Aufdecken von IT-Sicherheitslücken: Der Botin gebührt Dank

Wer Cyber-Sicherheitslücken aufdeckt, darf nicht bestraft werden, das Gegenteil sollte der Fall sein. Daran erinnert der Fall der CDU-App.

Wer Sicherheitslücken in der Wahl-App der CDU aufdeckt, wird angezeigt Foto: Nicolas Armer/dpa

Die Summen, die Unternehmen zahlen, weil kriminelle An­grei­fe­r:in­nen Sicherheitslücken ausnutzen, steigen. Gleichzeitig ermittelt ein Landeskriminalamt gegen eine IT-Expertin, die verantwortungsvoll eine Sicherheitslücke meldete. Wie passt das zusammen? Natürlich gar nicht. Dass es überhaupt zu diesen Ermittlungen kommt, ist ein Abgrund.

Die Expertin hatte die CDU auf eine gravierende Sicherheitslücke in deren Wahlkampf-App hingewiesen, durch die persönliche Daten an Unbefugte geraten konnten. Zu Ermittlungen, über die zuerst das Portal netzpolitik.org berichtet hat, kam es, weil die CDU Anzeige erstattet hatte.

Mittlerweile hat die Partei diese Anzeige zwar zurückgezogen – aber das muss keineswegs das Ende der Ermittlungen bedeuten. Die Strategie, die die CDU hier anwandte, ist bekannt und erprobt. Wenn jemand eine schlechte Nachricht überbringt, unternimmt man nicht etwa etwas gegen die Ursache. Man bestraft lieber die Bo­tin.

Und da muss man sich fragen: Was hätte die CDU denn gewollt? Dass jemand die Sicherheitslücke ausnutzt, die Daten abzieht und die Partei auffordert, eine Million Euro in Bitcoins zu zahlen, bitte bis übermorgen? Kann sie haben. Der Chaos Computer Club hat bereits angekündigt, falls er weitere Sicherheitslücken in Systemen der CDU entdeckt, diese nicht an die Partei zu melden. Damit besteht das Risiko, dass jemand anderes diese Sicherheitsmängel auch entdeckt – und ausnutzt.

Das Problem liegt nicht alleine bei der CDU. Auch die Paragrafen, die derartige Ermittlungen überhaupt ermöglichen, sind problematisch. Die Regierungsparteien sind zudem seit Jahren nicht willens, einen guten Schutz von Whist­leb­lo­wer:­in­nen zu beschließen. Der könnte aber dazu beitragen, dass auf Sicherheitsprobleme in Unternehmen frühzeitig hingewiesen wird.

Ob wir dagegen eines Tages Ermittlungen und dann mindestens mal ein saftiges Bußgeld gegen eine Partei sehen, die aufgrund einer Sicherheitslücke persönliche Daten mehrerer Tausend Menschen schutzlos ließ? Darauf sollte man besser nicht wetten.

Comments

[Grenzgänger]

> Mittlerweile hat die Partei diese Anzeige zwar zurückgezogen – aber das muss keineswegs das Ende der Ermittlungen bedeuten.

Mitnichten bedeutet es das Ende, eher den Anfang. Lilith Wittmann musste bereits vorab 2.000,00 € Anwaltskosten bezahlen. Die CxU brüstet sich damit, dass sie sich persönlich bei ihr entschuldigt haben. Auf den aber Kosten werden sie sie sitzen lassen, diese Vollpfosten. Wer den Verein wählt hat den Schuss nicht gehört!!!

[Bolzkopf]

Das sind die tragenden Säulen der C*U-Digitalpolitik:

- keinen Schutz den Whistleblowern !

- keine Strafe für die großen Internet(steuer)betrüger !

- keine Pflicht zur Fehlerbeseitigung seitens der Softwaregiganten !

- keine verschlüsselte Kommunikation für den kleinen Mann !

- kein Tempolimit - außer auf den Datenautobahnen

[Thomas Brunst]

taz-Zitat: "(...) Die Regierungsparteien sind zudem seit Jahren nicht willens, einen guten Schutz von Whist­leb­lo­wer:­in­nen zu beschließen. Der könnte aber dazu beitragen, dass auf Sicherheitsprobleme in Unternehmen frühzeitig hingewiesen wird (...)".

Dafür hatte Peter Altmaier im April '20 höchstpersönlich gesorgt:

Zurückgepfiffen: Wirtschaftsministerium torpediert Schutz von Whistleblowern

www.fr.de/wirtscha...wern-13654378.html

[Mondschaf]

Es wird in gewissen politischen Kreisen ja auch nicht gewünscht, dass Steuerlücken aufgedeckt werden, die (un)bewusst in Gesetze eingearbeitet wurden... Lücken werden gelassen, damit sie genutzt werden. Wer "Lücken" in unserer "Arbeit" nachweist, kann nur feindliche Absichten haben. Dass das bei Lücken in "Neuland" anders ist, das müssen wir alle erst noch lernen. [/Ironie off].