Gesprächiges Urner Grundbuchregister

Die Digitalisierung der Grundbuchämter ist in den letzten Jahren schweizweit vorangekommen, die meisten Kantone bieten unterdessen einen unkomplizierten digitalen Zugang zum Grundbuchregister an. Als rechtliche Grundlage hierzu dient die Grundbuchverordnung des Bundes.

Ein aufmerksamer Leser hat uns am Beispiel des Kanton Uri darauf hingewiesen, dass dieser Zugang manchmal etwas zu offen ausfällt.

Um was geht es?

Das Urner Amt für das Grundbuch ist auf der Webseite des Kantons aufgeführt, dort findet sich auch ein Link für den Zugriff auf das elektronische Grundbuch. Dieses ist nur Berechtigten zugänglich, entsprechend landet man auf einer Webseite, welche zwar etwas altbacken daherkommt, aber immerhin nach Login und Passwort fragt.

https://egov.ur.ch/teraspur/

Dieses muss man separat beantragen, der Kanton Uri scheint hier also den Fehler zu vermeiden welche der Kanton Aargau vor zwei Jahren gemacht hat (wo automatisiert Logins direkt auf der Einstiegsseite angelegt werden konnten, welche dann anschliessend für Massenabfragen verwendet wurden).

Aber: Der Kanton Uri bietet auch einen Kataster der öffentlich-rechtlichen Eigentumsbeschränkungen (ÖREB) an, dieses Kataster ist unter https://oereb.ur.ch/ öffentlich zugänglich. (Unter Kataster wird laut nach Wikipedia im Allgemeinen ein Register, eine Liste oder Sammlung von Dingen oder Sachverhalten mit Raumbezug verstanden, oder auch: Liegenschaftskataster)

Und dieser Kataster hat es in sich! Nehmen wir als Beispiel die Dorfstrasse 1 in Flüelen, gemäss Gemeinde-Webseite der Sitz der Gemeindeverwaltung.

Netterweise erlaubt der Kataster direkt auch das Abrufen einer Grundbuchauskunft, ohne das in diesem Fall eine Passwort-Abfrage erfolgen würde. So erfahren wir mit einem Klick, dass (nicht ganz überraschend) die Einwohnergemeinde Flüelen Eigentümerin ihres eigenen Gemeindehauses ist.

Das ist an sich nicht spektakulär, diese Grundbuchinformationen sind grundsätzlich öffentlich und jedem zugänglich. Heikler wird es, wenn man den Grundbuchauszug einer Liegenschaft im Privatbesitz anschaut: Hier wird zu jeder privaten Eigentümerin neben Name und Adresse auch Geburtsdatum und Heimatgemeinde angezeigt (auf einen Screenshot verzichten wir aus Gründen des Persönlichkeitsschutzes). Selbst wenn man als (Mit-)Eigentümer von Grundstücken eine gewisse Transparenz akzeptieren muss: Ist es wirklich nötig, mit Geburtsdatum und Heimatort Daten öffentlich zugänglich zu machen, welche anderenorts (Bank, Krankenkasse) gerne mal als zusätzliche Identifikationselemente bei telefonischen Kontakten verwendet werden? Andere Kantone beschränken sich hier auf Name und Adresse, also auf Daten welche generell gesehen so oder so öffentlich sind.

Auch der Urner Datenschützer ist nicht so ganz glücklich mit dieser Lösung:

„Denn im Grunde ist Ihnen zuzustimmen, dass beim elektronischen Zugang im Internet für die Identifizierung von Personen, die Eigentümer sind, im Grunde das Geburtsdatum in Kombination mit dem Heimatort keineswegs als zwingend notwendig erscheinen würde.„

Karl Stadler, Urner Datenschützer.

Aber, um das klarzustellen: Bis jetzt bewegen wir uns grundsätzlich im legalen Rahmen. Das sieht auch Herr Stadler so, auch wenn er den Kataster nicht als die „Ideallösung“ erachtet.

