Poliks: Berliner Senat dementiert Sicherheitslücke im Polizeisystem
Die Berliner Polizei hat unrechtmäßige Zugriffe auf ihr IT-System eingeräumt, Berichte über Missbrauch des Passwortrücksetzungsverfahrens aber zurückgewiesen.
Bei der Berliner Polizei ist es zu "unrechtmäßigen Zugriffen" auf das Polizeiliche Landessystem zu Information, Kommunikation und Sachbearbeitung (Poliks) gekommen. Das hat ein Sprecher der Senatsverwaltung für Inneres gegenüber heise online bestätigt. "Fälle der missbräuchlichen Verwendung des Verfahrens der Passwortrücksetzung" seien den Behörden jedoch "nicht bekannt", betonte der Sprecher und wies entsprechende Berichte lokaler Medien zurück.
Demnach sind zur Anmeldung an einen Poliks-Rechner eine Personalnummer und ein persönliches Kennwort notwendig. Erstere werde polizeiintern offen verwendet und mit jedem von einem Beamten bearbeiteten Vorgang verknüpft. Bei der Passwortabfrage könne man leicht tricksen, hieß es bei der Berliner Zeitung: Das Benutzerkonto werde nach dreimaliger falscher Kennworteingabe gesperrt, über die System-Hotline erhalte man in diesem Fall aber ohne weitere Sicherheitsabfrage einfach ein neues Passwort.
Den Berichten zufolge ist es dabei zu Missbrauchsfällen gekommen: So habe ein Polizist Drogendealer mit Informationen versorgt und vor Razzien gewarnt, Beamte hätten den Beziehungsstatus einer Kollegin abgefragt, eine Ordnungshüterin Nachbarn ausspioniert. Mitglieder der polizeilichen Personalvertretung "Die Unabhängigen" hätten aufgrund der Datenschutzverstöße unter anderem die Behördenleitung und Innensenator Andreas Geisel informiert, passiert sei aber nichts.
Kein Problem der Passwortrücksetzung
"Das medial geschilderte Verfahren ist falsch", betonte der Sprecher des Innensenators. Bei der Polizei Berlin werde das Konzept verfolgt, am stationären Desktop-PC "grundsätzlich möglichst alle dienstlich erforderlichen Anwendungen mit einer Anmeldung zur Verfügung zu stellen". Insofern könne Poliks "nach Authentifizierung am multifunktionalen Arbeitsplatz (MAP) aufgerufen werden". Über ein Rollen- und Rechtesystem würden die Nutzungsmöglichkeiten innerhalb des IT-Systems dem jeweiligen Nutzer entsprechend seiner Freigaben zugewiesen.
Je nach Berechtigung können MAP-Anwender etwa auch das internationale Polizeisystem Inpol, das Schengener Informationssystem (SIS), das Ausländerzentralregister (AZR) oder das Visa-Informationssystem (VIS) der EU abfragen, erläutert die Senatsverwaltung für Inneres. Der Zugang sei aber zumindest seit 2017 über ein Verfahren abgesichert, das den Richtlinien des Bundesamts für Sicherheit in der Informationstechnik (BSI) entspreche. Eine Neuvergabe von Passwörtern für den MAP-Rechner basiere "auf einem unmittelbaren Identitätsnachweis oder einer Zwei-Faktoren-Authentifizierung".
"Nach fünfmaliger Fehleingabe des Kennwortes wird ein MAP-Konto automatisch gesperrt", erläutert der Senatsvertreter die Details. Gängige Ursachen dafür seien "Zahlendreher bei der Eingabe der Personalnummer im Anmeldeverfahren" oder ein "unbeabsichtigtes Feststellen der Taste für Großbuchstaben", wodurch das Passwort für den Nutzer nicht sichtbar "falsch" eingegeben werde. In diesen Fällen werde grundsätzlich kein neues Kennwort vergeben, sondern es erfolge nach entsprechender Beratung rund um die möglichen Fehlerquellen "lediglich eine Freischaltung, sodass der Anwender den Anmeldevorgang mit seinem bisherigen Kennwort erneut versuchen kann".
Unzulässige Datenabfragen
Die einschlägigen Richtlinien sähen den Einsatz von Initialpasswörtern vor, führte der Sprecher weiter aus. Diese müssten vom Anwender nach dem ersten Anmelden geändert und durch eigene Kennwörter ersetzt werden. Dies sei systemseitig auch so umgesetzt worden, sodass "die richtige Eingabe technisch erzwungen wird". Die genannten Missbrauchsfälle beruhten dem aktuellen Kenntnisstand nach "auf Abfragen unter eigener Identität" der Übeltäter. Sie hätten "durch das Überprüfen über die sogenannte Protokolldatei ermittelt werden" können. Vor 2017 gab es aber offenbar noch ein laxeres Anmeldeverfahren.
Inzwischen läuft aus Sicht von Senat und Polizei prinzipiell alles gut mit Poliks. Die Berliner Datenschutzbeauftragte Maja Smoltczyk beschäftigt unter anderem das zum MAP gehörende "Password Recovery System" Meldungen aber schon seit mehr als einem Jahr. Im Frühjahr seien die Gegebenheiten direkt bei der Polizei untersucht worden, der Prozess laufe aber noch, heißt es beim Tagesspiegel. Vom Senat ist dazu nur zu hören: "Das Verfahren liegt bei der Polizei Berlin. Dort liegt ein Schreiben der Berliner Beauftragten für Datenschutz und Informationsfreiheit zur Vor-Ort-Prüfung vor." Beobachtern gibt allein die lange Dauer des Kontrollvorgangs Rätsel auf. Sie wittern weitere, noch wenig beleuchtete Dimensionen des "Datenskandals".
Verstöße sollen geahndet werden
Die ausgemachten Delikte bei Poliks-Abfragen sollen laut dem Sprecher Geisels nicht ungeahndet bleiben. Bei Verstößen gegen das Landesdatenschutzgesetz handle es sich um ein sogenanntes Antragsdelikt. In den Fällen, in denen von den beschuldigten Polizeibeamten mehrere unzulässige Datenabfragen durchgeführt worden seien, habe die Datenschutzbehörde die entsprechenden Strafanträge gestellt. Möglicherweise hätten die Geschädigten so bislang noch nichts von dem Datenschutzverstoß zu ihrem Nachteil erfahren. Grundsätzlich informiere die Polizei aber die Betroffenen früher oder später.
Im Poliks sind gegenwärtig rund 21 Terabyte Daten gespeichert. 2,4 Terabyte davon lagern direkt in dem System, 18,8 beziehen sich auf digitale Dokumente, die darüber referenziert werden. Seit der holprigen Arbeitsaufnahme von Poliks in 2005, das T-Systems und Microsoft als Vorzeigeprojekt führen, sind über 12 Millionen Vorgänge und 9,4 Millionen Personen wie Zeugen oder Täter darin erfasst worden. Löschfristen werden nach Angaben des Senats "an den gesetzlichen Vorgaben ausgerichtet automatisiert festgelegt, ausgeworfen und bei Ausbleiben einer Verlängerung umgesetzt". (olb)
