Tim: Hallo auch von meiner Seite, ich bin Tim von Mint Secure
und wir sprechen, wie wir gerade eben gehört haben, über
Domains, insbesondere eben Domains von Behörden heute.
Bevor wir da einsteigen, wollen wir uns aber erstmal so anschauen,
was Behörden, in diesem Fall jetzt das BAMF, also das Bundesamt
für Migration und Flüchtlinge, für Systeme hat, beziehungsweise
wie divers allgemein so eine IT von einer Behörde sein kann.
Man hat dort verschiedene Systeme, die miteinander verbunden sind.
Im Zweifel möchte man zentrale Stellen haben, um Identitäten zu verwalten.
Das Bundesamt für Migration und Flüchtlinge hat sogenannte
IT -Fachverfahren, auch andere Behörden haben das.
Beispielsweise gibt es dort Fachverfahren für Sprachförderung, es gibt
Fachverfahren für die Erfassung von Daten von geflüchteten Personen und sonstiges.
Sprich, ja, einiges an spannenden Applikationen,
die sich in einer solchen Behörde eben befinden.
Auch, wie gesagt, in anderen Behörden gibt es verschiedene Applikationen.
Hier gibt es zum Beispiel eine Erstregistrierungsschnittstelle.
Es gibt das sogenannte FREE -Verfahren.
FREE steht für Fachanwendung zur Registerführung,
Erfassung und Erstverteilung zum vorübergehenden Schutz.
Etwas interessante Abkürzung, wenn ihr mich fragt.
Wenn man sich dann mal anschaut, was dort für Daten erfasst werden, in
dem Fall von geflüchteten Personen, dann kann das sehr tiefgreifend sein.
Sprich: Vorname, Nachname, Geschlecht, Ausweisdokumente, Status, Familienmitglieder
werden möglicherweise erfasst oder auch Informationen zum Gesundheitszustand.
Hier mal aus dem entsprechenden Anwendungshinweis zu diesem FREE -Fachverfahren entnommen.
Und wenn man sich dann mal so ein bisschen damit beschäftigt,
dann kann man sich eine Mütze aufsetzen und merken, zentrale
Identitätssysteme, das klingt auf jeden Fall immer sehr spannend.
Wenn man dann mal etwas mehr durch die Gegend sucht, stößt man beispielsweise auf
entsprechende Nutzungshinweise, die tatsächlich auch weiterhin so online sind.
Und einer der trivialsten Dinge, um sich mit Systemen zu beschäftigen,
ist es natürlich, die Dokumentation sich mal tiefergehend anzuschauen,
wo man dann auf einer Seite unter anderem auf URLs stößt.
Es gibt eine Testumgebung und entsprechende Produktivumgebung.
In der Testumgebung, da täuscht der Name ein bisschen, es ist nicht
eine reine Testumgebung, sondern das hat eher den Charakter einer
Integrationsumgebung, also sprich externe Stellen beispielsweise.
Wir haben gerade eben gesehen, es gibt Fachverfahren für Sprachschulen.
Die sind dort beispielsweise auch in der Testumgebung, müssen
dort nachweisen, dass sie sinnvoll Daten eingeben können und
bekommen dann auch einen Zugang auf die Produktivumgebung.
Das heißt, da werden trotzdem auch schon Daten erfasst und verarbeitet.
Ich habe mich dann relativ intensiv mal mit dieser Anleitung
beschäftigt und auf Seite 10 dachte ich mir so, okay, es
gibt da einen User, der heißt max .mustermann@testtraeger .de.
Das sieht interessant aus auf jeden Fall.
Und dann habe ich mal geguckt, ob es die Domain testträger
.de denn wohl geben könnte und habe 5 ,97 Euro investiert und
ein paar Minuten später hatte ich die Domain testtraeger .de.
Wenn man so eine Domain hat, kann man sogenannte Catch -All -Postfächer erstellen.
Das heißt, man bekommt sämtliche E -Mails irgendwie in ein entsprechendes
Postfach, egal ob da bla bla bla bla @ testtraeger .de oder sonstiges steht.
Und genau diese Konfiguration habe ich dann quasi auch vorgenommen. Ich
bin auf die entsprechende Seite gegangen, habe die Passwort
vergessen Funktion benutzt und einen entsprechenden Link erhalten.
Und dann habe ich auf diesen Link mal draufgeklickt, habe mir ein neues Passwort
gegeben für meinen Max- Mustermann- Account und anschließend bin ich drin gewesen.
Und ich hatte auch, ihr seht oben rechts, da steht so
eine Org -ID, da hatte ich administrativen Zugriff drauf.
Und ihr seht oben auch den obersten User, der heißt admin-1 .bamftest
.de, was übrigens auch eine spannende Domain ist, falls die...
Bisschen schockiert hat mich, dass es da gar keinen Multifaktor gab.
Also nach dem Passwort -Reset konnte ich einfach mit Usern und Passwort rein.
Da habe ich später in Gesprächen auch erfahren,
ja, das steht schon länger auf unserer Liste.
Ich glaube, es steht noch immer ein bisschen länger auf der Liste.
Und was man auch sehen kann, ist, es gibt da verschiedene User.
Teilweise gibt es User, die sind genau gleich lang, jetzt hier unkenntlich
gemacht, aber das sind teilweise private Namen und dienstliche Namen,
was auch jetzt nicht so die allerbeste Idee bei behördlichen Systemen
ist, dass man da mit seiner T -Online -Adresse drin arbeitet, vermute ich.
Wenn man dann mal sich durch diese Daten scrollt, ihr seht rechts gibt
es so einen Scroll -Button, dann kann man da ziemlich weit scrollen, also
da sind durchaus so ein paar hundert Benutzer von betroffen gewesen.
Hier jetzt beispielsweise mal gezeigt, von der Stadt Duisburg gab es
einen entsprechenden Account, sonst auch sehr viele interne Accounts.
Diese Accounts konnte man bearbeiten, das heißt, man hätte da den Namen ändern
können, man hätte den Benutzer deaktivieren können, man hätte Berechtigung
ändern können, Passwörter zurücksetzen, Kontoübernahmen vornehmen können.
