Zensus 2011: Online-Fragebögen sind nicht sicher

In ganz Deutschland läuft in diesen Tagen die Volkszählung an. Im Rahmen des Zensus 2011 erhalten viele Menschen Fragebögen zugestellt. Auf Wunsch lassen diese sich auch online beantworten - aber das ist unsicher. Der Sicherheitsexperte Jan Schejbal hat sich das System angesehen und Probleme festgestellt. Demnach ist es für einen Angreifer zwar nicht einfach möglich, den Datenverkehr auf der entsprechenden Webseite zu belauschen. Gezielte Attacken seien aber durchaus möglich.

Das Problem liegt darin begründet, dass die Nutzer im ersten Schritt über eine unverschlüsselte Verbindung auf die Zensus-Seite geleitet werden. Erst wenn es zum Formular geht, erfolgt ein Wechsel auf einen verschlüsselten HTTPS-Kanal. Das kann im Zweifelsfall aber zu spät sein.

Hat ein Angreifer Zugriff auf die Verbindung, kann er den Nutzer bereits beim ersten Aufruf so umleiten, dass die Daten weiterhin im Klartext verschickt werden. Eine entsprechende Software für solche Attacken gibt es schon länger, sie müsste gegebenenfalls nur etwas angepasst werden.

Von Außen funktioniert die Attacke allerdings nicht. Befindet sich der Angreifer aber beispielsweise im gleichen Netzwerk, was in Wohngemeinschaften, Firmen oder auch öffentlichen WLANs der Fall sein kann, oder hat er Zugang zu dem vom jeweiligen Anwender genutzten DNS-Server, wäre es ihm möglich, die eingegeben Daten abzugreifen.

"Das ist nicht trivial, aber machbar und schon vorgekommen", so Schejbal. Eine nachträgliche Lösung des Problems ist nur schwer möglich, da die Fragebögen mit dem Verweis auf die Webseite bereits verteilt sind. Eine Möglichkeit besteht laut Schejbal darin, ein nachträgliches Informationsblatt mitzugeben, dass gleich für den ersten Besuch auf eine HTTPS-Adresse verweist.