Es kommt aber noch besser! Schauen wir uns mal die zur Abfrage des Grundbucheintrags verwendete URL näher an:

https://egov.ur.ch/teraspur/wsclient/WSgbausMSXML2.asp?ws=GBAUS&gruid=166.1207&gb=1207&lang=D&asn=1&dar=&hist=

Es handelt sich um eine HTTP GET-Abfrage bei welcher die Parameter für die Abfrage direkt in der URL enthalten sind (sogenannte „sprechende Links“). In unserem Fall interessant ist primär der Teil

gruid=166.1207&gb=1207

von Interesse, entspricht doch die Zahl „166“ der Liegenschaftsnummer des Gemeindehauses von Flüelen (siehe obiger Screenshot). Sie kann nun problemlos durch eine andere Zahl ersetzt werden. Mit der URL

https://egov.ur.ch/teraspur/wsclient/WSgbausMSXML2.asp?ws=GBAUS&gruid=1.1207&gb=1207&lang=D&asn=1&dar=&hist=

findet man zum Beispiel den Grundbuchauszug des sich ebenfalls im Eigentum der Einwohnergemeinde Flüelen befindenden Grundstücks Nr. 1 (einem Stück Land am See).

Mit diesem Wissen kann man sich (das dazu notwendige Programm ist bei Linux- und macOS-Rechnern standardmässig dabei) auf geradezu trivial einfache Weise sämtliche Grundbucheinträge der Gemeinde Flüelen in Form von HTML-Dateien auf den eigenen Rechner laden. Es reicht aus, schlicht alle Grundstücknummern von 1 bis 9999 (oder wie im untenstehenden „Proof of Concept“ von 1 bis 100) durchzuprobieren und sich den jeweiligen Eintrag abzuspeichern. Bei nicht-existierenden Nummern wird eine Fehlerseite abgespeichert, die kann man anschliessend problemlos an der Dateigrösse erkennen und löschen.

curl 'https://egov.ur.ch/teraspur/wsclient/WSgbausMSXML2.asp?ws=GBAUS&gruid=[1-100].1207&gb=1207&lang=D&asn=1&dar=&hist=' -o 'grundstueck-1207-#1.html' -b "ASPSESSIONIDQCABRDQA=ABCDEFGHIJKLMNOPQRSTUVWXY" 

Das zum Zugriff notwendige Session-Cookie holt man sich (mit den im Browser eingebauten Developer Tools) direkt aus dem Webbrowser mit dem man zuvor die erste ÖREB-Abfrage gemacht hat. Die Ausweitung des Proof of Concept auf etwas komplexere Situationen wie Stockwerkeigentümerschaften und das anschliessende Auswerten der heruntergeladenen Webseiten (d.h. insbesondere das Extrahieren der Eigentümerdaten) ist problemlos möglich, ein motivierter Interessent dürfte dazu allenfalls 1-2 Arbeitstage brauchen.

Was hat es mit dem zweiten Parameter in der URL (gb=1207) auf sich, mag sich jetzt die eine oder andere fragen?

Nun, das ist schlicht und ergreifend die Gemeindenummer von Flüelen wie sie in Gemeindeverzeichnis des Bundes definiert ist. Ergo kann man sie durch eine beliebige andere Nummer einer Urner Gemeinde ersetzen (insgesamt sind es 20, mit Gemeindenummern von 1201 bis 1220) und mit demselben Programm auch auf deren Grundbuch zugreifen.

Bei unseren Tests haben wir den Download nach drei Minuten bzw. 100 Einträgen abgebrochen. Es scheint aber keine Mengenbegrenzung zu bestehen, allenfalls muss das Cookie zwischendurch erneuert werden. Mit einer Parallelisierung der Abfragen (eine Abfrage pro Gemeinde) können interessierte Kreise aber wohl das gesamte Grundbuch des Kantons Uri in einem Aufwasch herunterladen und z.B. für Analysen über die Eigentumsverhältnisse von Grund und Boden im Kanton, fürs zielgenaue Adressierung von Werbung oder für andere „interessante“ Dinge verwenden.

