Manipulativer Hack oder Datenschutzverletzung? D-Trust: Cyberangriff auf Tochter der Bundesdruckerei

Anbieter zum Thema

emlix GmbH

Auf D-Trust, das Trustcenter für digitale Signaturen mit eigenem Security-Zertifizierungsservice, hat ein Cyberangriff stattgefunden. Während das Unternehmen die gezielte, strafbare Manipulation einer Schnittstelle meldet, spricht der Chaos Computer Club (CCC) von mangelndem Datenschutz aus einer „Kombination aus Versehen, Inkompetenz und mangelnder Sorgfalt“ heraus.

Vor etwa zwei Wochen meldete die D-Trust GmbH, dass das Unternehmen einige Tage zuvor „Ziel eines Angriffs auf das Antragsportal für Signatur- und Siegelkarten geworden“ sei. Während ausgegebene Siegel und Signaturkarten von diesem Hack nicht betroffen waren, seien dabei allerdings zahlreiche personenbezogene Daten in die Hände des Angreifers gelangt. Im Rahmen der geltenden Gesetzgebung erteilte das Unternehmen sofort Strafanzeige gegen den unbekannten Hacker.

Im Rahmen der laufenden Untersuchungen gab das Unternehmen vergangene Woche die folgenden Erkenntnisse bekannt: Der Hacker habe gezielt eine Schnittstelle des Portals https://portal.d-trust.net/ manipuliert, worüber er in der Lage war, Daten aus dem Antragsbearbeitungssystem auszulesen. Bei den abgerufenen personenbezogenen Daten handele es sich um Vor- und Nachname, E-Mail-Adresse, Geburtsdatum und in einigen Fällen Adress- und Ausweisdaten. Auch wenn keine Manipulation stattgefunden hat, handelt es sich bei diesem Vorfall um ein siginifikantes Datenschutz-Leck.

Am 23. Januar kontaktierte schließlich der Chaos Computer Club das Unternehmen, um auf die Herkunft und die Natur des Angriffs hinzuweisen. Ein anonymer Sicherheitsforscher habe demnach bereits Anfang Januar eine Sicherheitslücke auf dem Portal erkannt und die Daten auf über den Verlauf mehrerer Tage abgezogen, um auf die Schwachstelle hinzuweisen. Die Daten seien im Anschluss allerdings ausnahmslos gelöscht worden. D-Tust besteht in seinen Pressemitteliungen darauf, das Wort Sicherheitsforscher in Anführungsstriche zu setzen während das Unternehmen betont, weiterhin „eng mit den involvierten Sicherheitsbehörden und externen Sicherheitsexperten zusammen“ zu arbeiten.

In Reaktion auf diese jüngste Pressemitteliung hat der Chaos Computer Club ein eigenes Statement veröffentlicht. In diesem prangert das Kollektiv an, dass D-Trust mit seiner Rhetorik, der herabwertenden Bezeichnung des anonymen Angreifers und der steten Betonung auf die Zusammenarbeit mit Behörden und der Strafbarkeit des Angriffs von eigenen Versäumnissen ablenke. Gerade als Vertrauensdienstleiter komme D-Trust eine Vorreiterrolle zu, um seine eigenen im Web zugänglichen Portale hinreichend abzusichern, um solche Datenlecks im Vornherein zu vermeiden. Das sei aber, wohl „durch eine Kombination aus Versehen, Inkompetenz und mangelnder Sorgfalt“, nicht geschehen. Insbesondere kreidet das Hackerkollektiv an, warum diese Daten überhaupt über das Internet zugänglich waren, noch dazu ohne angemessenen Schutz.

Nach Angaben des CCC habe es sich bei dem Angriff um einen White-Hat-Hack gehandelt. Da allerdings solche privaten Angriffe auf Schwachstellen in Deutschland nicht unter Schutz stehen, selbst wenn sich der Angreifer persönlich meldet und auf den Umstand hinweist, habe sich der Sicherheitsforscher mit seinen Funden an den CCC gewandt, um anonym bleiben zu können. Durch die Pressemitteilungen von D-Trust sieht der CCC bestätigt, dass dies im Sinne der Sicherheitswarnung und des Schutzes die wohl richtige Vorgehensweise war. Der CCC meldet, dass der Angreifer persönlich die Löschung der abgezogenen Daten versichert habe; es sei einzig das Interesse gewesen, auf die Sicherheitslücke hinzuweisen, die ihn zu diesem Vorgehen veranlasst habe.

Während D-Trust weiter eine enge Zusammenarbeit mit zuständigen Behörden verspricht, fordert der CCC, dass eigentlich eine Entschuldigung für eigene Versäumnisse und eine Strafe wegen Datenschutzverletzungen angemessen wären. Die Auseinandersetzung unterstreicht, dass es hierzulande für „White-Hat-Hacking" keinerlei Schutzmechanismen gibt, was generell die Cybersecurity-Forschung erschwert. Während internationale Konzerne wie Google oder Microsoft zum Teil Prämien für die Offenbarung existierender Schwachstellen ausloben, zeigt man sich in Deutschland in der Regel noch eher intransparent und bedeckt, was mögliche Sicherheitsrisiken betrifft. Sicherheitsforscher prangern das als gefährlichen Weg an: Statt Hacker zu ermutigen, ihre Erkenntnisse in den Dienst der Verbesserung von Security-Maßnahmen zu stellen, würden sie durch den Generalverdacht und die direkte Kriminalisierung eher dazu getrieben, solche Datenlecks nicht zu publizieren, sondern etwa im Darknet zu verkaufen ¦ was erst zu den eigentlichen Schäden führt.

(sg)

(ID:50303623)