„Spätestens jetzt sollte die Bundesdruckerei den Datenatlas öffentlich zugänglich machen“
Der Streit um den Datenatlas kocht weiter hoch. Über das Metadaten-Portal sollen Mitarbeiter*innen der Bundesverwaltung Datensätze und Dokumente aus der internen Verwaltung leichter auffinden. Vor gut zwei Wochen veröffentlichte David Zellhöfer ein wissenschaftliches Gutachten zu dem Portal. Sein Fazit: Der Datenatlas bleibt weit hinter dem zurück, was die zuständige Bundesdruckerei (BDR) auf ihrer Website verspricht.
Daraufhin teilte die BDR auf Anfrage mit, sie erwäge „rechtliche Schritte“ gegen Zellhöfer. Zellhöfer ist Professor an der Hochschule für Wirtschaft und Recht Berlin und lehrt zum Thema Digitale Innovation in der öffentlichen Verwaltung. Er ist promovierter Information-Retrieval-Spezialist – also ausgewiesener Fachexperte eben jenes Bereichs, dem sich sein Gutachten widmet.
Im Interview mit netzpolitik.org spricht Zellhöfer über seine Motive für das Gutachten und wie es ihm nach der Ankündigung der Bundesdruckerei ergangen ist. Außerdem nimmt er Stellung zu neuen inhaltlichen Angaben, die die BDR gegenüber netzpolitik.org in einem neuen Statement gemacht hat.
David Zellhöfer – Alle Rechte vorbehalten pixelanddotphotography
„Ich wollte gar nicht, dass das Gutachten solch einen Wind macht“
netzpolitik.org: Vor zwei Wochen hatte die Bundesdruckerei angekündigt, möglicherweise rechtliche Schritte gegen dich einzuleiten. Wie ist es dir seither ergangen?
David Zellhöfer: Die Reaktion war für mich nicht nur als Wissenschaftler, sondern auch als Privatperson harter Tobak. Sie hat mich ziemlich eingeschüchtert. Umso mehr freue ich mich über die Unterstützung, die ich von vielen Seiten erfahren habe. Rückendeckung bekam zum Beispiel vom Hochschullehrerbund. Er fand die Reaktion der Bundesdruckerei bezüglich der Wissenschaftsfreiheit sehr problematisch. Kolleg*innen haben mir Hilfe angeboten für den Fall, dass ich mich rechtlich zur Wehr setzen muss.
Auf LinkedIn sprangen mir Geschäftsführer von Unternehmen aus dem öffentlichen Sektor zur Seite. Ich glaube, auch ein Referent des Nationalen Normenkontrollrats kritisierte die Reaktion der Bundesdruckerei. Und aus der Bundesverwaltung kamen bestärkende Rückmeldungen, auch von Menschen, die ich nicht kannte und die anonym bleiben wollen. Außerdem haben mir Mitarbeiter*innen aus verschiedenen Datenlaboren im persönlichen Gespräch meine Ergebnisse bestätigt.
Ich wollte gar nicht, dass das Gutachten solch einen Wind macht, aber so ist es halt jetzt.
Geheimsache Datenatlas
netzpolitik.org: Im Gutachten schreibst du, dass du dich bereits im Sommer an die Bundesdruckerei gewandt hast. Worum ging es dabei?
David Zellhöfer: Ich habe nach Informationen zum Datenatlas gefragt, die ich für meine Lehrveranstaltung nutzen wollte. Damals diskutierte ich mit Kolleg*innen bei der Bundesdruckerei über den Datenatlas. Meine Anfrage wurde dann aber plötzlich aus Sicherheitsgründen oder so ähnlich abgelehnt. Ich solle von weiteren Nachfragen absehen, hieß es, alle Informationen stünden ja in den Pressemitteilungen.
netzpolitik.org: Ist der Verweis auf Sicherheitsbedenken denn ungewöhnlich?
David Zellhöfer: Bei anderen Datenplattformen des Bundes kam ich immer direkt an Informationen, insofern ja. Außerdem stellte ich keine sicherheitskritischen Fragen. Ich wollte nur wissen, ob sie zum Beispiel Offene Software verwenden oder andere Komponenten. Das konnte ich selbst nicht ermitteln. Alle anderen Systeme der Verwaltung finde ich entweder auf GitHub oder auf openCode.de. Zum Datenatlas habe ich mit Ausnahme der Pressemitteilungen keine öffentlichen Informationen gefunden.
netzpolitik.org: Warum macht die Bundesdruckerei aus dem Datenatlas so ein Geheimnis?
