eAutoIndex: Fahrzeughalterdaten in fünf Kantonen abgerufen
Sicherheitslücke bei Onlinedienst – Behörden ermitteln in fünf Kantonen
Auf dem Onlineportal «eAutoIndex» sind Mitte August grosse Mengen von Fahrzeughalterdaten aus fünf Kantonen automatisiert abgerufen worden. Betroffen sind Aargau, Luzern, Schaffhausen, Waadt und Zug. Die Kantone warnen vor möglichen Betrugsversuchen und haben Anzeige erstattet oder entsprechende Schritte angekündigt.
Bei den abgerufenen Informationen handelt es sich um Daten, die grundsätzlich öffentlich zugänglich sind: Kontrollschildnummer sowie Name und Adresse der Fahrzeughalterinnen und Fahrzeughalter. Personen, die ihre Daten für die öffentliche Bekanntgabe gesperrt hatten, sind nach bisherigen Erkenntnissen nicht betroffen.
Schutzmechanismen wurden umgangen
Besonders brisant ist nicht nur die Menge der abgefragten Daten, sondern die Art des Zugriffs. Nach bisherigen Erkenntnissen erfolgte der Abruf über eine technische Schnittstelle. Dabei wurden Schutzmechanismen umgangen, welche die Zahl der Abfragen über den eAutoIndex begrenzen.
Die für den Betrieb zuständige Unternehmung hat nach Bekanntwerden des Vorfalls zusätzliche technische Zugriffsbeschränkungen eingeführt und prüft weitere Massnahmen. Wer hinter den automatisierten Abrufen steckt und mit welchem Ziel die Daten zusammengetragen wurden, ist Gegenstand der weiteren Abklärungen.
Wie gross die abgerufene Datenmenge ist, haben die Kantone bislang nicht öffentlich beziffert. Klar ist jedoch: Es ging nicht um einzelne Abfragen, sondern um eine automatisierte Zusammenstellung von Halterdaten aus fünf Kantonen.
Erpressungsversuche nach dem Datenabruf
Der Vorfall hat bereits eine weitere Dimension erreicht. Gegenüber der Betreiberin des eAutoIndex und dem Kanton Waadt kam es zu Erpressungsversuchen. Die fünf betroffenen Kantone haben deshalb bereits Anzeige erstattet oder wollen dies noch tun.
Die Kantone warnen insbesondere davor, dass die zusammengetragenen Informationen für Betrugsversuche verwendet werden könnten. Denkbar wären beispielsweise täuschend echt wirkende Zahlungsaufforderungen für angebliche Bussen, Gebühren, Motorfahrzeugkontrollen oder ausländische Mautgebühren.
Die Behörden empfehlen deshalb, unerwartete Briefe, E-Mails oder SMS besonders kritisch zu prüfen. Vorsicht ist vor allem dann angebracht, wenn eine Zahlung unter Zeitdruck verlangt oder über einen Link zur Eingabe persönlicher oder finanzieller Daten aufgefordert wird.
Die Daten waren grundsätzlich öffentlich
Der Fall ist auch deshalb speziell, weil keine geheimen Registerdaten entwendet wurden. Die betroffenen Angaben dürfen nach geltendem Recht grundsätzlich öffentlich zugänglich sein. Das Strassenverkehrsgesetz erlaubt den Kantonen, Name und Adresse von Fahrzeughalterinnen und Fahrzeughaltern bekannt zu geben, sofern keine Auskunftssperre besteht.
Das bedeutet allerdings nicht, dass eine massenhafte automatisierte Sammlung dieser Informationen unproblematisch ist. Eine einzelne Halterauskunft und die systematische Zusammenstellung grosser Datenbestände sind unterschiedliche Vorgänge. Genau darin sehen die Kantone ein mögliches Missbrauchsrisiko.
