bedeckt München 20°

IT-Sicherheit:Ein Bundeswehroffizier machte versehentlich Interna öffentlich

Bei allen Betroffenen konnte die SZ die Daten über das sogenannte File Transfer Protocol (FTP) abrufen. Das FTP-Protokoll ermöglicht es, über das Internet auf Festplatten zuzugreifen, auch wenn man sich nicht im selben Netzwerk befindet. Firmen und Universitäten nutzen FTP-Server, aber auch private Netzwerkspeicher bieten das Protokoll an. Eigentlich sollte die Übertragung verschlüsselt ablaufen, die Dateien sollten mit Passwörtern geschützt sein. Eigentlich.

Darauf vertraute auch ein Kapitän zur See. Der Offizier im Verteidigungsministerium stellte eine "My Cloud"-Festplatte von Western Digital in seiner Wohnung auf. Er speicherte sein komplettes Leben auf ihr ab, nicht nur das private. Der kleine Heimserver diente ihm als Sicherungskopie seines Computers: Kontoauszüge, Kontakte, Fotos, Daten von Familienmitgliedern, E-Mail-Passwörter und ein Lebenslauf seiner Tochter samt Foto lagen offen im Netz.

Unter den dienstlichen Dokumenten sind eingescannte Truppenausweise der Bundeswehr, Flottenlisten und Ankündigungen von Versetzungen. Sie enthalten die Namen zahlreicher deutscher Soldaten, Details zu Besatzungen deutscher Marine-Boote und Telefonnummern. Außerdem finden sich Abrechnungen, Dienstzeugnisse, ein für Staatssekretäre vorbereitetes Dokument und ein detaillierter Kalender mit Terminen im Verteidigungsministerium. Nichts davon sollte öffentlich sein. Alles war öffentlich.

Shodan flexibles Teasermodul

Die SZ hat über mehrere Monate in der Suchmaschine Shodan recherchiert, die das Internet der Dinge durchsuchbar macht - und dabei viele Belege dafür gefunden, wie grundlegend unsicher die Architektur der totalen digitalen Vernetzung ist. Was Sie wissen müssen und wie Sie sich schützen können:

Am Telefon sagt der Offizier, er wisse, dass die Dateien auf dem Server auch von außen zu erreichen seien - "aber doch nur mit Passwort". Als ihm klar wird, dass er falsch liegt, zieht er noch während des Telefonates den Stecker aus der Festplatte. Details zur Konfiguration möchte er nicht verraten. Es liegt aber nahe, dass der Mann einen Fehler gemacht hat. Western Digital erklärt auf Anfrage, das Problem ohne genauere Informationen nicht analysieren zu können.

Unverständnis, Abwehrreflexe, Gesprächsabbruch - nach diesem Schema verlaufen mehrere der Konfrontationen mit den Betroffenen. Längst nicht alle Dateien und Dokumente enthalten ausreichend Informationen, um den Gerätebesitzer eindeutig zu identifizieren und E-Mail-Adressen oder Telefonnummern herauszufinden. Gelingt das aber erklären die meisten, sicherlich keinen Fehler gemacht zu haben. Manche fordern schriftlich genauere Informationen, melden sich daraufhin nicht mehr und ignorieren weitere Anrufe. Andere verweigern von Anfang an das Gespräch. Der Großteil reagiert zunächst besorgt bis schockiert, ist dann aber dankbar für die Warnung und will das NAS neu konfigurieren, um die eigenen Daten künftig besser zu schützen.

Herr Maier benutzt jetzt einen Passwort-Manager

Das hat auch Herr Maier gemacht. Er hat für alle 47 Webseiten aus dem Word-Dokument neue Kennwörter vergeben und jedes Konto auf verdächtige Zugriffe hin überprüft. "Vermutlich hatte ich mehr Glück als Verstand", sagt er. Allem Anschein nach ist vor der SZ niemand auf die Daten aufmerksam geworden, zumindest niemand mit bösartigen Absichten.

Für wichtige Dienste hat sich Herr Maier nun die sogenannte Zwei-Faktor-Authentifizierung eingerichtet. Zum Einloggen ist jetzt zusätzlich zum Passwort ein zufällig generierter Zahlencode nötig, der per SMS verschickt wird. Die Zugänge aus dem Word-Dokument würden Kriminellen künftig nicht reichen, sie müssten auch noch das Smartphone von Herrn Maier in die Hände bekommen.

Dieses Risiko will er aber ohnehin nicht eingehen. Herr Maier verwendet mittlerweile einen Passwort-Manager, in dem er sämtliche Zugangsdaten speichert. "Jetzt muss ich mir nur noch ein einziges Kennwort merken", sagt er. "In meinem Alter ist das vielleicht auch besser so."

Lesen Sie die große SZ-Recherche - mit SZ Plus:
Internet der Dinge Wo das Internet zerbrochen ist

IT-Sicherheit

Wo das Internet zerbrochen ist

Immer mehr Geräte lassen sich über das Internet fernsteuern, doch Bilder aus Kinderzimmern oder Kontoauszüge können ohne Weiteres im Netz landen. Eine Reportage, die Betroffene konfrontiert.   Von Johannes Boie, Vanessa Wormer, Catharina Felke