Affäre EDI/BAG gegen Comparis

Wortlaut

Die Zeitschrift "L'Hebdo" hat am 30. August über einen Hackerangriff von Comparis auf den Prämienrechner des Bundesamtes für Gesundheit (BAG) berichtet. Beweis ist eine E-Mail des Bundesamtes für Informatik (BIT). Das Eidgenössische Departement des Innern (EDI) hat nun Strafanzeige gegen Unbekannt eingereicht und will gemäss Medienberichten den BAG-Prämienrechner wieder so attraktiv wie private Internetvergleichsdienste machen. Gespräche mit den Konsumentenorganisationen hätten bereits im Sommer stattgefunden.

Ist es sinnvoll, bei den etwas über 5 Prozent Verwaltungskosten der Kassen für die Durchführung der Grundversicherung mit einem staatlichen Prämienrechner in den Wettbewerb einzugreifen und auch noch Geld sparen zu wollen?

1. Was ist beim Hacker-Angriff am 28. September 2011 genau passiert?

2. Wann wurde der damalige EDI-Vorsteher Bundesrat Didier Burkhalter davon in Kenntnis gesetzt, und auf welcher Faktenlage hat er entschieden, die Angelegenheit abzuschreiben?

3. Wurde in den Gesprächen mit den Vertretern des Konsumentenschutzes der angebliche Hackerangriff erwähnt?

4. Warum gelangen diese Vorwürfe zusammen mit einer E-Mail des BIT als Beweis des Hackerangriffs fast ein Jahr nach dem Vorfall an die Öffentlichkeit?

5. Was ist im Vertrag zwischen EDI/BAG und Comparis genau vereinbart worden, wer hat den Vertrag unterzeichnet, und was bedeutet der Rücktritt von diesen Vereinbarungen?

6. Hat der Bund eine gesetzliche Grundlage, um mit einem eigenen Prämienrechner private Internetvergleichsdienste zu konkurrenzieren, oder beabsichtigt er, dem Parlament eine solche gesetzliche Grundlage zu unterbreiten?

Stellungnahme des Bundesrates

Anlässlich der Fragestunde vom 17. September 2012 hat der Vorsteher des Eidgenössischen Departements des Innern (EDI) zu den Fragen 12.5272, 12.5293 und 12.5306, die sich auf das gleiche Thema wie diese Interpellation bezogen, ausführlich Stellung genommen. Der Bundesrat verfügt über keine weiteren Informationen. Auch wenn die Verwaltungskosten in der Krankenversicherung nicht hoch sind, muss doch alles unternommen werden, um sie tief zu halten. Die Schaffung einer gebührenfreien Internetseite des Bundes für den Prämienvergleich trägt dazu bei und stellt zudem eine neutrale und vollständige Information über die Prämien aller Versicherer sicher.

Gestützt auf Artikel 28ff. der Verordnung vom 27. Juni 1995 über die Krankenversicherung (KVV; SR 832.102) veröffentlicht das Bundesamt für Gesundheit (BAG) gewisse Daten der Krankenversicherer. Dazu gehören auch die Prämien, die in diesem Fall über den Prämienrechner veröffentlicht werden. Die Internetseite des Bundes stellt die Gleichbehandlung aller Krankenversicherer sicher. Die Versicherten haben die Gewissheit, die wirklich genehmigten Prämien und die Links der Krankenkassen, die über eine Internetseite verfügen, zu finden. Sie können wählen, ob sie den Prämienvergleichsdienst des Bundes oder irgendeinen anderen Dienst verwenden wollen. Die Versicherer sind sich bewusst, dass die Maklertätigkeiten mit Kosten verbunden sind, die sich in den Prämien der Versicherten niederschlagen. Mehrere verzichteten daher auf Verträge mit gewissen kommerziellen Vergleichsdiensten. Dies bestärkt den Bundesrat in seiner Meinung, dass der Prämienrechner des Bundes auch einem Bedürfnis der Krankenversicherer entspricht.

1. Es konnte nicht mit Sicherheit bestimmt werden, ob mit dem Angriff vom 27. September 2011 lediglich versucht werden sollte, auf das System des Bundes zuzugreifen, oder effektiv darauf zugegriffen oder sogar das System beschädigt werden sollte. Dank dem vom Bundesamt für Informatik und Telekommunikation (BIT) präventiv errichteten Abwehrdispositiv erlitten die Informatiksysteme des Bundes keinen Schaden. Es wurde nun Klage eingereicht, und das Gericht wird über das weitere Vorgehen entscheiden.