Das habe ich alles mal lieber nicht gemacht.
Aber ich habe mir gedacht, okay, was macht man denn jetzt damit?
Und natürlich habe ich mich dann dafür entschieden,
das mal verantwortungsvoll zu melden beim BAMF.
Ich habe da auch entsprechend das BSI mit in Kenntnis gesetzt, sprich
innerhalb von 24 Stunden, nachdem ich diese Domain registriert hatte
und die Passwort -Reset -Funktion benutzt hat, waren die informiert.
Und am nächsten Tag um 9 Uhr sind sie dann zur Tat geschritten oder
haben nach und nach erkannt, was da los ist und haben deshalb erstmal
ein paar Accounts deaktiviert, weil ich ja ein Catch -All -Postfach hatte.
Weil ich ja ein Catch -All -Postfach hatte, wusste ich, wie die anderen Accounts alle heißen.
Zum Beispiel Anna Mustermann, Bernd Beispiel, Carla Columna und
Maria Muster, die mir bis zu dem Zeitpunkt noch nicht bekannt waren.
Ich habe allerdings immer noch keine Antwort erhalten, sondern erstmal nur diese E -Mails.
Habe aber gedacht, okay, die haben das schon verstanden.
Und dann habe ich erstmal ein bisschen gewartet und habe irgendwann
dann nochmal ein paar mehr E -Mails in mein Catch -all -Postfach
erhalten zu anderen Programmen, Tools oder wie auch immer.
Das heißt, diese Domain war sogar noch an anderen Stellen irgendwie hinterlegt.
Und da waren auch teilweise irgendwelche PDF -Anhänge drin, die ich jetzt
hier aber nicht ausführlicher zeige, aber die durchaus interessant waren.
Auch teilweise Infos, die wahrscheinlich nicht jeder unbedingt bekommen sollte.
Und dann habe ich irgendwann eine freundliche Antwort bekommen, dass man
den Hinweis erhalten hat, dass man sich bedanken möchte und dass sie das
zum Anlass nehmen, um Risiken und Schwachstellen zu prüfen und zu beheben.
Und dass sie bitten, bei einer Veröffentlichung auf personenbezogene Daten zu
verzichten und auch die Erwähnung des BAMFs bitte auch nicht stattfinden sollte.
Genau. Da habe ich mich natürlich erstmal gefreut.
Also die haben zwar meinen Namen falsch geschrieben, aber damit kann ich leben.
Das ist jetzt nicht so das Problem. Die haben das Problem erkannt und behoben.
Habe ich ja auch direkt gesehen, weil sie die Accounts deaktiviert haben.
Für mich ist auch vollkommen nachvollziehbar, dass keine persönlichen Daten oder
personenbezogene Informationen in irgendeiner Art und Weise veröffentlicht werden.
Allerdings muss ich sagen, ich halte es schon für relevant und wichtig, darüber
zu sprechen und zu erzählen, wenn eine Behörde eine solche Sicherheitslücke hat.
Deswegen gab es in der Folge auch entsprechende Medienberichte und Presseartikel,
weil ich es für wichtig halte, dass es da eben eine gesamtgesellschaftliche
Debatte darüber gibt, wie sicher oder unsicher solche Systeme sind.
Genau, hier seht ihr also Netzpolitik .org und Heise haben darüber berichtet.
Wichtig zu erwähnen ist übrigens, ich war ja nur in diesem
entsprechenden System für die Benutzerverwaltung drin.
Rein theoretisch hätte man mit den Accounts, die man da gehabt hätte,
wahrscheinlich auch noch auf andere IT -Fachverfahren, die wir am Anfang gesehen
haben, zugreifen können, weil diese Accounts darüber quasi nur berechtigt werden.
Das ist so eine Art, ich sage mal, Active Directory für das BAMF, so im Kern.
Wenn man sich dann mal die Timeline anschaut, dann seht ihr
auch, warum ich gerade eben dieses Wartebild drin hatte, weil
ich habe es am 27. Januar erkannt, am 28. Januar gemeldet.
Dann haben die ja die Accounts deaktiviert.
Dann haben sie mir das oder ich habe denen das dann mal bestätigt.
Ey, ihr habt übrigens erfolgreich die Accounts deaktiviert.
Das fand ich einfach wichtig.
Dann habe ich sogar einen Anruf bekommen, wo die auch gesagt haben, ja, schon
mal vielen Dank, wir melden uns auf jeden Fall noch mal irgendwie schriftlich.
Und das hat dann aber noch mal irgendwie eine Woche oder so gedauert,
bis ich dann diese gerade eben gezeigte E -Mail erhalten habe, was auch
die einzige Mail, die ich jemals bekommen habe, in dem Zusammenhang war.
Und am Ende gab es einen Blogpost und eben die gerade eben genannte Berichterstattung.
Da kann man sich mal Gedanken machen, okay, ist das eigentlich
ein kleines Problem oder eher so ein großes Problem.
Und tatsächlich glaube ich, dass das ein größeres Problem sein könnte.
Hier seht ihr mal vom Marktstamm -Datenregister.
Das ist, glaube ich, von der Bundesnetzagentur eine Applikation.
Da seht ihr zum Beispiel den User maxi@ mustermann .de.
Insgesamt, wenn man sich auch mal so umschaut, zum Beispiel
auf GitHub oder ähnlichen Plattformen, auch da sieht man
eine ganze Menge Test -User, Test -Domains und so weiter.
Ich glaube auch, so ein Domain wie test .de, die gehört, glaube ich,
der Stift Warentest, aber wenn man die mehr hätte, ich will gar nicht
wissen, was man da so alles an Mails und Infos zugestellt bekommen würde.
Obwohl das eigentlich klar geregelt ist, in einem RFC, also Request for
Comment, dem 2606er, wo Test -Domains definiert sind, dass man zum Beispiel
mit .test, .example, .invalid, .localhost Dinge verarbeiten sollte.
Sprich, wenn ihr mal irgendwie vor der Herausforderung
steht, okay, was nehmen wir denn für Test -Domains?
