Kantonsmitarbeiter gibt versehentlich USB-Stick mit schützenswerten Personendaten weiter

An der Präsentation der Staatsrechnung 2025 hat ein Mitarbeiter der Verwaltung des Kantons Appenzell I.Rh. versehentlich einen USB-Stick mit schützenswerten Personendaten an einen Journalisten abgegeben. Der Datenträger konnte nach kurzer Zeit zurückgeholt werden. Das Medienunternehmen hat bestätigt, dass keine Daten kopiert, gespeichert oder weitergegeben wurden. Die Standeskommission bedauert den Vorfall.

Der Vorfall ereignete sich im Rahmen der Präsentation der Staatsrechnung. Ein Mitarbeiter gab neben neuen Datenträgern irrtümlich einen bereits verwendeten USB-Stick ab. Dieser war nicht passwortgeschützt und enthielt schützenswerte Personendaten.

Daten für die externe Revisionsstelle

Konkret betroffen waren Daten aus mehreren Bereichen der kantonalen Verwaltung, namentlich Inkasso, Bildung, Personal sowie mit Bezug zu polizeilichen Massnahmen. Dazu zählen Informationen zu Personen mit finanziellen Verpflichtungen gegenüber dem Kanton, einschliesslich interner Bearbeitungsstände und behördlicher sowie polizeilicher Massnahmen. Ebenfalls enthalten waren Angaben zu Studierenden mit kantonalen Darlehen, insbesondere zu Wohnsituation und finanziellen Verpflichtungen. Weiter umfassten die Daten finanzielle Angaben zu kantonalen Stiftungen sowie Personaldaten von Mitarbeitenden der kantonalen Verwaltung.

Diese Datensammlungen werden im Rahmen der gesetzlich vorgeschriebenen Revision erstellt und der externen Revisionsstelle zur Prüfung der Staatsrechnung zur Verfügung gestellt. Die Revision wird vor Ort in der kantonalen Verwaltung durchgeführt. Da die Revisionsstelle aus Datenschutzgründen keinen Zugriff auf das kantonale Netzwerk erhält, erfolgt die Datenübergabe über einen Datenträger. Der USB-Stick war ursprünglich ausschliesslich für diesen internen Einsatz bestimmt und hat die Verwaltung im Rahmen der Revision nicht verlassen.

Verantwortung und Konsequenzen

Der betroffene USB-Stick wurde innert kurzer Frist zurückgeholt. Das Medienunternehmen bestätigte schriftlich, dass keine Daten kopiert, gespeichert oder weitergegeben wurden. Parallel dazu hat der Kanton den Vorfall intern aufgearbeitet und die notwendigen Konsequenzen eingeleitet. Der Vorfall ist auf menschliches Fehlverhalten zurückzuführen. Die Standeskommission beabsichtigt, den fehlbaren Mitarbeiter unter Androhung einer Kündigung im Wiederholungsfall zu ermahnen und erteilte ihm das rechtliche Gehör.

Datensicherheit im Kanton

Der Schutz schützenswerter Personendaten ist im Kanton klar geregelt. Grundlage bilden das kantonale Datenschutzgesetz, der Standeskommissionsbeschluss zur Informatiknutzung sowie interne Weisungen, etwa im Umgang mit digitalen Arbeitsmitteln und neuen Technologien. Datentechnische und organisatorische Massnahmen entsprechen den üblichen Standards anderer Kantone.

Die Mitarbeitenden werden regelmässig geschult und für den sorgfältigen Umgang mit Personendaten sensibilisiert. Die Standeskommission hat am 17. März 2026 zusätzliche Schulungen zur Cybersicherheit beschlossen. Der Umgang mit Datenträgern ist Teil der allgemeinen Sicherheitsvorgaben.

Die Standeskommission bedauert den Vorfall und wird das Schulungsangebot in Sachen Datenschutz prüfen. Ferner werden die bestehenden Abläufe und insbesondere den Umgang mit Datenträgern sowie die Weitergabe von Daten an Dritte überprüft.

Mitteilung im Wortlaut