Berliner Polizei trägt bereitwillig Passwörter in Phishing-Mails ein

Gerade erst hatte eine DoS-Attacke auf die Telefone zweier Dienststellen der Berliner Polizei für Schlagzeilen gesorgt. Nun kam heraus, dass ein wirklich böswilliger Angreifer wohl leichtes Spiel gehabt hätte, wäre er daran interessiert gewesen, schlimmeren Schaden anzurichten. In der Sache, von der die Berliner Tageszeitung Tagesspiegel erfuhr, handelte es sich glücklicherweise nur um einen Test eines Sicherheits-Unternehmens, das Schwachstellen ausfindig machen sollte. Und solche fanden sich nicht in erster Linie in den IT-Systemen selbst, sondern bei deren Nutzern - also den Beamten in den verschiedenen Dienststellen der Hauptstadt.

Für den Security-Check wurde ein fingierter Phishing-Angriff auf die Polizei gefahren. Dafür schickte man eine Reihe von E-Mails an die Beamten, die im Design der Polizei gehalten waren und die üblichen kleinen Fehler enthielten. In der Nachricht wurden die Polizisten aufgefordert, ihre Passwörter in einen angeblichen "sicheren Passwortspeicher der Polizei Berlin (SPS)" einzutragen.

Phishing-Anweisungen brav befolgt

466 E-Mails wurden an die Arbeitsplätze der verschiedenen Dienststellen verschickt, hieß es. Das Tracking führte zu dem Ergebnis, dass 252 von ihnen auch tatsächlich geöffnet und der enthaltene Link angeklickt wurde. In 35 Fällen trugen Beamte auch tatsächlich ihr Passwort in das hinterlegte Formular ein - und dies, obwohl die Testseite bereits nach 40 Minuten abgeschaltet wurde. Einige Zeit später verschickten die Tester auch eine E-Mail an die vorhergehenden Empfänger, in der diese über den Hintergrund aufgeklärt wurden.

Unklar ist, welche Zugangsrechte man mit den fraglichen Passwörtern erhalten hätte. Denkbar ist hier aber ein weitgehender Zugang zu den internen Datenbanken, auf denen sensible persönliche Daten einer beträchtlichen Zahl von Bürgern enthalten sein dürfte. Das Ergebnis zeigt im Grunde, welcher Schulungsbedarf bei den Beamten besteht - allerdings sind diese ohnehin schon chronisch überlastet, so dass dafür wohl kaum Zeit sein wird.