2. Der damalige Vorsteher des EDI wurde unverzüglich über den Angriff informiert. Das BAG und das BIT haben den Vorfall gemeinsam beurteilt. Gestützt auf den Austausch mit dem BIT hat das BAG geprüft, ob der Vorfall strafrechtlichen Charakter hat. Das BAG hat ebenfalls die Beweiskraft der verfügbaren Indizien beurteilt. Ausgehend von diesen Überlegungen hat es einen Bericht mit vier Varianten über das weitere Vorgehen erarbeitet. Die Variante, welche das BAG dem EDI empfohlen hat, war, die Angelegenheit so stehen zu lassen und keine weiteren Schritte zu unternehmen. Im Übrigen wurde priminfo.ch durch diesen Angriff nicht wirklich gefährdet.

3. Das BAG hat im einzigen Gespräch, das es mit einem Vertreter einer Konsumentenschutz-Zeitschrift geführt hat, nicht über diesen Angriff berichtet.

4. Der Bundesrat kann nur feststellen, dass diese Information verbreitet wurde. Er stellt aber auch fest, dass diese Information die Interessen des Bundes in keiner Art gefährdet. Sie betrifft einen Vorfall aus der Vergangenheit, der keinen Einfluss auf die Betriebstüchtigkeit des Bundes hatte. Im Gegenteil, die Ereignisse rund um die Bekanntmachung der Information haben neues Licht auf diesen Vorfall geworfen, was eine neue Einschätzung ermöglichte, die das EDI dazu bewog, Strafanzeige einzureichen.

5. Das BAG und das EDI haben eine Vereinbarung unterzeichnet, mit der sie sich verpflichten, einen Prämienvergleichsdienst zu betreiben, der den Versicherten ermöglicht, auf die Internetseite der Versicherer zuzugreifen, nicht aber direkt auf den Prämienrechner des gewählten Versicherers. Zudem haben die Partner Kommunikationsregeln festgelegt. Diese Vereinbarung wurde abgeschlossen, um den von Comparis eingeleiteten rechtlichen Aktionen ein Ende zu setzen. Über die Umsetzung von priminfo.ch wurde jedoch beim Abschluss dieser Vereinbarung mit Comparis nicht diskutiert oder verhandelt. Die Vereinbarung wurde vom EDI durch seinen Generalsekretär und vom BAG durch seinen Direktor, durch seinen Vizedirektor und Leiter des Direktionsbereichs Kranken- und Unfallversicherung sowie durch die Leiterin der Abteilung Versicherungsaufsicht und von Comparis durch den Präsidenten des Verwaltungsrates und den CEO unterzeichnet. Die Anerkennung gewisser Tatsachen durch Comparis, insbesondere dass sich einer der Angestellten so schwerwiegender Taten schuldig gemacht hatte, dass ihn Comparis mit sofortiger Wirkung entliess, rechtfertigte die Kündigung der Vereinbarung und die Einreichung einer Strafanzeige.

6. Wie oben ausgeführt, veröffentlicht das BAG nach Artikel 28b Absatz 2 KVV gewisse Daten der Versicherer, darunter auch die Prämien (Bst. i). Gestützt auf diese Rechtsgrundlage ermöglicht der Prämienrechner des EDI den Versicherten, auf die Internetseite der Versicherer zuzugreifen, aber nicht direkt auf die Applikation für eine Offertenerstellung. Mit der Motion Rossini 12.3839, "KVG: Rechtsgrundlage für einen Krankenkassen-Vergleichsdienst des BAG", wird der Bundesrat beauftragt, die nötigen Rechtsgrundlagen für die Übertragung der Versichertendaten vom Prämienrechner des Bundes auf die Informatiksysteme der Versicherer zu schaffen, damit die Versicherten direkt über den Prämienrechner des Bundes eine Offerte erstellen lassen können. Die weitere Entwicklung des Instruments des Bundes hängt daher vom Entscheid des Parlamentes über die Motion Rossini 12.3839 ab.

Antwort des Bundesrates.