Fahrzeugregister sind kantonal organisiert
Die Verantwortung für die Fahrzeugregister liegt in der Schweiz bei den Kantonen. Die Online-Abfrage erfolgt je nach Kanton über unterschiedliche Systeme. Der eAutoIndex dient dabei als Plattform für die elektronische Halterauskunft; beispielsweise verweist der Kanton Bern für seine Online-Abfrage direkt auf den eAutoIndex.
Der aktuelle Vorfall zeigt damit auch eine Besonderheit des Schweizer Systems: Die Daten und die rechtlichen Voraussetzungen für deren Veröffentlichung sind kantonal organisiert, während digitale Plattformen mehrere Kantone miteinander verbinden können.
Was Betroffene jetzt tun können
Wer nicht möchte, dass Name und Adresse über den Autoindex öffentlich abgefragt werden können, kann die Bekanntgabe der Halterdaten beim zuständigen Strassenverkehrsamt grundsätzlich kostenlos sperren lassen. Die fünf betroffenen Kantone weisen ausdrücklich auf diese Möglichkeit hin.
Eine bereits erfolgte Sperrung schützt die Daten vor einer öffentlichen Abfrage. Im aktuellen Vorfall waren nach Angaben der Kantone gerade jene Angaben nicht betroffen, die bereits für die öffentliche Bekanntgabe gesperrt worden waren.
Für alle anderen gilt derzeit vor allem erhöhte Aufmerksamkeit. Wer eine Rechnung oder Zahlungsaufforderung erhält, die unerwartet kommt, sollte nicht über den darin enthaltenen Link reagieren. Sicherer ist es, die zuständige Behörde über deren offizielle Website oder Telefonnummer selbst zu kontaktieren.
Datenschutzbehörden beobachten den Fall
Der Vorfall wirft auch datenschutzrechtliche Fragen auf. Das Schweizer Datenschutzgesetz verpflichtet Verantwortliche unter bestimmten Voraussetzungen, Verletzungen der Datensicherheit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden. Eine solche Meldung ist insbesondere dann vorgeschrieben, wenn eine Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt.
Ob und in welchem Umfang eine solche Meldung im Zusammenhang mit dem eAutoIndex erfolgt ist, lässt sich aus den bislang veröffentlichten Angaben nicht abschliessend beurteilen.
Die entscheidende Frage ist der Missbrauch
Der aktuelle Fall zeigt ein grundsätzliches Problem digitaler Register: Daten können rechtmässig öffentlich zugänglich sein und trotzdem in grossem Umfang für einen Zweck zusammengetragen werden, den die betroffenen Personen kaum erwarten.
Noch ist offen, wer hinter den automatisierten Abrufen steht und was mit den zusammengetragenen Daten geschehen ist. Die Erpressungsversuche zeigen jedoch bereits, dass ein Missbrauchsrisiko besteht.
Für die Kantone dürfte deshalb nicht nur die Frage im Zentrum stehen, wer die Daten abgerufen hat. Sie müssen auch klären, ob die technischen Schutzmechanismen ausreichend waren und wie sich vergleichbare automatisierte Massenzugriffe künftig verhindern lassen.
Der Fall ist damit mehr als eine technische Panne. Er stellt die Frage, wie weit öffentliche Daten tatsächlich öffentlich bleiben sollten, wenn moderne Systeme es ermöglichen, daraus in kurzer Zeit umfangreiche Datensammlungen zu erstellen.
Quellen
- SRF: «eAutoIndex» – Daten-Abruf: Fahrzeughalter in fünf Kantonen betroffen, 28. August 2026
- Kanton Zug / gemeinsame Mitteilung der fünf Kantone: Abfluss von Fahrzeughalterdaten, 28. August 2026
- EDÖB: Leitfaden DataBreach
- EDÖB: Meldung von Datensicherheitsverletzungen
- Kanton Bern: Auskunft über Fahrzeughalterinnen und Fahrzeughalter
- Kanton Aargau: Halterdaten und Auskunftssperre