Bitte nicht irgendwie Unternehmen, Test oder irgendwas anderes nehmen, sondern
macht euch da wirklich Gedanken drüber, weil ihr wisst nie, über welche Wege
im Zweifel wie den komischen Screenshot, wie wir jetzt gerade eben gesehen
haben, kann es zum Beispiel immer passieren, dass da so etwas sichtbar wird.
Wir nehmen also mit, keine zufälligen Beispiel -Domains verwenden, keine Testdaten
in Produktivsysteme übernehmen, das ist, glaube ich, auch so ein Learning.
Sorgfältig dokumentieren, dass man auch wirklich weiß,
okay, welche Domains haben wir denn wo, wie verwendet.
Vielleicht auch für diese Testzwecke.
Sichere Testdaten verwenden, dass man da eben darauf
achtet und auch diese Konten und Berechnungen prüft.
Da ist es auch sehr spannend bei dieser Benutzerverwaltung, die wir gerade eben
gesehen haben, da ist es tatsächlich so, dass es diese Org -Admins gibt und ich war
quasi in einer Org, die sehr weit oben strukturiert war und wenn man andere Org
-Admins dann übernimmt, dann könnte man mit denen auch wieder Sachen administrieren.
Und da habe ich in Gesprächen später auch erfahren, okay, wer
ist eigentlich verantwortlich für die ganzen User -Accounts?
Das sind die jeweiligen Org -Admins, die in irgendwelchen sonstigen Organisationen
sitzen und wenn die mal gehen, da muss man irgendwie einen Org -Admin beantragen.
Also auch da könnt ihr euch schon mal ausmalen,
wie das Benutzermanagement da vielleicht aussieht.
Genau, dann noch ein kleiner Fun -Fact.
Es gibt tatsächlich jemanden in Deutschland, der irgendwie Max Mustermann heißt.
Ich weiß nicht, ob das so eine schlaue Idee ist und
wie viele Accounts er irgendwo hat oder nicht hat.
Fand ich auf jeden Fall aber interessant zu wissen.
Dann ist es so, dass Behörden natürlich manchmal ihre Namen wechseln.
Auch das Bundesamt für Migration und Flüchtlinge hatte mal einen anderen Namen.
Es hieß Bundesamt für Anerkennung ausländischer Flüchtlinge.
Und es hatte dann die Abkürzung BAFL, also B -A -F -L.
Und das wurde umbenannt im Jahr 2005. Da habe ich mir gedacht, alte
Domains, alte Namen von Behörden, das ist ein sehr interessantes Thema.
Und habe dann mal auf Archive .org, also Internet -Wayback -Maschinen geschaut.
Okay, wie sah denn früher beispielsweise mal die Webseite aus?
Die findet man tatsächlich auch noch aus dem Jahr 2001 hier einmal gezeigt.
Später wurde die ein bisschen angepasst überarbeitet.
Im Jahr 2005, da wurde schon darauf verwiesen, ey, wir sind hier eigentlich gar nicht mehr.
Es gibt eigentlich eine neue Domain übrigens.
Und im Jahr 2000, ich glaube es müsste 13 oder sowas sein.
Wurde dann nur noch sowas verwendet und ein automatischer Redirect hat quasi stattgefunden.
Fand ich interessant.
Hab dann mal festgestellt, okay, irgendwie gab es oder gibt es zwischendurch ein neues BAFL.
Also irgendjemand hat sich diese Domain geholt, geschnappt
und da auch geschrieben, hey, was ist Migration?
Was sind Geflüchtete und ähnliche.
Wenn man sich das allerdings durchliest, dann macht das nicht ganz
so viel Sinn, weil viele dieser Texte sehr KI -generiert aussehen.
Auch wenn ihr mal das Team euch anschaut, da gibt es Brigitte
Zimmermann, akademischer Jugendlehrer, Mike Frankfurter, Praktikantin
für digitales Eigenkapital und Michelle Schäfer, Geldbeschaffer.
Darüber hinaus gab es kein Impressum auf der Seite.
Auch das macht einen ein bisschen komischen Eindruck.
Ich glaube, dass Leute die Domain übernommen haben, um zum
Beispiel SEO optimierter vorzugehen, weil tatsächlich teilweise
auf bundestag .de und auf anderen Anfragen auch teilweise von
Landesparlamenten noch verlinkt worden ist auf entsprechende Ressourcen.
Und wie sich später herausgestellt hat in der Recherche von netspolitik
.org, gibt es tatsächlich Leute, die systematisch alte Behördendomains
anscheinend aufkaufen, da Inhalte drauf hosten und später dann das
Ganze verwenden, um beispielsweise Traffic darauf zu generieren.
In dem Fall sogar Casino -Werbung darauf irgendwie zu schalten.
Sprich, was die erstmal versuchen ist, so auszusehen wie die Webseite
vorher oder zumindest ähnliche Themen zu bearbeiten, um dann nach und nach
dort ihre Inhalte zu verlinken und diesen Trust -Faktor eben mitzunehmen.
An der Stelle übrigens ein kleiner Hinweis.
Ich glaube netspolitik .org hat heute 87 % oder so erst von
dem, was sie brauchen, um jährlich ihr Budget zu finanzieren.
Die machen eine super Arbeit.
Extrem schnelle und gute Recherche zu netzpolitischen Themen.
Vielleicht mal einen kleinen Applaus für netspolitik .org an der Stelle.
Und wenn ihr noch ein paar Euro übrig habt von Weihnachten,
wisst ihr, wo ihr die vielleicht hin tun könnt.
Wie ging es denn eigentlich weiter mit der Bafel .de Domain?
Wenn Domains auslaufen, dann haben sie in Deutschland durch die
DEDIC eine sogenannte Redemption Grace Period, also die RGP.
Das heißt, es gibt eine Auslaufzeit.
Innerhalb von 30 Tagen hat die Inhaberin oder der ehemalige
Inhaber die Möglichkeit, diese Domain wieder zu erhalten.
Wenn es nicht genutzt wird, dann verfällt diese
Domain und kann erneut durch Personen erworben werden.
Ich habe versucht, nach 30 Tagen diese Domain zu erwerben.
