Hacking the Heimatschutz
Im Netz des US-Heimatschutzministeriums, wo auch die Flugpassagierdaten aus der EU landen, herrscht alles andere als Sicherheit. Einbrüche über unsichere Heimatschutz-Websites, Viren, Rootkits sowie unkontrolliertes Data-Mining durch die Behörde selbst werden am Mittwoch im US-Kongress untersucht.
Im US-Repräsentantenhaus muss sich stellvertretend für Heimatschutzminister Michael Chertoff am Mittwoch der Kommunikationschef des Ministeriums, Scott Charbo, einer Befragung stellen.
Dass diese peinlich wird, sagt schon ihr Titel: "Hacking the Homeland: Investigating Cyber-Security Vulnerabilities at the Department of Homeland Security".
"Vorfälle" beim Heimatschutz
Das US-Repräsentantenhaus hat für das Hearing gleich drei Subkomitees aufgeboten, die Aufklärung über eine beträchtliche Anzahl von "Vorfällen" im Netz des Heimatschutzministeriums verlangen. Vorfälle, als da sind: von Rootkits befallene und ferngesteuerte Rechner im Heimatschutzverbund, von Crackern übernommene Regierungswebsites und solche, über die interne Informationen Dritten zugänglich sind.
Besonders peinlich für die US-Heimatschützer ist, dass auch in die Systeme von Außen- und Handelsministerium eingedrungen worden war.
Der Rechnungshof
Dass die für Informationssicherheit und Technik zuständigen Manager des US-Rechnungshofs [GAO] zum Hearing als maßgebliche Experten geladen sind, dürfte die Beamten des Heimatschutzministeriums ebenso wenig freuen.
Seit etwa 2003 hat der US-Rechnungshof am Anfang einer Serie von Berichten schier unglaubliche Lücken im System der Heimatschützer aufgedeckt.
In einem frühen GAO-Bericht wurde zum Beispiel festgestellt, dass Tausende neu eingestellter "Baggage-Screener", die im Sicherheitsbereich das Gepäck von Flugreisenden durchleuchten, selbst vorher nicht durchleuchtet worden waren. Dazu kommt eine Serie von Berichten, wie der Grenzschutz nicht funktioniert.
Der Umgang mit den Daten von Flugpassagieren durch den US-Heimatschutz sei "völlig ineffizient", sagte der Netzwerkarchitekt und IT-Sicherheitsexperte Dave Farber zu ORF.at.
Data-Mining
Im Report vom 21. März 2007 stellte der US-Rechnungshof fest, dass ein System zur Mustersuche in den Datensätzen - ein Data-Mining-Setup namens ADVISE - eingeführt wurde, ohne dieses auch gegen Zugriffe nicht autorisierter Benutzer abzusichern.
Das verstoße ebenso gegen das E-Government-Gesetz, wie die unklare Weitergabepolitik im Umgang mit den Flugpassagierdaten im "Secure Flight"-Programm der Heimatschützer dem amerikanischen "Privacy Act" von 1974 widerspreche.
Dieses "Passierdurchleuchtungssystem", das laut US-Rechnungsprüfern also den US-Datenschutzgesetzen nicht genügt, prozessiert auch die Daten europäischer Flugpassagiere.
Passagierdaten
Die EU-Kommission zeigte sich in Gestalt von Kommissar Franco Frattini jüngst wieder einmal zuversichtlich, dass die Daten europäischer Flugpassagiere bis Juli nach europäischen Datenschutzmaßstäben behandelt werden.
Das, während sozusagen amtlich ist, dass bei jener US-Behörde, bei der die europäischen Passagierdaten landen, unkontrolliertes Data-Mining praktiziert und das Netzwerk nicht adäquat gesichert wird.
Sicherheitsrisiko
Den drei Komitees des Repräsentantenhauses vorgelegt werden muss auch eine vollständige Netzwerktopologie samt einer Liste von Budgetkürzungen für Heimatschutzabteilungen, die ihre Sicherheitshausaufgaben nicht in den Griff kriegen.
Eines der drei Komitees des Repräsentantenhauses befasst sich mit "Emerging Threats", also mit der Risikoabschätzung zu neu entstandenen Gefahren. Das kann bedeuten, dass der US-Heimatschutzapparat per se inzwischen als Sicherheitsrisiko angesehen wird.
(futurezone | Erich Moechel)