Im März 2023 war ein breiter Cyberangriff auf die Infrastruktur der NZZ-Mediengruppe bekannt geworden (persoenlich.com berichtete). Mit einer Ransomware konnten Hacker in die Systeme eindringen und Zugriff auf persönliche Daten erlangen. Die Hackergruppe Play hatte die NZZ in der Folge erpresst und schliesslich die gestohlenen Daten im Darknet veröffentlicht.
Sensible Daten von knapp 4000 aktuellen und ehemaligen Mitarbeitenden wurden so publiziert, wie Tech-Journalistin Adrienne Fichter in ihrem persönlichen Blog berichtet. Unter den Daten befänden sich Streitprotokolle, Arztzeugnisse, rechtliche Auseinandersetzungen, intime E-Mails, Bankkonten und AHV-Nummern. Das gehe aus einer Untersuchung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Edöb) hervor. Fichter hatte den Fall dort angezeigt.
Kritik an NZZ und Edöb
Die NZZ habe aber nur 42 Betroffene direkt informiert, kritisiert Fichter in ihrem Blog. Dass das Medienunternehmen über ihre Berichterstattung informiert hat, sei unzureichend. Man könne nicht davon ausgehen, dass alle ehemaligen Mitarbeitenden noch regelmässig die NZZ lesen oder abonniert haben.
Nach der Untersuchung hat der Edöb das Verfahren eingestellt. Laut Entscheid, den Fichter teilweise publiziert hat, habe die NZZ glaubwürdig darstellen können, dass die Information der Betroffenen zulässig gelaufen sei. Fichter kritisiert, dass der Edöb sich nur auf die Aussagen der NZZ-Anwälte gestützt habe, statt selbst zu recherchieren.
Gegenüber persoenlich.com betont die NZZ, sie habe «von Beginn an sorgfältig aufgearbeitet und fortlaufend über neue Erkenntnisse informiert». Die Informationen seien auf der frei zugänglichen Unternehmenswebseite publiziert worden. Ausserdem sei eine Kontaktstelle für ehemalige Mitarbeitende eingerichtet worden.
Auch der Edöb habe gesetzeskonform gehandelt. Er schreibt in einer Stellungnahme: «Im Rahmen des Verwaltungsverfahrens stellt der Edöb den Sachverhalt fest und macht eine rechtliche Würdigung.» (spo)