Allerdings ist irgendjemand vor mir schneller gewesen und hat dann diese Domain gehabt.
Allerdings wurde die Domain dann dort verkauft und ich
habe mir gedacht, ey, diese Domain ist extrem spannend.
Die will ich gerne haben.
Deswegen bin ich auf eine interessante, ich sage jetzt aber keine anderen Begriffe,
interessante Plattform gegangen und habe für 70 Euro diese Domain ersteigert.
Sprich, Bafel .de hat da mit mir gehört und damit hat eine ganze
Reise begonnen, von der ich da noch nicht so viel wusste, aber
die sich als sehr interessant nach und nach herausgestellt hat.
Dann vielleicht mal so kleines Einmaleins zu DNS, also dem Domain M -System.
Wenn mir jetzt Bafel .de gehört, dann bin ich in der
Lage, dort entsprechende DNS -Breakouts zu setzen.
Ich bin in der Lage, DNS -Anfragen über einen entsprechenden
Name -Server zu beantworten und andere können Anfragen an
meine Name -Server stellen, damit das beantwortet wird.
Das Ganze ist auch eine RFC 1034, in dem sowas eben definiert ist.
Darüber hinaus gibt es bestimmte Bereiche des Bundes, die diese DNS -Server aufweisen.
Sprich, wenn es Anfragen gibt, dann kommen die meist aus dem Slash24
-Netzwerk, der 77 .87 .224 .0/ 24. Da stehen meistens Behördensysteme, die
irgendwie zum Beispiel diese Resolver ausweisen, um Dinge aufzuklären, also
die Auflösung von einem Domain -Namen auf einer IP -Adresse zu ermöglichen.
Wenn man dann so Logging einschaltet, in dem Fall jetzt auf Bafel .de, dann erhält man sowas.
Da steht jetzt erstmal eine ganze Menge kurz erklärt.
Vorne steht das Datum und die Uhrzeit.
Dann wird erläutert, es gibt irgendwie eine Anfrage von dieser und jener IP
-Adresse auf diese und jene Domain, die soll quasi aufgelöst oder übersetzt werden.
Und ich habe in diese Logs geguckt und konnte es eigentlich auch am Anfang gar nicht
so glauben, weil ich da jeden Tag sehr viele Logs oder Anfragen besser gesagt, DNS
-Anfragen von den Resolvern, die wir gerade eben auf der Vorseite gesehen haben,
also aus Netzen vom Bund gesehen haben, in dem Fall vom Bundesinnenministerium.
Und wenn man dann mal näher sich anguckt, was die eigentlich
so anfragen, da sieht man zum Beispiel da sowas wie ADSP.
Da steht für Author Domain Signing Practices.
Das ist ein Standard, der eigentlich seit 2013 schon End of Life ist.
Trotzdem haben da irgendwelche Systeme bei mir nachgefragt, hey,
gib uns mal bitte ein Domain Key zu diesem und jenen Host -Namen.
Mittlerweile kennen vielleicht einige eher das Thema DMARC, also
sprich, dass man Domain -Based Message Authentication vornimmt,
um zu erklären, sind E -Mails korrekt signiert oder nicht.
Dann gab es zwischendurch in den Log -Dateien noch andere Fragen.
So was wie Localhost hat mich erreicht, wurde in
irgendwelchen internen Systemen nachgefragt oder aufgelöst.
Okay, was ist denn hier Localhost?
Sollte mich wahrscheinlich nicht erreichen, weil
Localhost ist, wie der Name sagt, eben ein lokales System.
Da sieht man, dass es offensichtlich ja, Probleme mit der DNS -Konfiguration dort
gab, wo wir gleich auch nochmal ein bisschen stärker drauf zu sprechen kommen.
Dann habe ich zwischendurch Request gesehen, auch wieder aus diesem Netzbereich zu
JFrog IDEA, was ein entsprechendes Tool ist, um Security -Vulnerabilities zu fixen,
wobei hier die Security -Vulnerabilities offensichtlich woanders sind oder waren.
Trotzdem interessant, dass sowas in meinen Logs da aufgetaucht ist.
Dann habe ich irgendwann sowas gesehen, SRV nur SWT V12 oder sowas,
habe mich dann gefragt, okay, was könnte das denn irgendwie sein?
Und was man wissen muss, ist, dass das BAMF den Hauptsitz in Nürnberg hat und
dann macht das SRV auf einmal Sinn für Server, das NUR für Nürnberg, also den
Standort und SWVT habe ich persönlich mal als Softwareverteilung umgedeutet.
Das heißt, ich habe da Anfragen regelmäßig bekommen zur
Softwareverteilung, was natürlich auch suboptimal sein könnte.
Sprich, wenn ein System sagt, ey, wo finde ich denn meine neueste
Software und ich als außenstehender DNS -Server kann das dann beantworten.
Das wäre etwas problematisch, sag ich mal, in dem Zusammenhang.
Dann habe ich irgendwann gedacht, okay, ich habe
jetzt dieses Namenskürzel mühsam reverse -engineert.
Was könnte denn das andere, was wir gerade eben gesehen haben, bedeuten?
Man muss wissen, dass insbesondere im behördlichen
Umfeld sehr stark Genua -Gateways genutzt werden.
Das ist ein Hersteller, ein Tochterunternehmen der
Bundesdruckerei, soweit ich weiß, die einen Sitz in der Nähe
von München haben und die stellen Firewalls und Gateways her.
Das heißt, diese anderen Systeme, von denen ich mutmaßlich Requests bekommen
habe, sind eben diese entsprechenden Firewall - oder Gateway -Systeme.
Das nehme ich zumindest sehr stark an in dem Zusammenhang.
Dann gab es auch noch ein entsprechendes Fachverfahren
oder mehrere entsprechende Fachverfahren.
Es gab auch noch einige mehr Requests, die ich jetzt hier nicht aufgenommen habe.
Das ist einfach nur mal ein Beispiel, um zu sehen, okay, was kriegt man denn da alles so?
