Schutz bei Aargauer Grundeigentümeranfragen vor automatisierten Massenzugriffen

Im Aargau können Grundeigentümerabfragen seit einem Jahr über das kantonale Geoportal getätigt werden. Eine Registrierungspflicht auf der Transaktionsplattform "Mein Konto" sollte Serienabfragen verhindern. Auf "Mein Konto" wurde jedoch für den Zeitraum Frühjahr 2019 eine massenhafte, automatisierte Kontoerstellung zur Abfrage von Grundeigentümerdaten festgestellt. Der Kanton Aargau hat daraufhin zusätzliche Sicherheitsmassnahmen umgesetzt. Davon unabhängig wird die Einführung der elektronischen Identitätskarte "SwissID" geprüft.

Grundbuchdaten, die ohne Interessennachweis einsehbar sind, können gemäss Grundbuchverordnung des Bundes öffentlich im Internet zugänglich gemacht werden. Seit einem Jahr kann im Kanton Aargau der Name der Eigentümerschaft im Geoportal abgefragt werden; verschiedene andere Kantone bieten diesen digitalen Service ebenfalls an.

Aufgrund von bundesrechtlichen Vorgaben sind Grundeigentümerdaten jedoch vor Serienabfragen zu schützen. Grundbuchabfragen kann beim Kanton Aargau nur tätigen, wer mit einem Mein-Konto-Account registriert ist. Pro Tag sind zehn Grundeigentümerabfragen pro registriertem User erlaubt. Der Kanton Aargau hat die Grundbuchabfrage im Internet eingeführt, um einerseits ein Informationsbedürfnis zu erfüllen, andererseits werden die Grundbuchämter entlastet.

Massenabfragen bei Grundeigentümerdaten im Geoportal

Im Frühjahr 2019 wurden mit automatisch generierten Fake-E-Mail-Adressen 3500 Benutzerkonten auf "Mein Konto" eröffnet. Auf diese Weise wurden rund 270'000 Grundbuchabfragen getätigt. Diese betrafen grundsätzlich öffentlich zugängliche Daten, wobei durch dieses Vorgehen die Limitierung von zehn Abfragen durch einzelne Nutzerinnen und Nutzer und Tag umgangen wurde. Die abgefragte Datenmenge entspricht rund 57 Prozent aller in der Datenbank geführten Grundstücke. Wer die massenhaften Abfragen getätigt hat und aus welchem Grund, ist nicht bekannt. Denkbar ist, dass ein entsprechender Datensatz für gezielte Werbung gesammelt wurde.

Schutzmassnahmen für die Registrierung umgesetzt

Der Kanton Aargau hat den Vorfall der Analysestelle des Bundes (MELANI) sowie der kantonalen Datenschützerin gemeldet. Um weitere automatische Massen-Datenabfragen zu verhindern, wurden technische Sicherheitsmassnahmen umgesetzt. Der Registrierungsprozess von "Mein Konto" wird neu durch ein sogenanntes Captcha ("Ich bin kein Roboter") geschützt. Zudem wird das Monitoring verstärkt, damit allfällige Unregelmässigkeiten zeitnah entdeckt und bei Bedarf Massnahmen eingeleitet werden können. Die automatisiert erstellten Benutzerkonten wurden umgehend gelöscht.

Weitere Dienstleistungen und Daten nicht betroffen

Der Kanton Aargau bietet über seinen zentralen Online-Schalter ("Mein Konto") auf www.ag.ch verschiedene Dienstleistungen an, die rund um die Uhr digital genutzt werden können. Dazu gehören Fristerstreckungen für Steuererklärungen, Lotteriegesuche, Baugesuche oder Fischereipatente. Bei diesen Dienstleistungen sind Verknüpfungen mit bestehenden Datensätzen entweder technisch nicht möglich oder erfordern eine Freigabe jedes einzelnen Kontos durch die zuständige Fachstelle. Bei diesen Dienstleistungen wurde denn auch keine Umgehung der Sicherheitsmassnahmen festgestellt.

Kanton Aargau verstärkt Datensicherheit

Mit dem Reformvorhaben SmartAargau wird die Verwaltung weiter modernisiert und das Angebot von digitalen Dienstleistungen auf "Mein Konto" schrittweise ausgebaut. Die Bevölkerung und die Unternehmen werden in den nächsten Jahren immer mehr Dienstleistungen papierlos und medienbruchfrei abwickeln können. Der Kanton Aargau nimmt dabei den Datenschutz sowie die Informations- und Datensicherheit sehr ernst. Beim Ausbau und der Weiterentwicklung des digitalen Angebots wird diesen Aspekten künftig noch vermehrt Beachtung geschenkt, um das Risiko weiterer Umgehungen von Sicherheitsmassnahmen zu verringern. Der Kanton Aargau prüft derzeit ausserdem die Einführung der elektronischen Identitätskarte "SwissID". Mit dieser kann bei digitalen Dienstleistungen eine sichere Identifizierung der Nutzer- beziehungsweise Kundschaft sichergestellt werden. SwissID steht heute unter anderem bei der Post oder den SBB im Einsatz.

Quelle: Kanton Aargau

9.11.2019