[Prince]

Gerade erst hatte eine DoS-Attacke auf die Telefone zweier Dienststellen der Berliner Polizei für Schlagzeilen gesorgt. Nun kam heraus, dass ein wirklich böswilliger Angreifer wohl leichtes Spiel gehabt hätte, wäre er daran interessiert gewesen, schlimmeren Schaden anzurichten.

In der Sache, von der die Berliner Tageszeitung Tagesspiegel erfuhr, handelte es sich glücklicherweise nur um einen Test eines Sicherheits-Unternehmens, das Schwachstellen ausfindig machen sollte. Und solche fanden sich nicht in erster Linie in den IT-Systemen selbst, sondern bei deren Nutzern - also den Beamten in den verschiedenen Dienststellen der Hauptstadt.

Für den Security-Check wurde ein fingierter Phishing-Angriff auf die Polizei gefahren. Dafür schickte man eine Reihe von E-Mails an die Beamten, die im Design der Polizei gehalten waren und die üblichen kleinen Fehler enthielten. In der Nachricht wurden die Polizisten aufgefordert, ihre Passwörter in einen angeblichen "sicheren Passwortspeicher der Polizei Berlin (SPS)" einzutragen.

Phishing-Anweisungen brav befolgt
466 E-Mails wurden an die Arbeitsplätze der verschiedenen Dienststellen verschickt, hieß es. Das Tracking führte zu dem Ergebnis, dass 252 von ihnen auch tatsächlich geöffnet und der enthaltene Link angeklickt wurde. In 35 Fällen trugen Beamte auch tatsächlich ihr Passwort in das hinterlegte Formular ein - und dies, obwohl die Testseite bereits nach 40 Minuten abgeschaltet wurde. Einige Zeit später verschickten die Tester auch eine E-Mail an die vorhergehenden Empfänger, in der diese über den Hintergrund aufgeklärt wurden.

Unklar ist, welche Zugangsrechte man mit den fraglichen Passwörtern erhalten hätte. Denkbar ist hier aber ein weitgehender Zugang zu den internen Datenbanken, auf denen sensible persönliche Daten einer beträchtlichen Zahl von Bürgern enthalten sein dürfte. Das Ergebnis zeigt im Grunde, welcher Schulungsbedarf bei den Beamten besteht - allerdings sind diese ohnehin schon chronisch überlastet, so dass dafür wohl kaum Zeit sein wird.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[Zockhai]

Tja, Neuland und so.

[Thorasan]

Das hat nichts mit der Polizei zu tun, sondern ist ein generelles Problem. Läuft bei mindestens 80% aller Firmen so, das Mitarbeiter ihre Daten eintragen würden, wenn es halbwegs sinnvoll auf Sie wirkt.