Und eines war die ERiS, das Erstregistrierungssystem oder die Erstregistrierungsschnittstelle,
was eben auch zeigt, okay, hätte ich da irgendwie andere Antworten gegeben und
gesagt, hier steht der Server, bitte an die und die IP -Adresse schicken.
Könnte es sein, dass da irgendwie sensible Daten rauspurzeln.
Da ist natürlich mal wieder die Frage, okay, was macht man denn jetzt,
wenn man irgendwie so komische DNS -Anfragen aus den Bundesnetzen erhält?
Und auch da ist die Antwort natürlich das verantwortungsvolle Melden.
Sprich, auch da habe ich wieder ans BAMF und das BSI etwas
geweldet und diesmal habe ich sogar noch etwas länger gewartet.
Da kommen wir gleich mal so ein bisschen drauf.
Wobei ich ja aus dem ersten Case schon wusste, okay, wo könnte ich
irgendwie hinschreiben und ich glaube, die haben es auch gelesen.
Ich habe sogar eine Antwort vom BSI innerhalb von einem Tag bekommen.
Die haben gesagt, ja, wir haben es an die verantwortliche Stelle weitergeleitet.
Wollten mir aber nicht verraten, was die verantwortliche Stelle ist.
Ja, da habe ich mir selber gedacht, was die verantwortliche Stelle wohl ist.
Dann seht ihr, ich habe sogar bis zum 23. Dezember
kurz vor Weihnachten noch Anfragen er halten.
Die letzte um 13 .11 Uhr und dann ist etwas passiert.
Man sieht übrigens hier auch rechts, dass auch teilweise MX -Rekords angefragt werden.
Also sprich, die haben auch versucht, irgendwie Mails zuzustellen, zu versenden.
Da bin ich jetzt hier nicht besonders intensiv drauf eingegangen.
Aber sowas war da auch durchaus mit verbunden.
Auch da sieht man dann Subdomains, zum Beispiel Asylis,
dass das auch im weitesten Sinne im Kontext mit Daten von
Geflüchteten oder zumindest mit Daten von dem BAMF zu tun hat.
Dann habe ich mich sehr gefreut.
Ich konnte nämlich zu Weihnachten eine neue Mütze aufsetzen, weil es
mir gelungen ist, mit dem BAMF gemeinsam nach, ja im September habe
ich glaube ich die Domain irgendwann gehabt, nach drei Monaten oder
so, haben wir es hin bekommen, den Transfer der Domains vorzunehmen.
Also da vielleicht einen kleinen Applaus für die Kollegen
im BAMF, die die Domain dann zurückgehalten haben.
Da hatte ich tatsächlich ein sehr angenehmes Gespräch, bei dem ich dann
den Auth -Code, also das ist der Code, mit dem man Transfer von so einer
Domain vornehmen kann, dass das BAMF jetzt ihre Domain irgendwie zurück hat.
Genau, haben wir uns darüber ausgetauscht, okay, wie bin ich da irgendwie auf
Ideen gekommen und ja, wieso das vielleicht alles nicht so ganz gut gelaufen ist.
War aber wirklich ein guter Austausch und jetzt hat
das entsprechende BAMF die entsprechende Domain wieder.
Auch die Testträger -Domain von dem ersten Fall, die wir gesehen
haben, auch die habe ich in dem Zuge einfach mal mit übertragen.
Das hatte ich auch vorher schon angeboten und dann haben
sie da eben Gebrauch von gemacht in dem Zusammenhang.
Wobei das Kuriose ist und das ist mir später ein bisschen klar geworden,
weshalb sie natürlich die Domain wieder haben wollten, ist, dass das
anscheinend in sehr vielen Stellen, ich sag mal, " vergraben" war.
Also wir haben gesehen Firewall -Systeme, Applikationssysteme, irgendwelche
DNS -Misskonfigurationen, die da vorgenommen sind und man muss dazu wissen,
dass BAMF betreut meiner Kenntnis nach nicht alle Systeme irgendwie
selber in -house, sondern die sind auch sehr stark vom ITZ -Bund abhängig.
Sprich, da gibt es auch verschiedene Behörden, die verschiedene Dinge tun.
Das BSI hat anscheinend den Hinweis ans BAMF weitergegeben.
Das BAMF hat anscheinend beim ITZ -Bund Tickets
aufgemacht, um diese Konfiguration da rauszunehmen.
Allerdings war das anscheinend an so vielen Stellen vergraben,
diese Domain, dass sie am Ende mich gebeten haben, denen die Domain
zurückzugeben, was ich natürlich gemacht habe in dem Zusammenhang.
Wenn man sich da mal die Timeline anschaut, dann ist das schon interessant
oder aus meiner Sicht ein bisschen krass. weil von dem Jahr 2000 ungefähr
bis zum Jahr 2013 diese Domain eben durch das BAMF in Benutzung war.
Ihr seht dann, wie oft ich versucht habe, irgendwie
zu sagen, ey Leute, wie sieht es eigentlich aus?
Ich habe hier irgendwie seit ein, zwei Monaten eure Domain und ich kriege
irgendwie DNS -Anfragen und am Ende haben wir es dann halt geschafft.
Kurz vor Weihnachten, was mich sehr freut.
Ansonsten könnte man denken, dass da nur irgendwelche kleinen in Garagen
gegründeten Unternehmen solche Probleme haben und deutsche Behörden, aber
tatsächlich gibt es auch ein paar größere Player, die manchmal sowas haben.
Ansonsten habe ich ein bisschen überlegt, okay, was hätte in dem Fall geholfen?
Oder wie wäre das vielleicht irgendwie nicht passiert?
Man kann natürlich besseres Domain -Management machen.
Man kann Domains erst dann freigeben, wenn sie gar nicht mehr in Benutzung sind.
Trotzdem stellen sich da auch fundamentalere Probleme
aus meiner Sicht, die wir uns gerade mal anschauen.
Tagesthemen: Durch die Masche mit Suchmaschinen wurden Unternehmer und
Selbstständige aus Nordrhein -Westfalen zu falschen Formularen geleitet.
Auch Yoga -Lehrerin Miriam Diefenbach aus Köln könnte eines der Opfer sein.
