Wie sicher ist die IT der Bundesministerien wirklich? Eine aktuelle ATHENE-Studie vermisst ihre externe Angriffsfläche und zeigt erhebliche Lücken im bestehenden Lagebild auf.
Eine neue Studie des Nationalen Forschungszentrums für angewandte Cybersicherheit ATHENE hat die IT der 15 Bundesministerien und des Bundeskanzleramts von außen vermessen: so, wie sie aus dem Internet erreichbar ist.
Erfasst wurde sie unabhängig davon, ob ein Dienst im eigenen Rechenzentrum, bei einem Dienstleister oder in der Cloud läuft. Erstellt wurde die Studie von einem Team unter Leitung von Prof. Dr. Haya Schulmann, Professorin für Cybersicherheit an der Goethe-Universität Frankfurt und Mitglied im ATHENE-Direktorium.
Das offizielle Lagebild des BSI ist unvollständig. Die Studie ordnet der Bundesverwaltung rund 36.100 aktive IP-Adressen zu; der BSI-Lagebericht führt dagegen nur rund 3.800 im Monitoring. Knapp neun von zehn aktiven Adressen entgehen damit der amtlichen Erhebung. Der Grund: Das BSI misst entlang der „Weißen Liste“, also der als staatseigen registrierten IP-Bereiche – ein Verfahren aus einer Zeit, in der der Staat seine IT selbst betrieb. Heute laufen über 60 Prozent der erfassten Adressen extern oder in der Cloud. In den nicht erfassten Bereichen fand die Studie mehr als 12.100 Sicherheitsbefunde.
Ministerien erfüllen nicht alle Vorgaben
Kein Ministerium erfüllt durchgängig die Vorgaben. 32,5 Prozent der Zertifikate sind fehlerhaft oder abgelaufen, 45 Prozent der Mail-Domänen schützen nicht wirksam vor gefälschten Absendern, Basisdienste wie SSH und FTP stehen offen im Netz. Ein zweiter Befund erklärt, warum das amtliche Verfahren so wenig sieht: Zwischen 30 und über 80 Prozent der Infrastruktur eines Ministeriums entfallen auf nachgeordnete Behörden mit eigenem Budget und eigenen Dienstleistern. In den Beispielen BMI, BMAS und BMF gehören 88 bis 93 Prozent der extern sichtbaren Hosts nicht dem Ministerium, sondern seinem Geschäftsbereich und dessen Dienstleistern.
Alte Lücken, nicht neue
Über alle Häuser summiert zählt die Studie 15.290 aktive CVE-Fundstellen mit einem Durchschnittsalter von 7,6 Jahren. Von den über 2.182 aktiven kritischen Schwachstellen (CVSS ≥ 9,0) stammen 1.050 aus den Jahren 2015 bis 2017. Für Angreifer sind lange bekannte Lücken besonders attraktiv, weil es dafür meist zuverlässig funktionierende Exploits gibt: Bis eine kritische Lücke geschlossen wird, vergehen im Schnitt zehn Jahre – eine neue Schwachstelle wird nach rund fünf Tagen erstmals ausgenutzt. PHP 5 läuft noch in elf Ministerien, obwohl der Hersteller-Support Ende 2018 endete.
Eine einheitliche Plattform löst das nicht. Die 16 Häuser folgen sieben grundverschiedenen Architekturen – eine Folge des Ressortprinzips und sehr unterschiedlicher Fachaufgaben von Diplomatie über Verteidigung bis Wettervorhersage. Je mehr Technologien ein Haus parallel betreibt, desto mehr Schwachstellen weist es auf – beides wächst allerdings auch mit der Größe des Hauses. Das am 22. Juli beschlossene Programm CyberGovSecure benennt neun Handlungsfelder und richtet einen Lenkungskreis auf Staatssekretärsebene ein. Eine Frist mit Datum und eine Budgetzahl enthält der Programmtext nicht; Zielwerte sieht er vor, festgelegt werden sie aber erst später. Sicherheitsauflagen in Beschaffungs- und Betreiberverträgen und die Abschaltung von Altsystemen fehlen.
"Sicherheit entscheidet sich nicht an neuen Plattformen, sondern an Grundhygiene, an verbindlichen Vorgaben in Betreiberverträgen und an der Bereitschaft, Altsysteme tatsächlich abzuschalten", sagt Schulmann. "Ohne ein vollständiges, extern validiertes Bild der Bundes-IT schreiben auch CyberGovSecure und der Deutschland-Stack genau die Lücken fort, die sie schließen sollen."
Die Studie empfiehlt vier Schritte: ein extern validiertes Asset-Register über alle Top-Level-Domains, Betriebsmodelle und Geschäftsbereiche samt Dienstleistern; prüfbare Mindestanforderungen in jedem Beschaffungs- und Betreibervertrag; die Abschaltung von Altsystemen mit Datum und benannter Zuständigkeit; und neben der Selbstauskunft gemessene Kennzahlen.
(Fotos: Fraunhofer SIT/ATHENE)