Vorsicht: Deutschland hat seine Regierungs-Domains nicht im Griff

Die IT-Sicherheit deutscher Behörden steht auf dem Prüfstand. Ein Wildwuchs an unterschiedlichen Webadressen und Strukturen macht es Nutzern schwer, offizielle Seiten zu erkennen. Das birgt massive Risiken für Phishing und Malware, wie neue Analysen zeigen.

Risiken im behördlichen Domain-Netz

Online-Angebote staatlicher Stellen in Deutschland sind unter zahlreichen unterschiedlichen Internetadressen erreichbar. Anders als in den USA oder Großbritannien fehlt eine einheitliche Domain-Struktur. Bundesbehörden nutzen neben .bund.de auch reguläre .de-Adressen oder projektspezifische URLs. Für Nutzer ist oft schwer erkennbar, ob es sich um eine offizielle Seite handelt. Das erhöht die Gefahr von Phishing und anderen Cyberangriffen.

Ein Risiko ist das sogenannte Bitsquatting. Dabei können minimale Übertragungsfehler dazu führen, dass Nutzer auf ähnlich lautende Domains weitergeleitet werden. Sicherheitsforscher zeigen, dass auf solchen Adressen versehentlich interne E-Mails oder Systemanfragen von Behörden landen können. Auch klassisches Vertippen von Internetadressen birgt diese Gefahr.

Bericht deckt Sicherheitslücken auf

Wie die Plattform Frag den Staat berichtet, stellt die unübersichtliche Domain-Landschaft ein Sicherheitsrisiko dar. Gemeinsam mit dem Sicherheitsforscher Tim Philipp Schäfers veröffentlichte das Portal eine Liste mit mehr als 2000 Domains der Bundesregierung.

Ziel sei es, durch Transparenz die IT-Sicherheit zu verbessern. Die Autoren kritisieren den Ansatz der "Security by Obscurity", da Angreifer relevante Informationen ohnehin über technische Analysen erlangen könnten. Der Bundesregierung ist das Problem bekannt. Der IT-Planungsrat beschloss im März 2024 die Einführung der Domain-Endung gov.de als zentrale Dachmarke.

Die Umsetzung kommt jedoch nur langsam voran. Föderale Zuständigkeiten und bestehende Alt-Domains aus früheren Jahren erschweren die Konsolidierung. In einigen Fällen bestehen diese Adressen weiterhin oder könnten nach Ablauf von Dritten übernommen werden. Infografik Wirtschaft: Die finanziellen Schäden durch Cyberkriminalität

Handlungsempfehlungen

Die aktuellen Recherchen zeigen, dass ein professionelles Domain-Management essenziell ist. Aus den analysierten Schwachstellen lassen sich konkrete Maßnahmen ableiten, die nicht nur für Behörden, sondern auch für Unternehmen jeder Größe relevant sind:


Wir sind gespannt auf eure Perspektive: Ist dieser drastische Schritt zur Transparenz überfällig oder öffnet er Angreifern Tür und Tor? Diskutiert mit uns in den Kommentaren.


Siehe auch: