21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

2.6 Prüfung des FHH-Netzes
Eine Überprüfung der Sicherheit des FHH-Netzes hat gravierende Mängel administrativer
und konzeptioneller Art aufgezeigt. Erste Maßnahmen wurden durch
Dataport getroffen, strukturelle Konsequenzen müssen folgen.
Die Datenverarbeitungs-Infrastruktur der Freien und Hansestadt Hamburg war
bereits häufig Gegenstand unserer Tätigkeitsberichte (zuletzt 20. TB, 1.6 und
19. TB, 3.4 und 3.6). Unsere dabei vorgebrachte Kritik an dem Umgang mit IT-
Sicherheit und die damit verbundenen Verbesserungsvorschläge stießen
dabei regelmäßig auf eine Abwehrhaltung seitens der Finanzbehörde. Diese
Position wurde unter anderem mit dem Hinweis untermauert, dass es in der
Vergangenheit keine Sicherheitsvorfälle gegeben habe und daher die bereits
getroffenen Maßnahmen offenbar ausreichend seien.
Vor dem Hintergrund dieser Auseinandersetzungen haben wir eine systematische
Untersuchung der tatsächlich im FHH-Netz getroffenen Sicherheitsmaßnahmen
durchgeführt. Die Prüfung sollte Antworten auf zwei Fragenbereiche
geben:
Wie gut sind die Daten und Infrastrukturen der verschiedenen Behörden
voneinander abgeschottet bzw. wie wirksam sind die getroffenen Maßnahmen?
Werden unregelmäßige bzw. unzuständige Zugriffe und Sicherheitsverletzungen
überhaupt bemerkt?
Um den Feststellungen eine möglichst umfassende Aussagekraft zu verleihen,
wurde die Prüfung von einem Standard-ESARI-Gerät aus durchgeführt, das
wie alle anderen PCs in das lokale Netz beim Hamburgischen Datenschutzbeauftragten
eingebunden war. Das verwendete Benutzerkonto war mit keinen
besonderen Privilegien ausgestattet.
Dennoch gelang es unter Verwendung von frei verfügbaren Software-Werkzeugen,
von dort aus eine Vielzahl von Ressourcen in anderen Teilen des FHH-
Netzes zu identifizieren und auf dort gespeicherte Inhalte zuzugreifen. Dazu
gehörten auch erhebliche Mengen sensibler personenbezogener Daten. Wir
haben aus datenschutzrechtlicher Sicht folgende Maßnahmen gefordert, um
die Mängel zu beheben und die damit verbundenen Risiken für die verarbeiteten
personenbezogenen Daten zu reduzieren:
Dateien bzw. Freigaben müssen von ihren Zugriffsrechten her auf die erforderlichen
Nutzer bzw. Gruppen beschränkt werden.
Informationen, die nicht für die Allgemeinheit zugänglich sein sollen, müssen
gegen unberechtigte Kenntnisnahme geschützt sein.
Passwörter dürfen nicht im Klartext auf Datenträgern gespeichert werden.
Standard-Passwörter und -kennungen müssen nach Installation eines Systems
auf individuelle Werte verändert werden.
28
21. Tätigkeitsbericht 2006/2007 HmbDSB