Auch sie hat ihre Konto - und Steuernummer preisgegeben, als die Hälfte
ihrer Einnahmen wegen der Corona -Krise wegbrachen und sie Hilfe brauchte.
Dadurch, dass ich es auch mehrfach probiert habe, kann ich jetzt auch
nicht mal hundertprozentig sagen, über welchen Link ich da reingegangen
bin, weil dann probiert man ja auch die unterschiedlichen Seiten aus.
Laut dem Innenministerium von Nordrhein -Westfalen
habe es bis jetzt etwa 370 Anzeigen gegeben.
Das offizielle Antragsformular soll im Laufe des Tages wieder online verfügbar sein.
Tim: Hier sehen wir übrigens mal eine Domain.
Das ist jetzt natürlich eine Landesdomain.
Trotzdem also grundsätzlich, ich gehe mal auf die nächste
Seite, viele Länder auf der Welt haben g ov -Domains.
Sogar Nordkorea hat eine g ov -Domain, also Länder, wo
man das jetzt vielleicht nicht so krass erwarten würde.
Aber in dieser Liste fehlt ein Land, nämlich Deutschland.
Deutschland hat in dieser Liste, was der offizielle Wikipedia -Eintrag
zu diesen g ov -Domains ist, keine solche Domain, was Probleme mit
sich bringt, weil Bürgerinnen und Bürger natürlich gar nicht wissen
können, okay, ist das jetzt irgendwie eine vertrauenswürdige Domain.
Es gab im IT -Planungsrat im März 2024 irgendwann den Impuls zu
sagen, ey, wir brauchen mal g ov .de und mittlerweile gibt es auch
ein paar Domains im Kontext g ov .de, weil man in anderen Ländern,
ich sag mal UK, alles Mögliche unter dieser g ov -Domain finden kann.
In Deutschland allerdings nicht.
Bis jetzt sind da auch wirklich nur sehr, sehr wenige Domains drunter zu finden.
Wenn man sich mal unsere 16 Ministerien anschaut, dann merkt man,
dass die eh ein komisches Verständnis von Domains haben, die mehrere
Problematiken mit sich bringen, zu denen wir gleich noch kommen.
Erstmal haben wir das BMDS, was es herausgefunden
hat, dass man kein www mehr vor der Domain braucht.
Publikum: (Applaus)
Tim: Also sehr, sehr modern in dem Zusammenhang.
Dann sehen wir einige Behörden die sagen, okay, b undes.., dann kommt
irgendwas und dann ..m inisterium .de, das ist so unser Namensschema.
Auch das ist eine Variante.
Wenn man dann nochmal tiefer einsteigt, zum Beispiel gibt es eine IFG -Anfrage
aus dem Jahr 2015, aus der man sieht, welche Domains dort registriert sind.
Spannenderweise bauminister .com, bauminister .de,
bauminister .net, bauminister .org und so weiter.
Auch bundesinfrastrukturministerium .de, sehr interessant.
Das Bundesverkehrsministerium hatte fünf Namen vorher,
seit Ende der 1990er Jahre und jedes Mal kommen da quasi
neue Namen zu, die da irgendwie in diese Liste reinkommen.
Und was man übrigens auch merkt an der Auflistung, es gibt
extrem viele Behörden, die haben noch nie darüber nachgedacht,
dass es Frauen geben könnte, die Ministerin sein könnten.
Hier mal aufgelistet Verkehr, Inneres, Finanzen,
Wirtschaft, Digitales hatten noch nie Ministerinnen.
Leider sind die ganzen bundesministerinnen .net, .org und so
schon von irgendwelchen Domain -Grabbern übernommen worden.
Trotzdem ist es so, wenn eine Behörde umbenannt wird, haben die teilweise ein Interesse
daran, die alten Domain -Namen zu behalten, wie wir gerade eben erfahren haben.
Es gibt auch sehr kuriose Domains.
Es gibt zum Beispiel die Domain reichsbahn .de, die bis
heute weiterleitet auf die Domain deutschebahn .com.
Das hängt allerdings damit zusammen, dass es bis zum Jahr 1993 in der
DDR, bzw. später in der BRD eben die Deutsche Reichsbahn gab und die
Deutsche Bahn offiziell der Rechtsnachfolger dieser Organisation ist.
Dementsprechend ein Interesse daran hat, ich bin kein Anwalt,
aber irgendwie markenrechtlich diese Domain aufrecht zu erhalten.
Das nur so als Ausflug zu Domains.
Ansonsten sehen wir leider haben nur ungefähr fünf von 16 Ministerien
bund .de in Benutzung, was wir vielleicht auch stärker kennen.
Auch das ist eine spannende Domain, die wir uns jetzt nach und nach einmal anschauen werden.
Hier sieht man übrigens mal eine der ersten Webseiten
der Bundesregierung aus dem Jahr 1998, bund .de.
Damals noch, ja, recht sperrlich. "German Government G oes Internet"
Das ist unser Motto. Auf jeden Fall sehr interessant.
Leider steht bund .de nicht in der Public Suffix -Liste, die, da gehe ich
jetzt noch schnell drauf ein, eigentlich Security und Privacy Vorteile hätte.
Ihr kennt das vielleicht von Domains.
Oben in der Adresszeile sieht man, wie die, ja, verwaltet werden.
So kann es Probleme geben mit Cookies und ähnlichem.
Und dann bin ich auf einen Talk gestoßen, der auch indirekt was mit bund .de zu tun hat.
Jaeson: Here is a SIP DNS request from the German Federal Government.
So, we registered a couple of different domains there, bund .ee,
which also happens to be a typosquat, as well as a bitsquat.
But we also registered bund .dm, and we are seeing similar things out of both of those.
I think I might have another example. Yeah, here's some MX r equests.
If you were to look up the IP addresses on some of these, you'll note that some
of these requests were coming from inside of the Government of Germany itself.
Tim: Genau, das ist der Sicherheitsforscher von Cisco, der nebenbei mal
gedroppt hat, ey, wenn ihr bund .ee habt, dann kann es da Probleme geben.
Da dachte ich mir, okay, ist spannend. Die Domain war noch frei.
