Dorothee Feller

Sehr geehrte Frau Präsidentin! Sehr geehrte Damen und Herren! In den vergangenen Tagen habe ich immer wieder gelesen und gehört, dass wir einer Entwicklung hinterherlaufen, dass wir IT-Probleme nicht im Griff haben und dass wir nicht umfassend 03.05.2023 informieren. Ich sage Ihnen: Es ist genau andersherum. Durch unsere Initiative können Probleme, deren Ursachen wahrscheinlich schon weit in der Vergangenheit liegen, nun gelöst werden. Weil ich die vollumfängliche Prüfung technischer Prozesse angestoßen habe, sind wir jetzt in der Lage, Verbesserungen anzugehen und auf all Ihre Fragen Antworten zu geben – heute und in Zukunft. Zu den Fakten: Ich habe in der vergangenen Woche veranlasst, dass die Firma Ernst & Young eine umfassende forensische Analyse einleitet, um die technischen Prozesse bei der QUA-LiS zu durchleuchten. Dadurch steht jetzt fest, dass die IT-Schwachstelle, über die wir in den vergangenen Tagen umfassend berichtet haben, mindestens seit 2019 besteht. Es ist jedoch nach der Einschätzung von Ernst & Young nicht ausgeschlossen, dass diese Schwachstelle bereits 2015 entstanden ist oder sogar schon seit 2002 existiert. Unsere Vorgehensweise, uns alles im Detail anzuschauen, war also genau richtig. (Beifall von der CDU – Vereinzelt Beifall von den GRÜNEN) Zum zweiten Vorwurf, wir würden nicht ausreichend informieren, sage ich Ihnen: Über die Abschaltung des QUA-LiS-Servers, auf dem die Schwachstelle gefunden worden ist, habe ich die schulpolitischen Sprecherinnen und Sprecher telefonisch direkt informiert, als ich Klarheit darüber hatte, was passiert war. Am Montag wurden ebenfalls die Mitarbeiterinnen und Mitarbeiter der QUA-LiS sowie der örtliche Personalrat informiert, ebenso die Lehrerverbände, die Hauptpersonalräte, die Hauptschwerbehindertenvertretung und die Bezirksregierungen. Auch hier sind wir also offensiv vorangegangen. Und noch einmal: Wir haben gehandelt. Wir verbessern die Prozesse. Wir sind in allen Bereichen transparent. Zur Transparenz gehört übrigens auch der deutliche Hinweis, dass die Schwierigkeiten, die es vor zwei Wochen beim Download der Abiturprüfungsaufgaben vom Server eines privaten IT-Unternehmens gegeben hat, eine völlig andere Ursache hatten. Das Zentralabitur ist also von all dem, über das wir jetzt diskutieren, ausdrücklich nicht betroffen. Die technische Störung beim Abitur ist umgehend behoben worden. Die Downloads der Klausuren und auch die Prüfungstage selbst sind seitdem problemlos verlaufen. Ich beschreibe Ihnen nun noch einmal detailliert, wie die Entwicklung rund um die QUA-LiS-IT ausgesehen hat. Wir haben vor knapp zwei Wochen erstmals Informationen darüber erhalten, dass in der IT-Infrastruktur der QUA-LiS eine Schwachstelle aufgetreten ist. Die Schwachstelle ist umgehend geschlossen worden. Gleichzeitig ist über die Fachreferate meines Hauses die QUA-LiS um zügige Aufklärung gebeten worden. Landtag Im Zuge dieser Untersuchungen hat sich nach intensivem Nachfragen bis Montag vergangener Woche herausgestellt, dass die Schwachstelle deutlich gravierender ist als ursprünglich angenommen und dass das Auslesen personenbezogener Daten möglich gewesen und auch erfolgt ist. Hierzu hatte ich bereits in der Sitzung des Ausschusses für Schule und Bildung am 26. April 2023 berichtet. In der Ausschusssitzung habe ich ebenfalls deutlich gesagt, dass die von QUA-LiS ursprünglich genannte Datenmenge von 500 nicht mehr zutreffend ist. Zudem habe ich erklärt, dass ich neue Zahlen über Datenmengen erst benenne, wenn sie valide sind. Das mögliche Ausmaß, das sich aufgrund intensiven Nachfragens mehr und mehr abzeichnete, machte bald deutlich, dass die QUA-LiS diese Problematik nicht alleine wird bewältigen können. Ich habe daher entschieden, dass die weiteren Untersuchungen mit externer Unterstützung eines IT-Expertenteams durchgeführt werden – auch, um die Beschäftigten der QUA-LiS zu schützen. Es steht jetzt die gesamte IT-Infrastruktur der QUA-LiS auf dem Prüfstand, um in Zukunft Datenmissbrauch zu verhindern. Aufgrund des bestehenden Rahmenvertrages mit dem Land zu Beratungen im Bereich der IT-Sicherheit konnten wir sehr kurzfristig – noch am Dienstag – das