Falls die Neugier primär darauf abzielt, alle Grundstücke im Eigentum einer bestimmten Person herauszufinden, reicht der obige Download und ein anschliessendes automatisiertes Durchsuchen aller Daten nach dem entsprechenden Namen aus (programmieren muss man hierzu schlicht nichts). Für unseren Proof of Concept-Download und dem Eigentümer „Einwohnergemeinde Flüelen“ sieht das dann folgendermassen aus (d.h. die Einwohnergemeinde ist Eigentümerin der Grundstücke 1, 3, 7 etc):

$ grep -al 'Einwohnergemeinde F' grundstueck-1207-* | sort -t - -k 3 -n
grundstueck-1207-1.html
grundstueck-1207-3.html
grundstueck-1207-7.html
grundstueck-1207-14.html
grundstueck-1207-58.html
grundstueck-1207-70.html
grundstueck-1207-72.html
grundstueck-1207-73.html
grundstueck-1207-94.html
grundstueck-1207-96.html
grundstueck-1207-99.html

Was sagt das Gesetz dazu?

Die Gesetzeslage ist ein bisschen verworren, da die Geoinformationen an sich in Bundesgesetz und Verordnung über Geoinformationen (und den entsprechenden kantonalen Gesetzen) geregelt sind, das Grundbuch in ZGB und der Grundbuchverordnung. Und damit ist auch ein kleines Zuständigkeitschaos vorprogrammiert.

Sowohl das Bundesgesetz wie auch die Verordnungen über Geoinformationen legen fest, welche Art von Informationen Teil des ÖREB-Katasters sind. Zu diesen Informationen gehört grundsätzlich alles was auf oder unter dem Boden vorhanden ist (Bewaldung, Schutzobjekte, Rohrleitungen) sowie allfällige öffentlich-rechtlichen Eigentumsbeschränkungen (Schutzzonen, Emissionen, Freihaltezonen etc). Ebenfalls Teil des Katasters sind Grundbucheinträge.

Der Zugang zum Grundbuch ist schweizweit in der Grundbuchverordnung geregelt. Diese legt in Artikel 26 insbesondere fest, dass der Zugang zum Grundbuch grundsätzlich jedem offensteht und dass dazu keine besonderen Interessen geltend gemacht werden müssen.

Auch regelt die Verordnung den elektronischen Zugang zu Grundbuchinformationen und hier ist für uns vor allem der zweite Absatz relevant:

Es liegt auf der Hand, dass der im Kanton Uri mögliche Zugang zum Grundbuch über das ÖREB-Kataster gegen Artikel 27.2 verstösst, da wie oben gezeigt keine Schutzmechanismen gegen Serienabfragen vorhanden und solche problemlos möglich sind.

Das dies auch anders lösbar ist, zeigt die Praxis in anderen Kantonen. Auch dort kann aus dem ÖREB-Kataster aufs Grundbuch zugegriffen werden, der Zugriff ist jedoch gegen Serienanfragen geschützt:

• Eine Reihe von Kantonen (z.B. Baselland) fragen ein Captcha ab
• Im Aargau muss man sich auf dem kantonalen Portal als Benutzer registrieren und ist auf 10 Abfragen pro Tag limitiert
• In Graubünden besteht eine Limite von 5 Anfragen pro Tag und IP-Adresse.

Und was meint der Kanton Uri?

Wir haben uns an den Datenbeauftragen des Kanton Uri gewandt und ihn um eine Stellungnahme gebeten. Offenbar sind die Dienstwege in Uri kurz, die erste Antwort kam interessanterweise von Dr. Bastian Graeff, dem Verwaltungsratspräsidenten der Lisag AG. Die Lisag ist gemäss Angaben auf deren Webseite eine öffentliche Unternehmung, welcher der Kanton den Betrieb des GIS Uri und des ÖREB-Kataster übertragen hat. Nach seiner Einschätzung sind die bezüglich Eigentümerschaft veröffentlichten Daten im Einklang mit den geltenden rechtlichen Grundlagen.

Auch die Problematik der Serienabfrage schätzt er interessanterweise als nicht gravierend ein:

„Die Möglichkeiten zur Massenabfrage sind, so wie sie es erwähnt haben, nur unter unverhältnismässigen Aufwand gegeben. Die Massenabfrage kann nur durch eine Sequenzierung der gesetzlich erlaubten Informationen (ID=7 GeoIV Anhang) gewonnen werden, womit aber die Verknüpfung der einzelnen Abfrageresultate (z.B. Zuordnung mehrerer Abfrageresultate an verschiedenen Orten z.B. zu ein und demselben Grundeigentümer) nicht frei von Interpretation ist.“

