Thema: Politik.de ignorierte alle Warnungen - Daten von über 60.000 Usern gefährdet

[ritschibie]

Screenshot: Technische Probleme bei Politik.de

Beim Portal und Forum Politik.de mit über 60.000 registrierten Teilnehmern ignoriert man nachweisbar eingegangene Sicherheitshinweise per Telefax, Facebook und E-Mail. Update: Die Betreiber der Webseite haben diese kürzlich "aus Sicherheitsgründen" komplett offline genommen. Unser erster Bericht vom Freitag Abend scheint Wirkung zu zeigen. Wenn auch nicht die, die wir uns erhofft haben.

09.12.2011 Der Eigentümer bezieht auch Gelder aus Steuermitteln. Trotzdem gingen die Betreiber so weit, den Hinweisgeber sogar im eigenen Forum zu sperren. Die Presseanfrage der gulli:news blieb unbeantwortet, die Lücken sind noch alle offen.

Von neuen politischen Nachrichten aus erster Hand erfahren und sich im angeschlossenen Forum darüber austauschen -  so oder so ähnlich funktioniert die Webseite Politik.de. Betreiber ist die Berliner Polidia GmbH, die wiederum ist ein Tochterunternehmen der Init AG. Die ebenfalls in Berlin ansässige init Aktiengesellschaft für digitale Kommunikation ist verantwortlich für ein großes Portfolio an Webseiten des Bundes und zahlreicher Bundesländer. So beispielsweise des Bundeskanzleramts, des Bundeswirtschaftsministeriums, Bundesfinanzhofs und sogar der Bundesprüfstelle für jugendgefährdende Medien. Google-Tochter DoubleClick schätzt bei www.politik.de die Menge der Besucher pro Monat auf etwa 92.000 Stück und die Zahl der Seitenaufrufe auf 260.000. Nicht wenig also. Eine Kooperation mit Welt Online sorgt im Portal und Forum für zusätzliche Zugriffe.

Die Wochenzeitung „Der Freitag“ monierte kürzlich, dass trotz der Einnahmen aus Steuergeldern und Werbung viel zu wenig Mittel für eine effektive Säuberung des Forums von verfassungsfeindlichen Aussagen investiert werden. Während sich die einen daran stören, dass über Jahre hinweg Aussagen im Forum stehen bleiben, die mit dem Grundgesetz unvereinbar sind, beschäftigt sich Heiko Frenzel von Sicherheit-Online lediglich mit technischen Fragestellungen. Frenzel war im November dieses Jahres eine überaus kritische Lücke aufgefallen, die er aus Selbstschutz nicht näher öffentlich erläutern möchte. Am 17.11.2011 wurde die Schwachstelle den Betreibern ohne jede Verzögerung per Telefax gemeldet.

politik.de hinweis der admins

Das Problem: Der Versand von E-Mails ist vor Gericht strittig. Bei heiklen Angelegenheiten ist eine Kommunikation per Fax von Vorteil, weil man anhand der Sendebestätigung beweisen kann, wann das Schreiben beim Empfänger angekommen ist. Bei E-Mails kann mitunter bei gerichtlichen Verfahren behauptet werden, die Mail sei nicht angekommen oder möglicherweise im Spam-Ordner des Empfängers verschollen. Heikel ist die Sache für Frenzel allemal. Es wäre nämlich nicht das erste Mal, dass Ermittler bei einer Befragung des Datenschützers kurzerhand aus einem Zeugen einen Verdächtigen machen. Beschreibt er die Bugs auf seiner Seite zu detailliert, könnten sich Dritte dazu animiert fühlen, die Schwachstellen zum eigenen Vorteil auszunutzen.

Als die doo!media (Sicherheit-Online.org) keine Antwort erhielt, verschickte Frenzel am 28.11 eine E-Mail mit der Bitte um „dringende Kontaktaufnahme“. Auch sein Kontaktversuch via Facebook blieb unbeantwortet. Daraufhin registrierte er sich im Forum von Politik.de, um seinen Notruf abzusetzen, der, man ahnt es schon, auch ignoriert wurde. Dann wurde sogar sein Account im Forum gesperrt. Andere User beschwerten sich darüber, er habe mit seinem Hinweis den Thread zugespammed. Die Diskussion über andere Themen führten Moderatoren und normale User dann fort, als wäre nichts gewesen. Die Sperre des lästigen Datenschützers indes hält unverändert an.

Doch dann keimt Hoffnung auf. Drei Wochen nach der ersten Nachricht wird ihm mitgeteilt, man habe die elektronische Post und das Telefax erhalten und arbeite „bereits an der Verbesserung der Seite, bzw. der Schließung der kritischen Lücken“. Fraglich ist allerdings, wie dies vonstattengehen soll, weiß der Techniker doch nicht, wo der Schuh drückt. Die Frage nach den technischen Details blieb nämlich bis heute komplett aus.

Wir wurden per Twitter auf den Fall aufmerksam und wollten gerne mehr Hintergrundinformationen in Erfahrung bringen. Gestern vormittag also erfolgte der Anruf bei der Polidia GmbH. Der für Presseanfragen zuständige Mitarbeiter sei nicht im Haus, wurde uns mitgeteilt. Seine Kollegin sagte uns, der Fehler sei dem Unternehmen bereits bekannt und würde bearbeitet. Auch sei es nett, dass man ihnen vorher die Gelegenheit zu einer Stellungnahme geben würde. Die Dame an der anderen Seite der Leitung notierte sich die Handynummer, verglich diese nochmals, und gab zu erkennen, der Pressesprecher würde sich im Verlauf des gestrigen Tages melden. Er rief nicht an, weder gestern noch heute. Und jetzt ist Wochenende. Mit einer Kontaktaufnahme darf vor Montag nicht gerechnet werden, wenn überhaupt.

Politik.de offline: Wartung oder Hack? Zufall oder gewollt

Möglicherweise wurde die Seite letzte Nacht für mehrere Stunden komplettt vom Netz genommen, um sich des Problems anzunehmen. Auch heute war sie zwischenzeitig offline.

Nun ist Politik.de wieder da. Die kritischen Bugs, entsprechende Fachkenntnisse vorausgesetzt, mit denen eine komplette Seitenübernahme und der Download beziehungsweise die Manipulation aller persönlicher Daten möglich sein dürfte, ebenfalls. Wir sind neugierig, wie die Kommunikation nun nach der Veröffentlichung des Artikels weitergehen wird.

Update vom 12.12.2011: (Ghandy)

Die Betreiber haben nun ihre Webseite "aus Sicherheitsgründen" komplett offline genommen. Der Rückruf des Pressesprechers der Polidia GmbH hat sich somit offenbar erledigt. Wir halten diesen Schritt für den richtigen, um die Sicherheit aller User und ihrer Daten zu gewährleisten. Natürlich hätten wir uns eine offenere Kommunikation gewünscht, in dessen Rahmen ein solcher Schritt auch nicht nötig gewesen wäre. Wir wissen aus eigener Erfahrung, dass jede einzelne Stunde Geld kostet, die man mit seinem Angebot nicht online sein kann.

Quelle: www.gulli.com