250.000 polnische Seiten mit Lücken, darunter zwei Drittel der Gerichte: Der Hersteller repariert die Software nicht, weil sie „veraltet” sei

Zwei polnische Sicherheitsforscher beschlossen zu prüfen, wie verwundbar das Internet ihres Landes ist. Nicht im Auftrag eines Ministeriums, nicht für Geld - sondern, wie sie selbst sagten, aus dem Gefühl heraus, dass das Land, in dem sie leben, sicherer sein sollte. Das Ergebnis, das sie auf der Def-Con-Konferenz in Las Vegas vorstellten, ist vernichtend: über 10.000 öffentliche Einrichtungen und rund 250.000 Seiten mit Sicherheitslücken.

Darunter sind Flughäfen, Krankenhäuser und Behörden. Es geht nicht um theoretische Schwächen auf irgendeinem vergessenen Server, sondern um Systeme, durch die der Alltag der Menschen läuft.

Robert Kruczek und Kamil Szczurowski fanden kritische Lücken im Content-Management-System Pad CMS, das in der polnischen Verwaltung breit eingesetzt wird. Über dieses gelangten sie auf über 300 öffentliche Seiten, ohne ein Passwort zu brauchen. Der Hersteller hat die Software nicht repariert - der Grund: Sie gilt bereits als veraltet und wird nicht mehr gepflegt.

Das ist der Satz, der am meisten schmerzt. Die Software ist nicht verwundbar, weil irgendein Angreifer genial war, sondern weil die Firma, die sie verkauft hat, entschied, es sei nicht mehr ihre Pflicht - und die Einrichtungen, die sie gekauft haben, nutzten sie weiter, als wäre nichts geschehen.

Die zweite Lücke verschaffte ihnen Zugang zu den Seiten von rund zwei Dritteln der polnischen Justiz - etwa 245 Gerichten. Die beiden meldeten ihre Funde über offizielle Kanäle an den Staat.

Was sie danach beschreiben, ist der Teil, den jeder, der mit Institutionen auf dem Balkan gearbeitet hat, sofort wiedererkennt. Einige Fehler waren extrem einfach auszunutzen, wurden aber nicht ernst genommen - mehrere Softwarehersteller behandelten die Meldungen als Belästigung. Nicht als zu lösendes Problem, sondern als etwas, das ihnen den Tag verdirbt.

Das zusätzliche Problem, auf das sie hinweisen, ist systemisch: In Polen gibt es weder etablierte Programme zur Belohnung von Menschen, die Lücken melden, noch einen klaren Weg, überhaupt einen Fehler zu melden. Zwei Menschen, die helfen wollen, müssen also selbst herausfinden, an wen sie sich wenden.

All das geschieht, während Polen seine Cyberabwehr zu stärken versucht, nach einer Welle mutmaßlich russischer Angriffe auf seine Energie- und Wasserversorger. Ein Teil dieser Angriffe lief genau über schwachen Schutz. Das ist der Kontext - ein Staat, der weiß, dass er Ziel ist, und dennoch eine Viertelmillion Seiten mit Löchern hat.

Am Ende ihres Vortrags sagten Kruczek und Szczurowski, die mühsame Arbeit habe sich gelohnt, denn dank ihr seien wir alle „ein wenig sicherer”. Der Ton ist bescheiden. Es gibt auch eine andere Lesart: Es brauchte die Mühe zweier Enthusiasten, um herauszufinden, was die Institutionen jederzeit selbst hätten prüfen können, mit Geld aus dem Haushalt.