Habe ich mir mal geholt.
Publikum: (Applaus)
Tim: Habe ich mir mal geholt.
Spannend deshalb, weil es wurde im Satz erwähnt, ist ein typosquat und ist ein bitsquat.
Typosquatting heißt vertippen bei der Domain.
Hier sieht man mal ein paar typosquats, auslassen, vertauschen von Buchstaben und ähnliches.
Es gibt da teilweise mittlerweile Warnungen in den
Browsern, wenn das passiert, bei sehr popular Domains.
Nicht allerdings bei bund .ee oder de, weil es keine so popular Domain ist.
Also das ist typosquatting, das reine vertippen und dadurch geraten auf falsche Namen.
Dann gibt es noch das Thema bitsquatting.
Das passiert, wenn man IT -Probleme hat, schlechte Hardware
hat, Hitze hat, dann kommt es zu solchen Problemen.
Ihr seht unten links mal, wenn es zu sogenannten Bitflips kommt,
dann kann ein Buchstabe in so einer Domain sich verändern.
Bei ein paar Millionen DNS -Requests ist mindestens
mal einer dabei, der in eine andere Richtung geht.
Dann haben wir den Masterplan aufgestellt. Was können wir jetzt tun?
Haben uns leicht inspirieren lassen.
Publikum: (Applaus)
Tim: Leicht inspirieren lassen, erst mal Daten zu erfassen, die dann quantitativ zu
erfassen und am Ende natürlich zu analysieren, wo wir jetzt gleich drauf eingehen.
Auch da gibt es natürlich wieder einen spannenden Netzbereich,
den Bereich, den wir gerade eben schon kennengelernt haben.
Auch da kann man dann sehen, dass sehr viele Ministerien immer mal
wieder irgendwelche Anfragen an meinen DNS -Server geschickt haben.
Jetzt in dem Fall hier zum Beispiel, ich glaube, das obere ist
das Bundesministerium für Landwirtschaft, Ernährung und Heimat.
Darunter das Bundesinnenministerium und das Bundesverkehrsministerium.
Darüber hinaus gab es aus dem Bundesministerium für Digitales und Staatsmodernisierung
ein Request, wo auch interessante Subdomains wie zum Beispiel konsultation .bmds
.bund .de, also das seht ihr unten links mal, ist übrigens eine Software -as -a
-Service -Lösung, die in Dänemark gehostet wird, digitale Souveränität first.
Dann gab es Requests zum Beispiel aus dem Bundesamt für Risikobewertungen,
so heißt es glaube ich, die auch eine spannende Seite haben.
Keine Ahnung, ob es da Multifaktor gibt, aber in dem Fall wäre man natürlich als
Angreifer möglicherweise in der Lage, so eine Seite zu klonen, genauso darzustellen.
Dann gibt da jemand vielleicht aus Versehen die Login -Daten oder so ein.
Dann gab es auch Subdomains oder interne Hostnamen, die geleakt wurden.
Zum Beispiel s ocial-i ntranet ist in dem Fall.
Es gab auch noch weitere, die ich jetzt hier nicht
aufgenommen habe, auch um so ein bisschen Daten zu schützen.
Dann gab es Anfragen zu irgendwelchen Meeting -Domains.
Ihr seht hier einmal am 12. November, einmal am 20. November
beispielsweise, wenn man da mal drauf schaut, was ist das eigentlich?
Ist es so eine Cisco -Einwahl?
Auch die hätte man natürlich klonen können oder
vielleicht auch irgendeine Software darunterladen.
Hey, um dem Meeting beizutragen, installiere bitte diese und jene Software.
Also auch da wären weitere Möglichkeiten denkbar gewesen.
Dann gab es in dem ganzen Zeitraum auch immer wieder MX -Rekord -Anfragen.
Also das deutet darauf hin, dass da versucht wurde eine
E -Mail zuzustellen, alle ein, zwei Wochen ungefähr mal.
Und dann kommen wir zu einer der letzten Slides.
Und zwar ist es so, dass ich auch spannende Anfragen zu spannenden Domains erhalten habe.
Ja, da können wir uns mal unseren Teil denken.
Ich dachte, dass in den Stellenausschreibungen
vertippen jetzt vielleicht nicht so angesagt war.
Schutzmaßnahmen dazu: Es gibt Error -Correcting -Codes.
Also sprich, dass man darauf achtet, dass solche Bit -Flips nicht so leicht passieren.
Eigentlich gibt es Möglichkeiten, die zu vermeiden. Das sind Möglichkeiten.
Dann kann man beim DNS -Resolver natürlich auch darauf achten, okay, da wird
irgendwie gerade eine Domain, die nah an unser internen Domain ist, aufgelöst.
Oder beim Aussenden von E -Mails darauf achten,
okay, an welche Empfänger geht das Ganze denn?
Das wären Möglichkeiten, sich vor Typosquatting, Bitsquatting zu schützen.
Dann insgesamt kann man natürlich Bund Domains anfragen.
Hier ist mal eine Anfrage aus dem Jahr 2015 ans BMAS,
also Bundesministerium für Arbeit und Soziales, die dann
maschinenlesbar eine entsprechende Excel zurückgeliefert haben.
Und hier ist die Auflistung der Domain.
Also stellt man sich das vor, wenn man eine Informationsfreiheitsgesetz
-Anfrage, IFG -Anfrage zum Beispiel über FragD enS taat stellt.
Darüber hinaus gab es leider im Jahr 2016 auch Versuche, da
irgendwie an Domains vom Gesundheitsministerium zu kommen.
Und die haben einfach gesagt, nee, die geben wir nicht raus.
Das hat FragD en Staat natürlich nicht auf sich sitzen
lassen und hat einfach mal geklagt, also V erklagD en Staat.
Da hören wir bestimmt dieses Jahr auch nochmal was zu.
Publikum: (Applaus)
Tim: Spannend sind da teilweise die Begründungen, wenn man sich das mal durchliest,
dann sagen die, dass nicht für die Öffentlichkeit bestimmte Domains irgend wie
sichtbar werden, die zwischen den Daten oder für den Austausch zwischen Behörden
benutzt werden, die nicht mit geeigneten Schutzmechanismen versehen sind.
