Polizeiliches EU-Fahndungssystem geknackt – Der Vorfall blieb geheim

Auch eine "virtuelle Grenze" kann überwunden werden (Bild: Stefan-Xp, GNU-FDL)
Auch eine „virtuelle Grenze“ kann überwunden werden (Bild: Stefan-Xp, GNU-FDL)

Laut Berichten von Medien aus der Schweiz ist das Schengener Informationssystem (SIS) geknackt worden. Der Angriff habe sich demnach bereits 2012 in Dänemark ereignet, Daten seien dabei kopiert worden. Behörden behaupten, dass es sich nicht um ein „internes Datenleck“ handelte. Es wird aber nicht erklärt, wo sich Eindringlinge Zugang verschafften. Betroffen war womöglich die dänische Kontaktstelle für das polizeiliche Fahndungssystem. Gewöhnlich sind diese Zentralstellen bei den nationalen Kriminalpolizeien angesiedelt, im Falle Deutschlands etwa beim Bundeskriminalamt. In der Schweiz werden nationale und internationale Fahndungsdatenbanken laut Agenturmeldungen vom Bundesamt für Informatik und Telekommunikation (BIT) und dem Informatik Service Center des Eidgenössischen Justiz- und Polizeidepartements (ISC-EJPD) verwaltet.

Die Nachricht wurde zunächst unter Verschluss gehalten. Angeblich habe die Europäische Kommission erst am 6. März 2013 das Bundesamt für Polizei in der Schweiz entsprechend informiert. Aus den Berichten geht nicht hervor, ob alle Zentralstellen in den EU-Mitgliedstaaten diesbezüglich kontaktiert wurden. Die Schweiz sei vom Datendiebstahl betroffen gewesen, weil Daten von Staatsangehörigen entwendet worden seien. Dies dürfte aber auch auf andere Länder zutreffen.

Es gibt keine Informationen, was mit den Daten geschehen ist. Ein Polizeisprecher beschwichtigt, sie seien nicht verändert oder für „kriminelle Zwecke“ verwendet worden.

Das SIS enthält größtenteils Daten ausreisepflichtiger MigrantInnen und wurde parallel zum Abbau der Binnengrenzkontrollen eingerichtet. Von KritikerInnen wird das SIS deshalb als „virtuelle Grenze“ bezeichnet. Im System werden aber auch Ausschreibungen zur Fahndung, Beobachtung beim Grenzübertritt oder polizeiliche Anordnungen gespeichert – auch der Haftbefehl für Julian Assange ist dort eingestellt. Das System wird in Strasbourg zentral betrieben, ein Backup befindet sich in Sankt Pongau in den österreichischen Alpen. Im April diesen Jahres wurde das SIS nach fast zehnjähriger Entwicklung in seiner zweiten Generation in Betrieb genommen. Nun können auch Anhänge gespeichert werden, darunter biometrische Daten wie DNA-Profile und Fingerabdrücke sowie Fahrzeugregisterdaten. Inzwischen werden die polizeilichen EU-Datenbanken von einer eigenen „IT-Agentur“ beaufsichtigt.

Es ist unklar, inwiefern europäische Agenturen mit Ermittlungen betraut sind – denn als Türchen diente Dänemark. Daher hätten nun dänische Behörden „Massnahmen ergriffen“, um die Sicherheitslücke zu schließen. Die EU habe aber eine „Arbeitsgruppe mit Informatikexperten“ eingesetzt, um zu verhindern dass die Schwachstelle erneut ausgenutzt werden kann. Anfang 2014 sollen Ergebnisse vorliegen. Auch die Polizeiagentur Europol könnte einbezogen werden, bräuchte dafür aber die Anfrage eines ersuchenden Mitgliedstaates.

Der Hack bringt neuerlich die Problematik ausufernder Polizeidatenbanken auf die Tagesordnung: Weiterhin errichtet die EU-Kommission neue Informationssysteme, in Planung sind ein Ein- und Ausreiseregister oder eine Datenbank mit „registrierten Reisenden“. Ein europäisches Passagierdatenregister scheint derzeit allerdings vom Tisch. Hingegen werden vorhandene Datenbanken für polizeiliche Zwecke geöffnet und die Zweckbindung hierfür aufgebohrt: So dürfen Behörden bei gewöhnlichen Ermittlungen fortan auch in der Fingerabdruckdatenbank EURODAC stöbern. Ursprünglich war diese lediglich errichtet worden, um mehrfache Asylanträge aufzuspüren.

Der Vorfall vom letzten Jahr war nicht das erste Mal, dass versucht wurde in das SIS einzudringen – wenn auch zuvor nur symbolisch. 2002 hatten DemonstrantInnen beim No Border Camp in Strasbourg versucht, auf das Gelände des Zentralrechner vorzudringen. Eine Gruppe von NetzaktivistInnen lud Presse und Fernsehen zu einem Live-Hack ein, um die Daten des Schengener Informationssystems „für alle zugänglich zu machen“. So wollten die Hacker für die Betroffenen nachvollziehbar machen, welche Daten über sie gespeichert waren. Das ging ganz einfach: Aus dem Boden wurde ein Kabel ausgebuddelt, ans Laptop angesteckt und die Berechtigungen dann per chmod 777 geändert:

Based on information of a resaerchers group who visited the SIS location some days before, a cable was taken out of the ground and connected to a notebook. After booting the system and logging in on the SIS system, the user rights of the schengen data were changed (chmod 777*) so from now on everybody is able to access his/her own data stored in the schengen system, of course also change or delete data as needed. After that then the noborder plugin was installed (apt-get install noborder) to enable access from everywhere whitout limitation.

The communication protokoll was changed to TCP/IP for easy internet (webbased-)access. A easy to use webportal will be installed soon. Now the system was shutdown for a complete reboot and made ready for a free-communication compiling…

In mindestens einem Fall hat wohl ein Polizist Daten aus dem SIS gestohlen, um sich dadurch zu bereichern: Sie seien an die „organisierte Kriminalität“ verkauft worden.

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

5 Ergänzungen

    1. Und schon wieder CSC, die hierzulande auch Sponsor von co:llaboratory (z.B. mit dieser illusteren Runde von Experten zur digitalen Privatheit und Öffentlichkeit http://www.collaboratory.de/w/Teilnehmer_Ohu_Digitale_Privatheit_und_%C3%96ffentlichkeit) sind:

      It has been widely reported that the databases were held on systems operated by CSC, a major American IT firm. The Register has contacted CSC’s UK office to confirm this and we are currently awaiting a response.

  1. Ich bin aus meiner sich heute nicht mehr in der Lage zu unterscheiden wer nun die „wahren“ Kriminellen sind .
    Sind es die Bankster,Gangster oder der „Staat“ ???

  2. Der Firma, der die Daten abhanden gekommen sind .. ist das die CSC, die hier seit Tagen durch die Medien geht?

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.