Auszug aus Stellungnahme der Lisag AG, Dr. Bastian Graeff

Graeff sieht also keinen Handlungsbedarf bei den von uns gemeldeten Sicherheitslücken. Auch Herr Stadler, der Datenschutzbeauftragte des Kanton Uri, hat sich zu diesem Punkt dann noch gemeldet. Er hat hierfür die LISAG konsultiert und kommt zum selben Schluss:

„Wenn es sich technisch tatsächlich so verhält, dass eine Massenabfrage nur durch einen riesigen, völlig unverhältnismässigen technischen Aufwand möglich ist, derart, dass es sich im Hinblick auf allfällige ökonomische Interessen nicht lohnen würden, wobei noch ein ganz erhebliches IT-Wissen erforderlich wäre, neige ich dazu, die Situation als im zulässigen Rahmen von Art. 27 Abs. 2 GBV einzuschätzen, geht es doch letztlich nicht um höchst sensible Personendaten wie etwa im Gesundheitsbereich. Anders verhielte es sich, wenn etwa durch relativ leicht zu bewerkstelligende Manipulationen wirklich Serienabfragen ermöglicht würden.“

Karl Stadler, Urner Datenschützer

Zur Einordnung dieser Antworten sei hier nochmals der relevante Satz aus der Grundbuchverordnung zitiert:

„[Die Kantone] stellen sicher, […] dass die Auskunftssysteme vor Serienabfragen geschützt sind.“

Grundbuchverordnung, Artikel 27.2

Der von Herrn Graeff genannte „unverhältnismässige Aufwand“ bewegt sich im Umfang von einigen wenigen Minuten (für die reine Serienabfrage) bis 1-2 Tage (für eine Aufbereitung der heruntergeladenen Daten), einen eigentlichen Schutz vor Serienabfragen können wir darin nicht wirklich sehen. Und da der Kanton Uri ja auch Geburtsdatum und Heimatort der Eigentümer publiziert, ist auch die Zuordnung mehrerer Grundstücke zum selben Eigentümer eine doch eher einfache Übung.

Wie eingangs schon erwähnt, musste der Kanton Aargau 2019 sein System nochmals nachbessern um genau diese Art von Abfragen zu unterbinden. Dies nachdem Unbekannte rund 270’000 Datensätze heruntergeladen hatten. Der Kanton Aargau schätzte den Vorfalls damals als schwerwiegend ein und erstattete Meldung zuhanden der Meldestelle des Bundes (dem heutigen NCSC) und der kantonalen Datenschützerin. Im Kanton Uri scheint man dasselbe Problem ein bisschen anders zu sehen.

Unsere Anfrage an die Lisag, ob sie erkennen oder ausschliessen können dass es in der Vergangenheit zu Serienabfragen gekommen sei, blieb bis zur Veröffentlichung unbeantwortet.

Unklar bleibt für uns auch, wer auf Bundesebene genau für Artikel 27.2 zuständig ist, sprich: Wer überprüft nun ob die Grundbuchdaten vor Serienabfragen geschützt sind?

Der eidgenössische Datenschutzbeauftragte EDÖB ist es offenbar nicht. Antwort von Sprecherin Silvia Böhlen:

„Das DSG [Datenschutzgesetz] ist auf öffentliche Register wie das Grundbuch grundsätzlich nicht anwendbar (vgl. Art. 2 lit. d DSG). Ausserdem werden die Grundbuchvorschriften von kantonalen Organen angewandt, nicht von Bundesorganen.“

Silvia Böhlen, Sprecherin EDÖB

Zwar will der EDÖB angemessenen Schutz der Personendaten:

„Aus der Optik des DSG – soweit es vorliegend denn überhaupt anwendbar ist – müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden (vgl. Art. 7 Abs. 1 DSG)“

Silvia Böhlen, Sprecherin EDÖB

Ausserdem sei die „Grundbuchverordnung nur anwendbar auf Daten, die im Grundbuch abgebildet sind“. Dies lässt uns langsam ratlos zurück: hier GEHT es um Grundbuchdaten.

Für weitere Fragen in dieser Angelegenheit müssten wir uns an das Bundesamt für Landestopografie (swisstopo) wenden, welches die Oberaufsicht über die Führung der Kataster ausübe, schreibt Böhlen.

Anfrage ist gemacht, Fortsetzung folgt.

