Comparis: Das EDI reicht Klage ein

Der Comparis-Fall, der Ende August für einigen Wirbel gesorgt hatte, zieht sich weiter in die Länge: Das Eidgenössische Departement des Innern (EDI) hat heute bei der Staatsanwaltschaft des Kantons Zürich Strafanzeige eingereicht. Wie der Mediendienst des EDI auf Anfrage mitteilt, handelt es sich dabei um eine Anklage gegen Unbekannt.

Das EDI wolle die Umstände des versuchten Hackerangriffs vom 28. September 2011 gegen den Krankenkassen-Vergleichsdienst priminfo.ch des Bundesamtes für Gesundheit klären, heisst es in einer Mitteilung. Comparis begrüsst diese Absicht, wie das Unternehmen in einer Mitteilung schreibt. Die Klage biete die Gelegenheit, die Vorwürfe an Comparis vollständig zu entkräften. Comparis fordert daher eine "lückenlose Aufklärung".

Wie das EDI weiter schreibt, fühle es nicht mehr an die mit Comparis unterzeichnete Vereinbarung vom Juni 2012 gebunden, die vorsieht, dass priminfo.ch keine kostenlosen Offerten für Krankenkassenleistungen anbieten darf. Folglich sollen die Dienstleistungen des Prämienrechners des Bundes priminfo.ch verbessert werden. Wie diese Verbesserungen konkret aussehen sollen, konnte vor Redaktionsschluss noch nicht eruiert werden.

Versuchte SQL-Injection eines Mitarbeiters

Hintergrund der Strafanzeige ist eine versuchte SQL-Injection auf der Website priminfo.ch. Ausgeführt hat sie ein mittlerweile freigestellter Mitarbeiter von Comparis. Er habe "eigenmächtig" während seiner Arbeitszeit und an seinem Arbeitsplatz aber "zu keinem Zeitpunkt in geschäftlichem Auftrag" gehandelt, betonte Comparis in einer Mitteilung vom 30. August.

Bekannt wurde die Geschichte kürzlich durch einen Artikel in der der Ausgabe Nr. 35/2012 der Wochenzeitschrift "L'Hebdo", die am 30. August erschien. Unter dem Titel "Quand Comparis joue les pirates" (frei übersetzt "Wenn Comparis Piraterie betreibt") bezieht sich "L'Hebdo" auf ein Schreiben des Bundesamtes für Informatik, das der "L'Hebdo"-Redaktion zugespielt worden war. Darin wird die versuchte SQL-Injection auf der Website (priminfo.ch) vom 28. September 2011 thematisiert.

Comparis wehrte sich daraufhin gegen den Artikel. In einem ersten Communiqué bezog sich das Unternehmen auf die - laut eigenen Angaben – automatisierte Abfrage, die es am 28. September 2011 mittels einer Crawler-Software durchgeführt hatte, um seinen Kunden Zugang zu den neuesten Prämien-Daten zu ermöglichen. Dies geschah am selben Tag, an dem der freigestellte Mitarbeiter unerlaubt gehandelt hatte.

Comparis bezeichnete die Vorwürfe von "L'Hebdo" in diesem ersten Communiqué noch als "haltlos", es würden keine Beweise illegaler Tätigkeiten vorliegen. Auch das BAG werfe comparis.ch keine strafbare Handlungen vor. Zu diesem Zeitpunkt wusste das Unternehmen anscheinend noch nichts von der versuchten SQL-Injection ihres Mitarbeiters. Nachdem sich der Mitarbeiter zum versuchten Hack bekannt hatte, informierte Comparis in einem zweiten Communiqué über die neue Sachlage.