Markt + Trends | E-Government | iX

Datenleck in BundID: Kommunale Verwaltungssoftware öffnet das Bürgerkonto

Die IT-Sicherheitsforscherin Lilith Wittmann hat erneut Probleme in der Verwaltungs-IT des Bundes aufgedeckt, dieses Mal in der BundID. Die Schwachstelle befindet sich in der Implementierung der Security Assertion Markup Language (SAML), einer OAuth-Alternative. Hunderte kommunale Ämter benutzen sie als Authentifizierungstechnik. Bei der Software OpenR@thaus des Dienstleisters ITEBO leitete eine zum Komfort verbaute Zusatzfunktion im SAML-Protokoll den Nutzer nach der Anmeldung direkt auf die gewünschte Webseite weiter. Ein Fehler in der Implementierung machte daraus „jede beliebige Webseite“, sodass Wittmann mit einer gefälschten Verwaltungsseite demonstrierte, wie sie persönliche Daten von Bürgern hätte abgreifen können.

Das zuständige Bundesinnenministerium schaltete das System mit der Schwachstelle innerhalb von Stunden ab, gänzlich absichern konnte der Dienstleister seine Software aber nicht. In der darauffolgenden Woche entdeckte Wittmann erneut ein Schlupfloch, das auf eine über acht Jahre alte Sicherheitslücke in der quelloffenen CMS-Software Liferay zurückgeht – die auch bei OpenR@thaus zum Einsatz kommt. Alle kommunalen Dienstleistungen, die OpenR@thaus nutzen, wurden daher vom Netz genommen. Wittmann ist pessimistisch, denn das System hat noch weitere Schwachstellen. Fabian A. Scherschel (kki@ix.de)