Update 9.12.2021, um 10:08: Das Zuständigkeitschaos wird noch grösser, Bureaucracy goes wild:

Antwort von Bundesamt für Landestopografie:

„Die Grundbuchaufsicht obliegt dem Eidgenössischen Amt für Grundbuch- und Bodenrecht. Die Unterbindung von Massenabfrage betrifft nur den Teil Grundbuch. Der ÖREB-Kataster bezieht diese Informationen nur vom Grundbuch.“

Christoph Käser, Leiter Amtliche Vermessung und ÖREB-Kataster swisstopo

Nun gut, wir starten eine weitere Anfrage an das Eidgenössische Amt für Grundbuch- und Bodenrecht und werden hier laufend aktualisieren.

Update 9.12.2021, um 13:50: YES! Der Urner Datenschützer teilte uns mit, dass Geburtsdatum und Heimatort/Staatsangehörigkeit aus der Grundbuchauskunft entfernt worden sind. Der Punkt der Serienabfragen wird wohl auch gerade geprüft.

Update 13.12.2021, um 16:00: Wir haben Antwort des Eidgenössischen Amt für Grundbuch- und Bodenrecht erhalten (Nathalie Stoffel, wissenschaftliche Mitarbeiterin EGBA) erhalten. Sie bestätigt die rechtliche Aufsichtskompetenz:

"Die Aufsicht über die Geschäftsführung der Grundbuchämter obliegt erstinstanzlich der administrativen Aufsicht der Kantone (Art. 956 Abs. 1 ZGB). Die erst subsidiär eintretende Oberaufsicht über die formelle Geschäftsführung der kantonalen Grundbuchämter im Sinne einer administrativen Aufsicht (verwaltungsrechtliche Dienstaufsicht durch die Grundbuch-Fachinstanzen) obliegt dem Bund (Art. 956 Abs. 2 ZGB); sie wird durch das Eidgenössische Amt für Grundbuch- und Bodenrecht EGBA ausgeübt (Art. 6 Abs. 1 GBV). Die Aufgaben und Kompetenzen des EGBA werden in nicht abschliessender Aufzählung in Artikel 6 Absatz 2 und 3 GBV genannt"

Somit überprüft derzeit der Kanton Uri (jetzt sind wir wieder beim Kanton) offenbar unseren Befund der möglichen Massenabfragen gerade:

"Ob über die infrage stehenden Portale tatsächlich unzulässige Serienabfragen im Sinne von Artikel 27 Absatz 2 GBV möglich sind und - sollte sich dieser Verdacht bestätigen - wie solche Abfragen künftig verhindert werden können, ist aktuell Gegenstand laufender Abklärungen.

Update 13.12.2021, um 17:55: Ein Hinweis der Community (danke Stefan Ziegler @edigonzales): Offenbar möchten die Kantone den Zugang zu Grundstückinformationen vereinheitlichen. Es fanden bereits dazu Workshops statt. (Hoffentlich werden dann Schutzvorkehrungen angemessen berücksichtigt)

Update 14.12.2021, um 11:00: Wir haben heute früh eine Mail erhalten von Georges Danioth, Vorsteher des Amts für das Grundbuch, Kanton Uri. Er bestätigt unseren Befund. Das Portal ist nun gesperrt.

„Ich kann Ihnen mitteilen, dass der allg. Zugang zum Grundbuch (Eigentum) via www.oereb.ur.ch sowie www.geo.ur.ch mittlerweile gesperrt ist, nachdem festgestellt worden ist, dass das Auskunftsportal nicht vor Serienabfragen geschützt ist.

Ich persönlich bedaure, dass wir den Bürgerinnen und Bürgern diese m.E. fortschrittliche Dienstleistung, die von vielen, insb. Versorgungswerken, Architekten, Planern, Strassenbauämter, Polizei, Feuerwehr etc. sehr geschätzt wurde und von grossem Nutzen bei ihrer täglichen Arbeit war, vorderhand nicht mehr anbieten können. Der Kanton muss sich jetzt Gedanken machen, ob er dieses Auskunftsportal weiterhin (mit entsprechend eingebauten Sicherheitstools) anbieten soll oder nicht?“

Georges Danioth, Amt für Justiz Kanton Uri, Amt für das Grundbuch