Euro. Und das ist eine Minimalsicherungsmaßnahme, die wir auch schon in die Wege geleitet haben."

Schadenersatzklage gegen die Republik

Spar hat eigenen Angaben zufolge bereits eine Beschwerde bei der Datenschutzkommission eingebracht. "Wir werden auch eine Schadenersatzklage gegen die Republik einbringen und auf dem Zivilrechtsweg auf die Herausgabe des Datensticks klagen. Und natürlich werden wir, was die Hausdurchsuchung am 19. August in Kärnten und Salzburg betrifft, eine Maßnahmenbeschwerde beim Unabhängigen Verwaltungssenat einbringen, da wird auch die Cyberattacke zur Sprache kommen." Und strafrechtlich werde man sich Schritte vorbehalten.