"90 Prozent der Daten liegen offen"

Wien. Die Hacker-Attacken auf staatsnahe Unternehmen in Österreich reißen nicht ab. Der heimische Ableger von Anonymous, AnonAustria, beweist immer wieder aufs Neue, dass die Systeme dieser Institutionen offensichtlich schlecht geschützt sind: Prompt gibt es nach den veröffentlichten 25.000 Datensätzen der Polizei den nächsten Datenskandal - und das ausgerechnet in der E-Medikationspilotregion Tirol (siehe Artikel unten).

Die Umsetzung der geplanten elektronischen Vernetzung von Gesundheitsakten erhält damit einen Dämpfer - zumindest für die Argumentation der Befürworter. Dasselbe gilt auch für die Vorratsdatenspeicherung, die ab April 2012 starten soll, um Kommunikationsdaten der Bürger für Polizeiermittlungen zu nutzen (siehe Wissens-Kasten). Angesichts der aktuellen Hackerangriffe dürfte auch hier das Missbrauchsrisiko groß sein.

Doch im Innenministerium zeigt man sich unbeeindruckt. "Man darf nicht vergessen, dass die Daten der Polizisten von einem Verein gekommen sind und nicht vom Server des Innenministeriums", erklärt Hermann Muhr, Sprecher von Innenministerin Johanna Mikl-Leitner. Dieser sei gut geschützt. Die Vorratsdatenspeicherung werde daher auf jeden Fall wie geplant im kommenden Jahr starten, heißt es. Angesichts der aktuellen Vorfälle würde dem Thema Sicherheit natürlich noch mehr Aufmerksamkeit geschenkt, wird betont.

"Problem ist Umfeld"

"Das Problem ist ja auch nicht der Server des Innenministeriums, sondern vorgelagerte Einrichtungen, wie etwa jener Polizeiverein, von dem die 25.000 Datensätze gestohlen wurden", wendet Hans Zeger von der Arge Daten ein.

Dass der Server des Innenministeriums gut geschützt ist, will Zeger gar nicht infrage stellen. Die Schwachstellen seien vielmehr jene ungeschützten Systeme, die mit den geschützten vernetzt sind. Und in Österreich treffe das auf einen Großteil der Systeme zu. Fast 90 Prozent der Daten würden offen liegen, meint Zeger. So mache es letztlich keinen Unterschied, ob 25.000 gestohlene Datensätze direkt von der Polizei kommen "oder von jemandem, der sie schon vorher gehabt hat".

Dasselbe gelte auch für die Tiroler Gebietskrankenkasse, wo die Daten nicht vom eigenen Server stammen dürften, sondern von den Rettungsorganisationen, denen sie regelmäßig zugespielt werden. "Und bei der Vorratsdatenbank werden die Daten künftig auch nicht unmittelbar von der Polizei gesammelt, sondern von den Telekom-Unternehmen, beziehungsweise einer eigenen Clearingstelle", so Zeger.

Um an die Daten heranzukommen, würde dann oft nur ein Computer reichen, um die Zugangsdaten eines Berechtigten auszuforschen. Es sei sogar möglich, über Google Computer mit Sicherheitslücken aufzuspüren. Außerdem gebe es noch die Möglichkeit, über einzelne Personen "im Vorzimmer" an Zugangsdaten zu kommen, wie Basecamp-Geschäftsführer Harald Reisinger erklärte (Basecamp ist eine Firma, die auf Auftrag Sicherheitslücken in Unternehmen aufdeckt, Anm.). In diesen Fällen nützt auch die beste Firewall nichts.

Kein Freibrief für Hacker

"Dass es die Tiroler erwischt hat, ist Zufall. Dass es sich um Gesundheitsdaten handelt, nicht. Dass es einen Polizeiverein erwischt hat, ist Zufall. Dass es Polizeidaten waren, nicht", meinte Zeger abschließend. Was die Hacker-Gruppe Anonymus betrifft, habe diese wohl dazu beitragen, Sicherheitslücken aufzuzeigen - das mache sie aber nicht automatisch zu den "Guten". "Persönliche Daten müssen persönlich bleiben", so der Experte.Analyse - Seite 3