Der Totalausfall bei Luxtrust ist ein weiterer Schlag für das Selbstbild Luxemburgs und seine Ansprüche auf digitale Widerstandsfähigkeit. Im vergangenen Juli waren die Telefon- und Internetdienste der Post Group zusammengebrochen, nachdem ihre Huawei-Router gehackt worden waren. Der Zusammenbruch bei Luxtrust (von Dienstag, 15:20 Uhr, bis Mittwoch, 20:00 Uhr) hat eine weitere Schwachstelle bei einem anderen quasi-öffentlichen Akteur offenbart. Über 24 Stunden lang funktionierte nichts mehr: Authentifizierungen, 3D Secure, My Guichet, Multiline… Die Behörden waren von ihren Bürgern abgeschnitten, die Banken von ihren Kunden, die Lehrkräfte von ihren Zeugnissen und „Zensuren“.
Die Nachricht sorgte in der Abgeordnetenkammer für Aufsehen. Sie brachte Sven Clement auf die Palme. Bereits im Januar hatte der Abgeordnete der Piratenpartei den Wirtschaftsminister gefragt, ob man nicht darüber nachdenken sollte, „andere Partner zu finden“. (LuxTrust hatte damals bereits „einen Softwarefehler“ erlebt.) Lex Delles antwortete ihm, dass „derzeit nicht vorgesehen ist, einen anderen Dienstleister zu suchen“. Der Liberale führte das Argument der Souveränität und der Kontrolle an: „Auch wenn man der Ansicht sein mag, dass eine gewisse Abhängigkeit von LuxTrust besteht, sollte man dennoch bedenken, dass sich die gesamte Infrastruktur von LuxTrust in Luxemburg befindet.“ (Ende Februar kam es bei LuxTrust zu einem erneuten, wenn auch kurzzeitigen Ausfall, der durch einen DDoS-Angriff verursacht wurde.)
Zwischen Dienstag und Donnerstag konnte man live mitverfolgen, wie der Minister seine Haltung änderte. In seiner (einzigen) Antwort auf die (zahlreichen) parlamentarischen Anfragen äußerte er sich noch zurückhaltend. LuxTrust würde „die notwendigen Analysen“ durchführen, und die Regierung würde daraus „die entsprechenden Schlussfolgerungen“ ziehen. Doch Lex Delles machte vor den Kameras von RTL-Télé keinen Hehl mehr aus seinem Ärger: „Es ist inakzeptabel, dass ein Dienst wie LuxTrust so lange nicht funktioniert.“ Er stehe „in regelmäßigem Kontakt“ mit anderen Anbietern, „um zumindest ein Backup zu haben“. Am Donnerstagmorgen vor der Kammer wiederholte er seine Kritik: „Das darf nicht passieren.“ Man erwäge „einen möglichen zweiten Dienstleister“. Durch einen Zufall des Zeitplans behandelte die Kammer an diesem Morgen einen Gesetzentwurf, der „die Beantragung von Vollarbeitslosengeld online“, d. h. über Luxtrust, vorsah. Die grüne Abgeordnete Djuna Bernard verwies auf die Stellungnahme der CSL, die auf das Risiko für den Arbeitssuchenden hinweist, „dass im Falle eines IT-Ausfalls oder einer Sabotage durch Dritte“ sein Antrag nicht fristgerecht bei der Adem eingeht.
In seiner Antwort auf die parlamentarischen Anfragen gibt Lex Delles einen kurzen Überblick über die Ursachen des Systemabsturzes. Alles begann mit einem „technischen Zwischenfall“ im Bereich der Datenspeicherung. („Es handelt sich um ein Hardware-Problem … Wie Ihr Laptop zu Hause, der von einem Tag auf den anderen nicht mehr funktioniert “, erklärte er am Donnerstag den Abgeordneten). Das Problem war, dass daraufhin auch der Redundanzmechanismus versagte. Eine Softwarekomponente soll „ausgefallen“ („versot“) sein. Da es dem Anbieter nicht gelang, das Problem zu beheben, mussten die technischen Teams von LuxTrust in der Nacht von Dienstag auf Mittwoch „einen komplett neuen Speicher“ einrichten. In seiner Krisenmitteilung versucht LuxTrust zu beruhigen: „Diese Situation beeinträchtigt weder die Integrität der Systeme noch die Sicherheit der Transaktionen noch die Kundendaten.“ Kurz gesagt, es handele sich „absolut nicht um einen Cyberangriff“, betonte der Geschäftsführer von LuxTrust, Fabrice Aresu. Der Vorstandsvorsitzende, Serge Allegrezza, veröffentlichte einen missmutigen Beitrag auf Facebook: „ Luxtrust läuft seit einer Stunde wieder normal. Hoffen wir, dass RTL die Öffentlichkeit darüber informiert. “ Der Betreiber ist noch lange nicht aus dem Schneider. Gemäß dem Digital Operational Resilience Act müssten Finanzinstitute der CSSF Bericht erstatten. Es stellt sich zudem die Frage nach einem möglichen Vertragsbruch, da Luxtrust die kritischen Dienste nicht gewährleistet hat. (In seiner Antwort auf die parlamentarischen Anfragen schreibt Lex Delles, dass er die finanziellen Auswirkungen des Ausfalls „zum jetzigen Zeitpunkt“ nicht beziffern könne.)
Auf den Vorwurf, ein Monopolist zu sein, antwortete Luxtrust traditionell mit dem Argument des „Komforts“. (Eine Antwort wie von einem Monopolisten, meint Sven Clement.) So wie 2019 im Tageblatt: „So wird vermieden, dass man für jede Organisation, mit der man sich verbinden möchte, ein anderes Instrument benötigt.“ LuxTrust gehört zu gleichen Teilen der Post Group und einem Konsortium aus dem Staat und den großen Filialbanken (BGL, BIL, Banque de Luxembourg, Raiffeisen). Im Jahr 2016 hatte die italienische Tinexta-Gruppe die Hälfte der Anteile an LuxTrust erworben (mit dem Ziel, das Unternehmen zum „europäischen Marktführer für Vertrauensdienste“ zu machen), um sie kaum zwei Jahre später an die Post Group zu veräußern. Das Unternehmen galt als luxemburgische Erfolgsgeschichte. Der sozialistische Abgeordnete Franz Fayot setzt sich für das Unternehmen ein. Es sei a priori „beruhigend“, auf eine „hausgemachte Lösung zurückzugreifen, deren Technologie man kennt“. Er fordert, diesen halböffentlichen Akteur zu schützen und weiterzuentwickeln, anstatt auf die GAFA zu setzen: „Man muss gegenüber amerikanischen Akteuren immer vorsichtiger werden, so wie man es gegenüber chinesischer Technologie tut.“
