Erneut hat Lilith Wittmann, eine Forscherin im Bereich IT-Sicherheit, bedeutende Schwierigkeiten in der Verwaltungs-IT des Bundes aufgedeckt. Dieses Mal handelt es sich um die sogenannte BundID, die den Zugriff auf das B\u00fcrgerkonto und somit auf digitale Verwaltungsdienstleistungen erm\u00f6glicht. Allerdings fehlen derzeit oft noch Dienstleistungen, die bereits mit der BundID, die bald den Namen DeutschlandID tragen soll, kompatibel sind. Zus\u00e4tzlich treten nun auch Sicherheitsl\u00fccken in den bereits vorhandenen Funktionen auf.<\/p>\n
In der letzten Woche hat die Sicherheitsforscherin Lilith Wittmann, die sich selbst gerne als „Krawall-Influencerin“ bezeichnet, eine Schwachstelle entdeckt. Diese er\u00f6ffnet Angreifern Zugang zur BundID und somit zu den Verwaltungsportalen von zahlreichen deutschen Kommunen. Die Schwachstelle liegt in der Umsetzung der Security Assertion Markup Language (SAML), einer Alternative zu OAuth, die bei der BundID als Authentifizierungsmethode verwendet wird. Auf diese Weise kann die Website einer Kommune einen Nutzer, der im BundID-System angemeldet ist, erkennen, sodass er sich nicht f\u00fcr jede lokale Seite erneut anmelden muss.<\/p>\n
Obwohl SAML im Allgemeinen als sicher gilt, ist es laut Wittmann schwierig, es korrekt zu implementieren. Da hunderte kommunale \u00c4mter gezwungen sind, dies zu tun, um mit der BundID kompatibel zu sein, ist es wahrscheinlich, dass irgendjemand einen Fehler begeht. Dies ist genau das, was bei der Software OpenR@thaus des Dienstleisters ITEBO aus Osnabr\u00fcck geschehen ist, die offenbar in zahlreichen Kommunen verwendet wird. Gem\u00e4\u00df Wittmann plante der Hersteller, eine praktische Funktion zum SAML-Protokoll hinzuzuf\u00fcgen, die es den Nutzern erm\u00f6glicht, nach dem Login direkt auf die richtige Webseite weitergeleitet zu werden. Bedauerlicherweise unterliefen den Entwicklern dabei Fehler, die es erm\u00f6glichten, sich nach dem Login auf jede beliebige Webseite weiterleiten zu lassen.<\/p>\n
Um zu demonstrieren, wie ein Angreifer vorgehen k\u00f6nnte, erstellte Wittmann mithilfe von KI innerhalb einer Stunde eine gef\u00e4lschte Verwaltungsseite, \u00fcber die sie pers\u00f6nliche Daten von B\u00fcrgern h\u00e4tte abfangen k\u00f6nnen. Zumindest dann, wenn sie den Verlockungen dieser Seite erlegen w\u00e4ren, die mit einem Heizkostenzuschuss von mehreren tausend Euro lockte. Durch eine Schwachstelle in einer \u00f6rtlichen Umsetzung wurden s\u00e4mtliche Daten eines Nutzers, die in der BundID enthalten sind, gef\u00e4hrdet.<\/p>\n
Das zust\u00e4ndige Innenministerium reagierte jedoch prompt und deaktivierte das System mit der Schwachstelle innerhalb weniger Stunden. Wittmann hatte die L\u00fccke am Freitagabend \u00f6ffentlich auf Twitter gemeldet, und am Sonntagmorgen war das Problem schlie\u00dflich behoben. Jedoch scheint es, dass der betroffene Dienstleister es nicht geschafft hat, seine Software vollst\u00e4ndig abzusichern, da Wittmann zu Beginn dieser Woche erneut eine Sicherheitsl\u00fccke im betroffenen System entdeckte. Dieses Problem ist auf eine Sicherheitsl\u00fccke in der quelloffenen CMS-Software Liferay zur\u00fcckzuf\u00fchren, die seit \u00fcber acht Jahren besteht und offenbar bisher wenig Beachtung gefunden hat. Diese Software wird bei OpenR@thaus verwendet. Nachdem diese neue Sicherheitsl\u00fccke gemeldet wurde, sind vor\u00fcbergehend alle kommunalen Dienstleistungen, die auf OpenR@thaus basieren, offline geschaltet worden. Gem\u00e4\u00df Wittmann scheint das System noch weitere Schwachstellen aufzuweisen.<\/p>\n
Generell ist sie nicht besonders \u00fcberzeugt von der gesamten Idee der BundID\/DeutschlandID: Eine zentrale ID als Vertrauensanker der Verwaltung h\u00e4lt sie f\u00fcr keine gute Idee. Sie ist der Meinung, dass Kommunen keine Dienstleistungen mit irgendwelchen Identit\u00e4tssystemen auf ihrer Webseite ben\u00f6tigen. Um Situationen, in denen eine eindeutige staatliche Identit\u00e4t online und sofort festgestellt werden muss, zu bew\u00e4ltigen, sollte der Personalausweis einfach verwendet werden.<\/p>\n
Im Jahr 2021 erlangte Lilith Wittmann in IT-Sicherheitskreisen deutschlandweit Bekanntheit, als sie eine Sicherheitsl\u00fccke in der CDU-App aufdeckte.<\/p>\n
Schlagw\u00f6rter: Lilith Wittmann + BundID + SAML<\/p>\n","protected":false},"excerpt":{"rendered":"
Erneut hat Lilith Wittmann, eine Forscherin im Bereich IT-Sicherheit, bedeutende Schwierigkeiten in der Verwaltungs-IT des Bundes aufgedeckt. Dieses Mal handelt es sich um die sogenannte BundID, die den Zugriff auf das B\u00fcrgerkonto und somit auf digitale Verwaltungsdienstleistungen erm\u00f6glicht. Allerdings fehlen derzeit oft noch Dienstleistungen, die bereits mit der BundID, die...<\/p>\n","protected":false},"author":4,"featured_media":8779,"comment_status":"","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-8780","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/posts\/8780","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=8780"}],"version-history":[{"count":0,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/posts\/8780\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/media\/8779"}],"wp:attachment":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=8780"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=8780"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=8780"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}