Hacker:Wie sicher ist das Bundestags-Netz?

Hacker-Angriff

Der Bildschirm ist blau, der Hacker schlau.

(Foto: Oliver Berg/dpa)
  • IT-Experten haben analysiert, wie sicher die Systeme des Bundestags sind.
  • Sie kommen zu dem Schluss, dass ein Hacker in das interne System eindringen könnte.

Von Hakan Tanriverdi

Während man im Bundestag noch darüber rätselt, wer genau zum Spionieren da war (Indizien deuten auf Hacker aus Russland hin, sicher ist das aber nicht), haben IT-Experten analysiert, wie sicher die Systeme sind, die im Bundestag genutzt werden. Ihr Ergebnis ernüchtert. Für versierte Hacker könnte die Webseite allein ausreichen, um den Bundestag zu hacken und so an Daten zu kommen.

Vorneweg: Die Analyse zeigt nicht, wie Hacker im aktuellen Fall in den Bundestag eingedrungen sind. Sie zeigt aber sehr wohl, wie schlecht es um die IT-Sicherheit des Parlaments steht. Also jener Institution, die als Herzkammer der Demokratie bezeichnet wird und besonders gut geschützt werden sollte.

Vor einer Woche veröffentlichte der IT-Experte Kristian Köhntopp einen Beitrag auf Google+. Dort heißt es: "Dual Homed Bundestag? Oder wie erklärt man sich sonst die Domains?" Danach folgt jede Menge Programmiersprache. Dual Home heißt: Ein Rechner kann auf zwei Netzwerke zugreifen. Zum Beispiel auf das Internet und das Intranet. Auf Nachfrage sagt Köhntopp zu SZ.de: "Wenn man dieses System einnähme, hätte man einen potenziellen Weg von draußen nach drinnen." Zum Beispiel als Angreifer aus dem Internet hinein in das Netz des Parlaments.

Ein "idealer Brückenkopf"

Köhntopp nennt das "idealen Brückenkopf", ihm zufolge könne ein Angreifer das Netz des Bundestages scannen und sich Dienste suchen, die über Schwachstellen verfügen. Ist eine gefunden, könne sich der Angreifer Stück für Stück durch die internen Systeme hangeln, also von Rechner zu Rechner, und am Ende Administratoren-Rechte erlangen.

Ob man wirklich in das Netz kommt, hat Köhntopp nicht ausprobiert: Das illegale Eindringen in Computersysteme ist strafbar. Aber seiner Einschätzung nach ist das machbar. "Das ist alles nicht aufwandslos, insbesondere zeitintensiv. Ein 17-jähriger Nerd mit großzügig Freistunden hat da durchaus Potenzial, den Laden einmal komplett zu übernehmen." Von Geheimdiensten ganz zu schweigen.

Netzadressen aus dem Intranet

Wer sich die Schnipsel des Codes genauer anschaut, die Köhntopp in seinem Beitrag geteilt hat, erkennt Endungen, die es im Web so nicht gibt: zum Beispiel die Adresse "https://statistics.spd.frak/piwik/". Die Endung .frak dürfte für Fraktion stehen. Die Seite ist vermutlich Teil des Parlamentsnetzes. Die SPD betreibt ein Programm mit dem Namen Piwik. Ein Dienst, um zu analysieren, welche Besucher auf die SPD-Webseite kommen. Daher taucht diese Abkürzung im Link auf. Ebenfalls enthalten sind Seiten mit .BTG-Endungen.

Auf Anfrage von SZ.de reagiert man im Bundestag ausweichend und erst nach mehreren Tagen: "Aus Gründen der IT-Sicherheit kann zu diesen Fragen keine Auskunft erteilt werden." Die Frage danach, ob das Netz des Bundestages nicht besonders gut abgesichert sein müsste, wird nicht beanwortet.

Wie sieht es intern aus?

SZ.de hat die Ergebnisse von Köhntopp mit mehreren IT-Experten besprochen. Sie teilen die Einschätzung von Köhntopp: Linus Neumann, Pressesprecher beim Chaos Computer Club, hält den Verdacht für naheliegend, dass es sich hierbei um Server handelt, die Dienste sowohl im öffentlichen Internet als auch im internen Bundestags-Netz anbieten: "Ein erfolgreicher Angreifer aus dem Internet erhält damit potenziell Zugang zum internen Netz, und auf die internen Inhalte, die der Server dort anbietet." Neumann zufolge eignen sich die Schwächen jedoch nur unter größerem Aufwand für einen Einbruch ins interne Netz.

Unabhängig davon, wer sich die Schwächen der Webseite zunutze macht, um tatsächlich einen Angriff auszuführen, stellt sich Köhntopp eine grundsätzliche Frage. Sie lautet: "Wenn das System von außen schon so fehleranfällig aufgebaut ist, wie sieht es wohl im internen Netz aus?"

Korrektur: In der ursprünglichen Version lautete die Überschrift "Wie sicher ist Bundestag.de?" Nach Veröffentlichung des Artikels hat sich Rainer Babiel gemeldet, dessen Unternehmen diese Webseite betreut. Er hat darauf hingewiesen, dass die Systeme, über die die IT-Experten diskutieren, nicht mit Bundestag.de zusammenhängen. Herr Babiel hat Recht. Wir bitten, den Fehler zu entschuldigen. Dass Hacker nach Einschätzung von IT-Experten in das Parlamentsnetz eindringen könnten, ändert sich nicht.

Zur SZ-Startseite

Lesen Sie mehr zum Thema

Jetzt entdecken

Gutscheine: