Durch die anhaltenden Diskussionen um den Bundestagshack ist das Vertrauen in die Infrastruktur der Institution – freundlich ausgedrückt – erschüttert worden. Nun wird ihr ein weiterer Stoß versetzt.
Eine Analyse der Webseite bundestag.de zeige, dass man von der Webseite aus das Intranet des Bundestags nach Schwachstellen scannen könne, da Rechner im Bundestag sowohl auf das interne als auch das externe Netz zugreifen können. Das erwähnte Kristian Köhntopp vor etwa einer Woche auf Google+:
IRC so: „Dual Homed Bundestag? Oder wie erklärt man sich sonst die Domains?“
Er illustriert seine Aussage mit Shell-Kommandos, unter anderem [Hervorhebung von uns]:
curl -o - http://www.spdfraktion.de | grep pkBaseURL
var pkBaseURL = (("https:" == document.location.protocol) ?
"https://statistics.spd.frak/piwik/" : "http://www.spdfraktion.de/piwik/" );
document.write(unescape("%3Cscript src='" + pkBaseURL + "piwik.js' type='text/javascript'%3E%3C/script%3E"));
J>Die hervorgehobene URL befindet sich aller Wahrscheinlichkeit nach im Intranet auf den Fraktionsservern der SPD. Einen tatsächlichen Angriff hat Köhntopp unter anderem aus Furcht vor strafrechtlichen Konsequenzen nicht durchgeführt, daher ist die tatsächliche Durchführbarkeit eines Angriffs noch nicht bewiesen, zeigt zumindest aber eine massive Schwachstelle in der Infrastruktur.
Auch Linus Neumann vom CCC ist besorgt:
Ein erfolgreicher Angreifer aus dem Internet erhält damit potenziell Zugang zum internen Netz und auf die internen Inhalte, die der Server dort anbietet.
Update, die Süddeutsche Zeitung korrigiert:
Korrektur: In der ursprünglichen Version lautete die Überschrift „Wie sicher ist Bundestag.de?“ Nach Veröffentlichung des Artikels hat sich Rainer Babiel gemeldet, dessen Unternehmen diese Webseite betreut. Er hat darauf hingewiesen, dass die Systeme, über die die IT-Experten diskutieren, nicht mit Bundestag.de zusammenhängen. Herr Babiel hat Recht. Wir bitten, den Fehler zu entschuldigen. Dass Hacker nach Einschätzung von IT-Experten in das Parlamentsnetz eindringen könnten, ändert sich nicht.