Recherchen von n-tv.de zufolge klafft auf der Zensus-Webseite eine eklatante Sicherheitslücke. Ein Angreifer könnte Daten abfangen. IT-Experte Schejbal sieht darin einen Verstoß gegen das Zensusgesetz. Das Büro des Bundesdatenschutzbeauftragten räumt ein: "Wir haben ein Problem."

Zehn Prozent der deutschen Bevölkerung sind aufgefordert, Angaben über ihre Lebenssituation zu machen, über ihren Beruf, über Partnerschaft und Religion. Das ist nötig, heißt es in der Werbekampagne des Statistischen Bundesamtes. Pünktlich zum Starttermin prangen Plakate an Straßen, mit glücklichen Menschen, die sich beteiligt haben. Es gibt Werbespots mit fröhlichen Befragern, die mit fröhlichen Befragten entspannt am Küchentisch sitzen. Schöne, neue Welt.

Allerdings ist die Befragung nicht freiwillig. Jeder, der um Auskunft gebeten wird, ist laut Gesetz dazu verpflichtet. Jedoch hat das für die Befragung verantwortliche Statistische Bundesamt ein schwerwiegendes Problem. Es handelt unter Umständen gegen geltendes Recht.

Nicht durchgehend verschlüsselt

Im betreffenden Zensusgesetz aus dem Jahr 2009 heißt es: "Bei der Datenübermittlung [..] sind dem jeweiligen Stand der Technik entsprechende Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit zu treffen, die insbesondere die Vertraulichkeit, Integrität und Authentizität der Daten gewährleisten; im Falle der Nutzung allgemein zugänglicher Netze sind dem jeweiligen Stand der Technik entsprechende Verschlüsselungsverfahren anzuwenden."

Dies ist nicht der Fall, wie der IT-Experte Jan Schejbal aufgedeckt haben will, in seinem Blog detailliert beschreibt – und im Gespräch mit n-tv.de unterstreicht. In den Benachrichtigungen der Haushalte wird auf die unverschlüsselte Internetseite hingewiesen. "Das Amt hätte einfach eine verschlüsselte Seite als Adresse angeben müssen", erläutert Schejbal. Ruft der Befragte die Seite https://www.zensus2011.de/ auf, könnte er Hackern schon ins Netz gegangen sein. Angreifer könnten per Manipulation von Domain Name Servern (DNS) den Betroffenen einfach umleiten. Denn DNS bestimmen, welche Internetadresse den Nutzer auf welche Seite führt.

Der Weg zur bequemen Online-Variante der Bögen ist also nicht durchweg sicher. Und damit angreifbar. Das Büro des Bundesdatenschutzbeauftragten Peter Schaar räumt auf Nachfrage von n-tv.de ein: "Wir haben ein praktisches Problem, die Fragebögen sind schon verschickt." Handeln wolle man vorerst nicht, sondern die Lage "kritisch beobachten". "Wir stehen in engem Kontakt mit dem Statistischen Bundesamt", heißt es. Dort hält man die derzeitige Methode für "angemessen". Zudem stünden die Befragten in der Pflicht: "Der Bürger muss sich an die allgemeinen Sicherheitsregeln halten", so die Experten des Amtes auf Nachfrage von n-tv.de. Auf der anderen Seite solle der Bürger mit technischen Hinweisen zum Online-Fragebogen nicht "überfrachtet" werden.

Diskrete Umleitung

"Es könnte ein Angriff stattfinden", bestätigt Thomas Reinke, Technischer Leiter der Landesdatenschutzbeauftragten in Brandenburg das beschriebene Szenario auf Anfrage von n-tv.de. Schejbal sagt: Wenn es jemand darauf anlege, könne er alle Kunden bestimmter Provider auf den eigenen Server leiten - oder, "wenig wahrscheinlich, aber möglich" – auch sämtliche Aufrufer der Zensus-Website. Unerschwinglich ist das für einen privaten Angreifer offenbar nicht: "Bei 100.000 Besuchern pro Tag reicht ein normal dimensionierter Server", so Schejbal.

Unter den großen Links auf die drei verschiedenen Fragebögen befindet sich zwar ein Hinweis darauf, dass die direkte Eingabe der Adresse "am sichersten" sei. Doch den würden Befragte im Falle eines Angriffs gar nicht erst zu Gesicht bekommen. Sie wären längst auf der Seite des Hackers. Einen Konflikt mit dem Zensusgesetz sieht Reinke trotzdem nicht, da die Übertragung der Antworten an sich verschlüsselt stattfinde. Das Büro des Bundesdatenschutzbeauftragten warnt davor, WLAN-Hotspots, also Funknetzwerke zu benutzen.

Die Lösung klingt banal wie einleuchtend: Gibt der Nutzer direkt die Adresse der verschlüsselten Seite, also "https://www.zensus2011-befragungen.de/idev/" ein, ist ein Angriff wesentlich schwieriger. Das bestätigt auch Reinke: "Es sollte nur die verschlüsselte Variante eingegeben werden". Nur dann sind die Daten der Befragten sicher.