Wo man sich auch fragt, ist ein bisschen komisch, sage ich mal.
Und warum sind die dann öffentlich vielleicht
erreichbar, wenn es zum Austausch zwischen Behörden ist.
Ich selber habe auch mal IFG -Anfragen gestellt, habe da
meistens auch die Info bekommen, ey, das hat nachteilige
Auswirkungen auf die Belange der inneren und äußeren Sicherheit.
In dem Fall zum Beispiel beim Bundesverwaltungsamt, die relativ viele Domains registrieren.
Es gab auch eine kleine Anfrage der Fraktion Die Linke im
Bundestag, auch da wurden Domains des Bundes als Verschlusssache
klassifiziert, also dass sie nicht mehr sichtbar sind.
Und da habe ich dann mal so ein bisschen drauf nachgedacht, drauf rumgedacht
und gedacht, okay, was ist eigentlich gefährlicher, wenn wir nicht wissen,
welche Seiten vom Staat sind und vertrauenswürdig sind, oder wenn die uns
einfach nicht sagen, welche Domains es gibt, um sich vor irgendwas zu schützen.
Publikum: (Applaus)
Tim: Außerdem gibt es aus meiner Sicht ein Grundrecht auf Gewährleistung
der Vertraulichkeit und Integrität informationstechnischer Systeme.
Also auch sprich, als Bürger*in hat man ein Interesse daran, wenn man auf eine
Website geht, zu wissen, okay, ist die jetzt irgendwie staatlich oder nicht.
Und Domains finden sich ohnehin über Suchmaschinen,
Certificate Transparency Logs, Websites und Co.
Deswegen gibt es jetzt die Möglichkeit auf FragD en Staat über 2500
Domains und Subdomains sich online anzuschauen, damit wir auch
wissen, wenn wir auf Domains gehen, ob die staatlich sind oder
quasi nicht staatlich sind, was ich für eine gute Idee halte.
Publikum: (Applaus)
Tim: Noch besser wäre es natürlich, wenn der Staat selber die Domains da released,
aber so lange ist offensichtlich noch Handarbeit angesagt, bis das möglich wird.
Genau, dann kommen wir auch langsam schon zum Ende.
Genau, auf dieser Slide vielleicht so ein bisschen der Hinweis.
Wir hatten ja hier so ein paar Fehler gesehen.
Aus meiner Sicht ist es so, dass Fehler menschlich sind.
Also da bitte nicht zu streng sein mit dem Kollegen im BAMF oder anderen Behörden,
weil nur selbst gibt es die Möglichkeit, sich da irgendwie zu verbessern.
Ich glaube auch, dass das jedem in der Art und Weise quasi irgendwie passieren könnte.
Deswegen so ein kleines Selfie am Ende.
Ansonsten sind wir mit dem Talk soweit durch. Herzlichen Dank.
Vielen Dank für eure Aufmerksamkeit.
Vielen Dank an alle, die im Hintergrund mitgemacht haben.
Publikum: (Applaus)
Herald: Vielen Dank für diesen teilweise auch sehr lustigen Talk, was es so alles gibt.
Das ist super spannend gewesen. Genau.
Applaus gab es gerade schon nochmal, aber gab es jetzt noch Fragen?
Zwei Fragen können wir noch zulassen. Stehen schon an den Mikrofonen Personen.
Ja, rechts hinten, das ist die 6. Bitte.
Zuschauer: Ich habe mal gelernt, dass man Anfragen von Bundesbehörden am besten auch beantwortet.
Hast du dir mal überlegt, die DNS -Anfragen und dann
auch vielleicht die HTTP -Anfragen zu beantworten?
Tim: Anfragen von Behörden sollte man natürlich immer
beantworten, aber DNS -Anfragen bin ich mir nicht so sicher.
Deswegen habe ich da mal lieber jetzt nichts Falsches auf Localhost oder so geantwortet.
Sonst würden die ja denken, ich wäre Localhost. Das wäre vielleicht nicht so gut.
Aber kann man natürlich machen.
Herald: Okay, eine Frage dürfen wir noch.
Und da habe ich gesehen, online gab es wohl eine Frage. Bitte.
Signal: Also es gab mehrere, aber ich fange mal mit der ersten an.
Glaubst du, dass bekannte Zukunftsdomains auch eine mögliche
Sicherheitslücke sein könnten, dass man die ausnutzen könnte?
Tim: Ja, auf jeden Fall.
Also ich habe ja gesagt hier, wenn es mal eine Bundesministerin für Verkehr oder
so gibt, dann kann das sein, dass da eine Domain quasi vorher schon registriert
wird von Leuten, die sie dann teuer irgendwie weiterverkaufen oder ähnliches.
Ist denkbar und man sieht ja auch die Legacy, die manche
Ministerien haben, wie sie in der Vergangenheit hießen.
Auch da gehe ich von aus, wird es in den nächsten Jahren immer wieder irgendwas geben.
Weil zum Beispiel beim Bundesverkehrsministerium, die hatten ja seit
Ende der 1990er Jahre fünf verschiedene Namen, fünf verschiedene Domains.
Wenn man das jetzt mal auf die nächsten 100 Jahre projiziert,
dann ist die Frage, wie soll das überhaupt weitergehen?
Wie viele Domains wollen die jemals da irgendwie aufbewahren?
Deswegen ja auch der Appell unter .gov oder unter bund .de oder so, sich
die Domains zu flaggen und nicht neue Domains quasi zu registrieren.
Herald: Okay, super, dann sind wir soweit durch.
Wir haben nicht mehr Zeit jetzt für noch mehr Fragen, aber
vielleicht kannst du uns nochmal sagen, wenn noch Fragen
sind, wo finden wir dich denn eigentlich gleich noch?
Tim: Ja, ich bin einmal hier vorne links, da kann man glaube ich noch ein bisschen
quatschen und würde mich sehr freuen, wenn wir da in den Dialog kommen.
Perfekt, danke euch.
Herald: Großartig, vielen Dank.