An Alle Interessierten Stellungnahme der Fachschaft Informatik zu ...

Fachschaft Informatik, Vogt-Kölln-Str. 30, 22527 Hamburg
An
Alle Interessierten
Universität Hamburg
Fachschaft Informatik
Vogt-Kölln-Straße 30
22527 Hamburg
Germany
fsr@informatik.uni-hamburg.de
Hamburg, den 2006-10-26
Stellungnahme der Fachschaft Informatik zu STiNE-Berichten
Der FSR Informatik, seinerseits die Vertretung der Hamburger Informatikstudierenden, möchte zu
mehreren in der Vergangenheit geäußerten Behauptungen Stellung nehmen:
"STiNE ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)
Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in STiNE bekannt. Diese
wurden jedoch erst am 17.10.06 behoben; gerade noch rechtzeitig, um dem Bekanntwerden
durch die Medien zuvorzukommen. Wir glauben, dass bei einem geringeren Druck auf die
Datenlotsen die Sicherheitslücken noch später geschlossen worden wären.
Möglich waren folgende Dinge:
1. Lesen _aller_ Nachrichten, die jemals über STiNE verschickt wurden (inklusive "gelöschter"
Nachrichten)
2. Einsicht in die privaten Daten anderer Studenten.
3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme des Zugangs
möglich gewesen wäre.
4. Entwenden der gleichzeitig mit STiNE eingeführten studentischen Email-Konten
(vorname.nachname@studium.uni-hamburg.de)
Jeder Besitzer eines STiNE-Zugangs konnte diese Angriffe ausführen. Zum Teil war nur eine
simple Änderung der URL nötig.
"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar: das System STiNE ist
von Anfang an in enger Abstimmung mit dem Hamburgischen Datenschutzbeauftragten
entwickelt worden." (ebd.)
Diese "enge Abstimmung" bedeutet: Die Datenlotsen schreiben Spezifikationen, die dann von den
Datenschutzbeauftragten durchgelesen und kommentiert werden. Eine Überprüfung der Sicherheit
der Software findet nicht statt. Diese Aussage ist also im Zusammenhang mit
Implementationsfehlern völlig wertlos.
"Angriffe auf Systeme wie STiNE, die das Ziel haben, mögliche Sicherheitslücken aufzuspüren,
werden nur unter kontrollierten Bedingungen und nur in Zusammenarbeit mit dem
Hamburgischen Datenschutzbeauftragten vorgenommen." (ebd.)
Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen" aufgespürt und ausgenutzt
werden können. Gerade deshalb ist es wichtig, dass Systeme wie STiNE ausgiebigst auf Fehler
überprüft werden, insbesondere wenn die Software einer großen Anzahl von Personen zugänglich

gemacht wird. Nach unserem Kenntnisstand wurde den Datenlotsen seitens des Fachbereiches
Informatik rechtzeitig ein vorheriger Test durch erfahrene Experten angeboten. Dieses Angebot
wurde jedoch nicht angenommen.
"Die im Abendblatt geäußerte Kritik des Datenschutz-Experten Prof. Klaus Brunnstein am
Sicherheitssystem von 'Stine' hält Sachse für 'übertrieben'. Wer Schwachstellen finde, sollte sie
melden. Sachse: 'Wir arbeiten ständig an der Perfektionierung des Systems.'" (Berichterstattung
Hamburger Abendblatt, 19.10.2006)
Dies ist unserer Meinung nach zu langsam, bzw. nicht rechtzeitig geschehen. Nach
Inbetriebnahme des Systems hätten keine Sicherheitslücken mehr bestehen dürfen.
"Der Hamburger Datenschutzbeauftragte [...] sieht zwar einzelne Mängel, 'die unglücklich, aber
aus datenschutzrechtlicher Sicht nicht verheerend sind'." (Berichterstattung Hamburger
Abendblatt, 19.10.2006)
Diese Einschätzung können wir in Hinblick auf die gefundenen Sicherheitslücken nicht teilen. Die
Möglichkeit, private Nachrichten und personenbezogene Daten anderer Nutzer zu lesen, halten wir
für datenschutzrechtlich sehr verheerend. Ein schlimmeres Datenschutzproblem hätte unserer
Ansicht nach kaum bestehen können!
"Nach seiner Kenntnis sei es auch nur Informatikstudenten möglich, in sensible Datenbereiche
vorzustoßen, weil sie erweiterte Zugriffsmöglichkeiten hätten. Dennoch müssten die Mängel sofort
abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)
Zum Entdecken und Ausnutzen der Sicherheitslücken in STiNE waren weder Informatiker-
Sonderrechte noch tiefergehende Informatik-Kenntnisse notwendig. Es wäre zudem skandalös,
wenn einige Studierende mit Wissen des STiNE-Teams Zugang zu privaten Daten Anderer hätten.
Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller universitärer Einrichtungen,
Vorgängen und natürlich auch bei STiNE. Wäre die Software quelloffen, hätten Sicherheitslücken
von Beginn an und noch vor der Einführung entdeckt und behoben werden können. Viele große
und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich besonders durch die
zeitnahe Behebung von Sicherheitslücken aus. Die Bereitstellung der Quelltexte von STiNE wäre
auch für den Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten von STiNE
profitieren und wertvolle Geldmittel einsparen könnten (Zur Erinnerung: STiNE kostet einen
siebenstelligen Betrag...).
Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht sachgemäß und
umfassend durchgeführt wurden. Anders ist die katastrophale Startphase nicht zu erklären. Wer
ein derartiges System für die Universität Hamburg entwickelt, kann die Zahl der Nutzer grob
abschätzen. Dennoch haben die Datenlotsen ein Produkt abgeliefert, das offensichtlich den
abzusehenden Belastungen nicht Stand gehalten hat.
Um in Zukunft Fehler rechtzeitig erkennen und im Zweifelsfall auch nachvollziehen zu können, ist
es notwendig, dass Protokolle von Sicherheits-, Funkionalitäts- und Barrierefreiheitstests
zugänglich sind.
Bei Rückfragen stehen wir Ihnen gerne unter fsr@informatik.uni-hamburg.de zur Verfügung.
Fachschaftsrat Informatik