STiNE-Pressemitteilung-061026

Der FSR Informatik, seinerseits die Vertretung der Hamburger
Informatikstudierenden, möchte zu mehreren in der Vergangenheit
geäußerten Behauptungen Stellung nehmen:

"STiNE ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)

Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in
STiNE bekannt. Diese wurden jedoch erst am 17.10.06 behoben; gerade noch
rechtzeitig, um dem Bekanntwerden durch die Medien zuvorzukommen. Wir
glauben, dass bei einem geringeren Druck auf die Datenlotsen die
Sicherheitslücken noch später geschlossen worden wären.

Möglich waren folgende Dinge:

1. Lesen _aller_ Nachrichten, die jemals über STiNE verschickt wurden
(inklusive "gelöschter" Nachrichten)
2. Einsicht in die privaten Daten anderer Studenten.
3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme
des Zugangs möglich gewesen wäre.
4. Entwenden der gleichzeitig mit STiNE eingeführten studentischen
Email-Konten (vorname.nachname@studium.uni-hamburg.de)

Jeder Besitzer eines STiNE-Zugangs konnte diese Angriffe ausführen. Zum
Teil war nur eine simple Änderung der URL nötig.

"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar:
das System STiNE ist von Anfang an in enger Abstimmung mit dem
Hamburgischen Datenschutzbeauftragten entwickelt worden." (ebd.)

Diese "enge Abstimmung" bedeutet: Die Datenlotsen schreiben
Spezifikationen, die dann von den Datenschutzbeauftragten durchgelesen
und kommentiert werden. Eine Überprüfung der Sicherheit der Software
findet nicht statt. Diese Aussage ist also im Zusammenhang mit
Implementationsfehlern völlig wertlos.

"Angriffe auf Systeme wie STiNE, die das Ziel haben, mögliche
Sicherheitslücken aufzuspüren, werden nur unter kontrollierten
Bedingungen und nur in Zusammenarbeit mit dem Hamburgischen
Datenschutzbeauftragten vorgenommen." (ebd.)

Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen"
aufgespürt und ausgenutzt werden können. Gerade deshalb ist es wichtig,
dass Systeme wie STiNE ausgiebigst auf Fehler überprüft werden,
insbesondere wenn die Software einer großen Anzahl von Personen
zugänglich gemacht wird. Nach unserem Kenntnisstand wurde den
Datenlotsen seitens des Fachbereiches Informatik rechtzeitig ein
vorheriger Test durch erfahrene Experten angeboten. Dieses Angebot wurde
jedoch nicht angenommen.

"Die im Abendblatt geäußerte Kritik des Datenschutz-Experten Prof. Klaus
Brunnstein am Sicherheitssystem von 'Stine' hält Sachse für
'übertrieben'. Wer Schwachstellen finde, sollte sie melden. Sachse: 'Wir
arbeiten ständig an der Perfektionierung des Systems.'"
(Berichterstattung Hamburger Abendblatt, 19.10.2006)

Dies ist unserer Meinung nach zu langsam, bzw. nicht rechtzeitig
geschehen. Nach Inbetriebnahme des Systems hätten keine
Sicherheitslücken mehr bestehen dürfen.

"Der Hamburger Datenschutzbeauftragte [...] sieht zwar einzelne Mängel,
'die unglücklich, aber aus datenschutzrechtlicher Sicht nicht verheerend
sind'." (Berichterstattung Hamburger Abendblatt, 19.10.2006)

Diese Einschätzung können wir in Hinblick auf die gefundenen
Sicherheitslücken nicht teilen. Die Möglichkeit, private Nachrichten und
personenbezogene Daten anderer Nutzer zu lesen, halten wir für
datenschutzrechtlich sehr verheerend. Ein schlimmeres Datenschutzproblem
hätte unserer Ansicht nach kaum bestehen können!

"Nach seiner Kenntnis sei es auch nur Informatikstudenten möglich, in
sensible Datenbereiche vorzustoßen, weil sie erweiterte
Zugriffsmöglichkeiten hätten. Dennoch müssten die Mängel sofort
abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)

Zum Entdecken und Ausnutzen der Sicherheitslücken in STiNE waren weder
Informatiker-Sonderrechte noch tiefergehende Informatik-Kenntnisse
notwendig. Es wäre zudem skandalös, wenn einige Studierende mit Wissen
des STiNE-Teams Zugang zu privaten Daten Anderer hätten.

Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller
universitärer Einrichtungen, Vorgängen und natürlich auch bei STiNE.
Wäre die Software quelloffen, hätten Sicherheitslücken von Beginn an und
noch vor der Einführung entdeckt und behoben werden können. Viele große
und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich
besonders durch die zeitnahe Behebung von Sicherheitslücken aus. Die
Bereitstellung der Quelltexte von STiNE wäre auch für den
Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten
von STiNE profitieren und wertvolle Geldmittel einsparen könnten (Zur
Erinnerung: STiNE kostet einen siebenstelligen Betrag...).

Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht
sachgemäß und umfassend durchgeführt wurden. Anders ist die
katastrophale Startphase nicht zu erklären. Wer ein derartiges System
für die Universität Hamburg entwickelt, kann die Zahl der Nutzer grob
abschätzen. Dennoch haben die Datenlotsen ein Produkt abgeliefert, das
offensichtlich den abzusehenden Belastungen nicht Stand gehalten hat.
Um in Zukunft Fehler rechtzeitig erkennen und im Zweifelsfall auch
nachvollziehen zu können, ist es notwendig, dass Protokolle von
Sicherheits-, Funkionalitäts- und Barrierefreiheitstests zugänglich sind.

Bei Rückfragen stehen wir Ihnen gerne unter
fsr@informatik.uni-hamburg.de zur Verfügung.

Fachschaftsrat Informatik

Pressemitteilung als PDF-Datei