Digitales Vertrauen in Gefahr: Wenn Behörden ihre alten Domains vergessen

Die Umbenennung einer Bundesbehörde erfordert nicht nur den Austausch von Schildern und Briefköpfen, sondern auch den der zugehörigen Internetadresse. Werden solche vormals staatlich genutzten Domains nach einiger Zeit aufgegeben, kann dies erhebliche Sicherheitsprobleme nach sich ziehen.

Aufgrund ihrer Historie genießen diese Adressen weiterhin ein hohes Vertrauen, werden in wissenschaftlichen Arbeiten oder von Nachrichtenmedien verlinkt und sind in Suchmaschinen leicht auffindbar. Diese Faktoren machen sie zu einem idealen Ziel für Betrüger und Verbreiter von Desinformation. Unter ehemaligen Behörden-Webadressen finden sich heute teils Werbung für illegales Glücksspiel, Online-Casinos, Wettanbieter und sogar Schadsoftware.

Bundesamt für Flüchtlinge

Ein prägnantes Beispiel dafür ist die alte Domain des heutigen Bundesamts für Migration und Flüchtlinge (BAMF), das bis 2005 noch Bundesamt für die Anerkennung ausländischer Flüchtlinge (BAFl) hieß. Nach der Umbenennung wechselte die Adresse von bafl.de zu bamf.de. Obwohl die alte URL jahrelang auf die neue weiterleitete, wurde sie schließlich aufgegeben. 2025 entdeckte der IT-Sicherheitsforscher Tim Philipp Schäfers, dass bafl.de erneut zur Registrierung frei war. Zuvor hatte dort zeitweise eine seltsame, aber scheinbar harmlose Website mit fragwürdigen Informationen über Asylthemen ihr Domizil aufgeschlagen.

Schäfers, der beim BAMF bereits skurrilen Testkonten auf die Spur gekommen war, sicherte sich laut einem jetzt veröffentlichten Bericht die Domain. Er stellte überraschend fest, dass weiterhin Anfragen aus den Netzen des Bundes an bafl.de gesendet wurden. Diese Infrastruktur verbindet Behörden und Tausende Mitarbeiter.

Das deutete darauf hin, dass interne IT-Systeme – möglicherweise aufgrund einer Fehlkonfiguration – weiterhin automatisiert auf die nicht mehr kontrollierte Adresse zugriffen. Eine solche hartnäckige Verankerung in den Systemen birgt dem Entdecker zufolge ein erhebliches Sicherheitsrisiko. Angreifer könnten durch die beständigen Anfragen Informationen über die interne IT-Infrastruktur ausspionieren und im schlimmsten Fall Systeme manipulieren.

Alte Verweise als hartnäckiges Sicherheitsrisiko

Obwohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das BAMF auf die Meldung des Sicherheitsexperten reagierten und die Löschung des Verweises auf bafl.de aus allen Konfigurationen beim ITZBund veranlassten, rissen die automatisierten Anfragen nicht ab. Der Vorfall unterstreicht, dass die Freigabe einer Domain erst erfolgen sollte, wenn sichergestellt ist, dass sie intern auf keinem System mehr verwendet wird. Das BAMF teilte diese Einschätzung laut Netzpolitik.org nachträglich. Es will stärker darauf achten, nicht mehr genutzte Domains aus Sicherheitsgründen weiter zu registrieren.

Dass es sich nicht um einen Einzelfall handelt, belegt eine Antwort der Bundesregierung auf eine Anfrage der Linksfraktion. Demnach wurden mehrere vormals von Ministerien oder ihren Geschäftsbereichsbehörden genutzte Domains von Dritten registriert und missbräuchlich genutzt. Ein Beispiel ist eine alte URL des Landwirtschaftsministeriums. Diese informiert heute zwar noch über Bioenergiepflanzen, aber blendet Links zu Glücksspiel- und Wettanbietern ein.

Auch das Bundesinstitut für öffentliche Gesundheit (BIÖG), ehemals Bundeszentrale für gesundheitliche Aufklärung, kämpft mit ungenutzten Domains aus früheren Aufklärungskampagnen. Diese verlinken nun ebenfalls auf illegale Online-Casinos. Eine andere, einst für Kinderlieder genutzte Domain verbreitet sogar Schadsoftware. Während einige Ministerien entsprechende Fälle meldeten, signalisierten andere nur „Fehlanzeige“. Das erscheint angesichts der Dimension staatlicher Domainverwaltung und des BAFl-Falls unglaubwürdig.

Mangelnde Transparenz und fehlende Regeln

Die Linken-Abgeordnete Donata Vogtschmidt beklagt ein „Totalversagen“ bei der Sicherung vertrauenswürdiger Webauftritte. Unzureichend erscheint Vogtschmidt die Situation, weil es laut Regierung keine einheitlichen Regeln für den Umgang mit nicht mehr benötigten Domains gibt: Die Zuständigkeit liege bei der jeweiligen Behörde.

Die Regierung lehnt es ab, eine systematische Liste aller in Bundeshand befindlichen Domains und deren Kosten offenzulegen, da dies die Sicherheit der Bundesrepublik gefährden könnte. Diese Geheimhaltung erschwert ein internes Inventar-Management sowie externe Transparenz und notwendige Sicherheitsforschung. Die Schätzungen zur Anzahl der Domains mit staatlichen Inhalten gehen in die Tausende, was die Größe des potenziellen Sicherheitsproblems verdeutlicht.

Um Vertrauen zu schaffen und Missbrauch von Anfang an zu verhindern, könnte die konsequente Nutzung von Subdomains unter bund.de oder der neuen digitalen Dachmarke gov.de helfen. Letztere, die offizielle Websites kennzeichnen soll, befindet sich aber noch in der Pilotphase und ist keine Pflicht. Ein konsequentes Domain-Management, starke Authentifizierung und Kontrolle anstelle von Geheimhaltung wären laut IT-Experten effektiver, um die digitalen Auftritte des Bundes resilienter gegen Missbrauch zu machen.

(wpl)