USA: Anti-Terror-Amt lagerte Geheimdaten auf unsicherem Webserver

Im Film treiben Terroristen oft spektakulären Aufwand, um an sensible Daten der staatlichen Terror-Abwehr zu gelangen. In der Realität ist das hingegen nicht nötig. Es reichte über längere Zeit, dass man mit einfachen Standard-Exploits Webserver angreifen kann, um an geheime Daten des US-Heimatschutz-Ministeriums zu kommen. Wie jetzt bekannt wurde, hatte man bei der Behörde sensible Unterlagen eines großen Anti-Terror-Programms nicht etwa auf sicheren Systemen ohne Netzanbindung abgelegt, wie es sich für solche Informationen eigentlich gehört. Stattdessen lagen diese ein Jahrzehnt lang einfach auf einem Webserver, der auch noch über längst bekannte Sicherheitslücken verfügte, die ewig nicht gepatcht wurden.

Das geht aus einem Bericht der Los Angeles Times hervor, die sich auf interne Unterlagen der US-Regierung beruft. Demnach handelte es sich bei den Informationen um Daten aus dem Programm, mit dem die USA sich vor Bioterrorismus schützen wollen. Unter anderem enthielten die fraglichen Daten so Dokumente mit den genauen Standorten der BioWatch-Sensoren in über 30 Städten. Die Geräte sollen verschiedene Bio-Kampfmittel wie Milzbrand-Erreger, die durch die Luft verbreitet werden, erkennen und bei Bedarf Alarm schlagen.

Streit in der Behörde

Zu den BioWatch-Daten gehören dabei auch Informationen, welche Stoffe die Sensoren überhaupt und in welcher Genauigkeit erkennen können. Das ist für die Planung von Attacken natürlich eine extrem nützliche Information. Gleiches gilt für die Notfall-Pläne, in denen das Vorgehen der Sicherheitsbehörden im Ernstfall genau festgeschrieben ist.

Zu den Unterlagen, die von der Zeitung eingesehen werden konnten, gehörten darüber hinaus auch E-Mail-Korrespondenzen aus der Behörde. Aus den Schriftwechseln ging demnach hervor, dass es intern einen heftigen Streit darüber gab, ob die Speicherung der Daten auf dem fraglichen System nun eine Notwendigkeit für die alltägliche Arbeit oder aber ein nicht zu verantwortendes Sicherheitsrisiko ist. Kenntnis von dem ganzen Vorgang erhielt die Zeitung, als sich ein Whistleblower an sie wandte, der intern den laxen Umgang mit der Sicherheit bemängelt hatte, damit aber nicht weit kam.