Unternehmen Ernst & Young damit beauftragen, die kritischen IT-Systeme der QUA-LiS auf den Prüfstand zu stellen. Dabei sollten einerseits das System auf weitere Schwachstellen überprüft und andererseits eine forensische Aufarbeitung durchgeführt werden. Noch am Tag der Beauftragung, also am Dienstag, hat das Unternehmen vor Ort bei der QUA-LiS die Arbeit aufgenommen. Meine Entscheidung, externen Fachverstand hinzuzuziehen, war richtig. Das hat sich schon nach den ersten Tagen gezeigt. Denn zwischenzeitlich konnten infolge dieser Überprüfung zunächst am Freitag – worüber ich die schulpolitischen Sprecherinnen und Sprecher sofort telefonisch informiert habe – und dann am Wochenende weitere Schwachstellen im System entdeckt und umgehend geschlossen werden. In keinem Fall ist es nach bisherigen Erkenntnissen zu einem Missbrauch von Daten gekommen. Noch einmal: Zum derzeitigen Zeitpunkt steht aufgrund einer ersten forensischen Analyse durch Ernst & Young fest, dass die bislang aufgedeckten Schwachstellen mindestens seit 2019 und länger bestehen. Wir reden hier also über Schwachstellen, die es schon seit Jahren gibt. Nachdem das Unternehmen Ernst & Young am Wochenende die weiteren Schwachstellen aufgedeckt hat und auch weitere Sicherheitslücken nach derzeitigem Stand ausdrücklich nicht ausschließen kann, haben wir am Montag, den 1. Mai, entschieden, den betroffenen Server bei der QUA-LiS abzuschalten, um weitere Risiken zu vermeiden. 03.05.2023 Inhaltlich betroffen sind hiervon die Austauschplattform sowie der Fortbildungsbereich der QUA-LiS. Hierfür werden wir schnellstmöglich eine Ersatzlösung finden. Alle Bereiche, die die Durchführung der Abiturprüfung betreffen, sind von der Abschaltung des Servers nicht betroffen. Dies möchte ich noch einmal ausdrücklich betonen. Beim Zentralabitur gab es – auch das ist mir wichtig – keine Datenpanne, wie einleitend in der Mündlichen Anfrage behauptet wird. Es gab ein Problem beim Download. Sehr geehrte Damen und Herren, ich halte fest: Erstens. Auch bei den aktuellen Informationen handelt es sich lediglich um einen Zwischenstand. Einer Gesamtanalyse ist es immanent, dass ein umfassendes Ergebnis erst vorliegt, wenn die Analyse abgeschlossen ist. Diese Analyse dauert jedoch noch an. Ernst & Young arbeitet weiter mit Hochdruck daran, die Gesamtanalyse zum Abschluss zu bringen. Zweitens. Ich halte mich an meine Zusage, auch über Zwischenstände zu informieren. So habe ich in den letzten Tagen die schulpolitischen Sprecherinnen und Sprecher über neue Schwachstellen nicht nur informiert und auf dem Laufenden gehalten, sondern auch zu einem vertraulichen Hintergrundgespräch für morgen eingeladen. Das hat nichts mit einer scheibchenweisen Information zu tun, sondern mit Verlässlichkeit. Drittens. Es war richtig, zeitnah ein externes IT-Expertenteam mit einer vollständigen Systemprüfung bei der QUA-LiS zu beauftragen. Viertens. Es steht fest, dass die Schwachstellen mindestens seit 2019 bestehen – vermutlich schon weitaus länger. Fünftens. Damit steht auch fest, dass ich in den letzten zehn Tagen mehr Schwachstellenanalyse vorangetrieben habe, als in den Jahren zuvor stattgefunden hat. (Beifall von der CDU) Sechstens. Diesen Weg, Schwachstellen aufzuspüren, abzustellen und Schlüsse daraus zu ziehen, werde ich konsequent weitergehen. Die Schwachstellen habe ich nicht verursacht; es sind nicht meine Pannen. Meine Aufgabe ist es, die Schwachstellen der Vergangenheit zu finden und abzustellen. (Vereinzelt Beifall von der CDU) Siebtens. Sobald die vollständigen Ergebnisse der Untersuchung vorliegen, werden wir unter Einbindung der QUA-LiS die entsprechenden Schlüsse ziehen. Ich fasse zusammen: Wir reden heute über Schwachstellen bei der QUA-LiS, die es schon seit Jahren gibt. Meine Aufgabe ist jetzt zuerst die rückhaltlose Aufklärung. Noch wichtiger ist aber, dass wir uns für Landtag die Zukunft deutlich besser aufstellen. Das werde ich auch mit externer Unterstützung weiter mit Hochdruck vorantreiben. Dazu schauen wir uns jetzt die gesamte IT-Infrastruktur der QUA-LiS genau an. Über die weiteren Untersuchungen werde ich Sie auf dem Laufenden halten. – Vielen Dank. (Beifall von der CDU)