Im Zusammenhang mit den Cablegate– und Collateral Murder Veröffentlichungen auf Wikileaks wird dem US-Soldaten Bradley Manning vorgeworfen, er solle diese der Organisation von Julian Assange zugespielt haben. Er soll sich jedoch nicht etwa unberechtigten Zugang zu diesen Daten verschafft haben, sondern habe auf diese während seiner regulären Tätigkeit Zugriff gehabt.

Während sich die meisten Kommentare und Berichte über Manning um die Frage drehen, ob er ein Verräter sei, dem „Feind“ geholfen habe oder ein legitimer Whistleblower sei, möchte ich auf ein gerne übersehenes Detail hinweisen: Nach allem was wir bis jetzt wissen, hatte Manning berechtigten Zugriff. Natürlich kann man darüber diskutieren, ob Manning Zugriff haben durfte und ob der Zugriff zu gross war. Der Fall ist jedoch exemplarisch dafür was in vielen Organisationen und Firmen gang und gäbe ist.

Wenn grosse Informationssysteme mit vielen Dokumenten aufgebaut werden, sei es ein einfacher Windows-Fileserver mit Netzlaufwerken oder eine Webapplikation mit Datenbank und Co., ist in der Regel auch Kostendruck im Spiel. Dementsprechend werden diese oft nicht perfekt aufgesetzt oder nicht ausreichend gewartet. Oft gibt es keine oder nicht genügend Zugriffsstufen (in der Form von Benutzerrollen oder Benutzergruppen). Dies führt zu zwei weit verbreiteten, aber unterschätzten Bedrohungen dieser Systeme:

• Aufgrund zu weniger spezialisierter Rollen/Gruppen oder zu wenig Zeit um diese ordentlich zu pflegen, haben viele Nutzer zu viele Rechte. Lieber etwas zu viele Rechte geben, statt nachher ständig nachbessern zu müssen, weil sich der Benutzer beschwert, wenn er nicht ausreichend Zugriff hat. Und fürs Prüfen, ob der Nutzer für den verlangte zusätzliche Zugriff tatsächlich berechtigt ist, fehlt Kompetenz und Zeit.
• Sofern nicht explizit anders konfiguriert, haben solche Systeme in der Regel ab Werk einen administrativen Benutzer, Rolle oder Benutzergruppe. Diese werden meist für die Konfiguration bei der Installation oder späteren Änderungen gebracht. In kleinen Gruppen, kann man diese Rolle gut nur dem Chef zuweisen, aber in grösseren Organisationen ist es leider oft unübersichtlich, wer alles administrativen Zugriff hat. Dann kommen noch Fehler dazu, wie stets das selbe Passwort für den Admin-Account zu verwenden und es nie zu ändern, auch wenn Mitarbeiter gehen.

Das Manning-Szenario ist hier noch das harmlosere: Gefährlicher sind die Mitarbeiter welche die abgegriffenen Dokumente an die Konkurrenz verraten oder verkaufen. Wenn dann nicht wenigstens Stichproben-Kontrollen über auffällige Zugriffslogs gemacht werden, erfährt man das nicht einmal und wundert sich bloss, warum der Konkurrent einem immer einen Schritt voraus ist oder das andere Land ein verblüffend ähnliches Flugzugmodell gebaut hat.

Kurz: Bei Millionen von offensichtlich unkontrollierten Zugriffen auf Informationssysteme öffnet dies der professionellen Spionage Tür und Tor. Und deshalb sollte man bei Forderungen der Politik nach zentralen Datenbanken skeptisch sein. Denn auch die bestgemeinte Datenbank wird zum grossen Risiko, wenn sie nicht ordentlich installiert und vor allem auch dauerhaft gewartet und auditiert wird.