David Zellhöfer: Das kann ich mir nicht erklären. Von verschiedenen Kolleg*innen aus der Bundesverwaltung, die viel mit Datenprozessierung zu tun haben, erfuhr ich, dass sich der Datenatlas nicht gut bedienen lässt. Sie fragten mich nach meiner Einschätzung und gewährten mir Einblick über Live-Demos. Außerdem habe ich Screenshots von der Nutzeroberfläche erhalten und ausgewertet.
Ich habe mich erkundigt, ob der Datenatlas einer Geheimhaltungsstufe unterliegt. Das ist nicht der Fall. Daher steht es prinzipiell jede*r Person in der Bundesverwaltung frei, mich in das System schauen zu lassen. Auch habe ich keinerlei Belehrungen erhalten, dass ich nichts darüber sagen darf.
„Nutzende können sich so gar nicht im Datenraum bewegen“
netzpolitik.org: Was ist deine Hauptkritik am Datenatlas?
David Zellhöfer: Meine Bewertung bezieht sich auf den Stand vom Juli dieses Jahres, als ich mir das Portal zuletzt anschauen konnte. Damals gab es nur die Möglichkeit einer gerichteten Suche, auch bekannt als „Known Item Search“. Damit kann ich nur Dokumente finden, von denen ich weiß, dass sie existieren. Für Expert*nnen kann diese Suchart sinnvoll sein, für Laien ist sie es eher nicht. Laut Pressemitteilungen will die Bundesdruckerei im Datenatlas künftig eine explorative Suche anbieten, die eine breitere Suche ermöglicht. Das entspräche dann auch dem aktuellen Stand der Technik.
Mich hat außerdem überrascht, dass die BDR etwas komplett Neues entwickeln wollte, statt zu schauen, was am Markt bereits verfügbar ist und gut funktioniert. Im Gutachten habe ich ausgeführt, dass es seit den frühen 1990er-Jahren Repository-Systeme gibt, die für den Datenatlas geeignet wären. Bei der Software-Entwicklung hätte sich die Bundesdruckerei einfach an GovData orientieren können, die bieten alle Features an.
Schließlich haben mich verschiedene Personen aus der Bundesverwaltung auf die Freitext-Problematik hingewiesen. Wenn Nutzer*innen einen Eintrag in die Datenbank vornehmen wollen, können sie in die entsprechenden Datenfelder beliebige Texte einfügen. Das versucht man üblicherweise zu verhindern.
netzpolitik.org: Was ist das Problem mit Freitext-Feldern?
David Zellhöfer: Um eine Auffindbarkeit von Dokumenten sicherzustellen, sollten sie, vereinfacht gesprochen, immer mit denselben Schlagwörtern belegt werden. Dementsprechend nutzt man hier kontrollierte Vokabulare, wie es sie im Bibliotheks- und Archivwesen seit mehr als 500 Jahren gibt.
Im Datenatlas hat man sich aber anscheinend dagegen entschieden. Das bringt Probleme mit sich, etwa bei Tippfehlern. Zum einen schränkt das die Datenqualität ein. Zum anderen erhalten Nutzende, wenn es nur eine gerichtete Suche gibt, unvollständige Trefferlisten. Sie können sich so gar nicht im Datenraum bewegen.
Darüber hinaus sind Suchanfragen im Datenatlas nur sehr eingeschränkt möglich, weil bestimmte Suchoperatoren wie zum Beispiel „UND“, „ODER“ oder „NICHT“ nicht anwendbar sind. Ich weiß aus verschiedenen Stellen der Bundesverwaltung, dass so etwas eigentlich gefordert war.
Uns fehlen dieses Jahr noch 232.290 Euro.
Bist Du auch Feuer und Flamme für Grundrechte? Dann unterstütze jetzt unsere Arbeit mit einer Spende.
Bist Du auch Feuer und Flamme für Grundrechte? Dann unterstütze jetzt unsere Arbeit mit einer Spende.
„Dass ich nur das Frontend begutachten konnte, stimmt nicht ganz“
netzpolitik.org: Uns liegt inzwischen eine weitere Stellungnahme der Bundesdruckerei vor. Demnach hast du nur das Frontend des Datenatlas begutachtet und kannst keine Aussagen zum gesamten System machen. Im Frontend liege eine „limitierte Suchfunktion“ vor, die außerdem „in Abstimmung mit dem Auftraggeber für eine Nutzergruppe ohne spezielle IT-Kenntnisse entwickelt“ und seit Juli „noch weiterentwickelt“ wurde. Wie bewertest du diese Behauptung?
David Zellhöfer: Dass ich nur das Frontend begutachten konnte, stimmt nicht ganz. Ein Kapitel im Gutachten stützt sich zwar auf die Screenshots. Abgesehen davon gehören zu meinen Datenquellen aber auch die Berichte von Mitarbeitenden der Datenlabore sowie anderen Personen, die während des Projektverlaufs mit der Softwarelösung zu tun hatten.
Dass die Bundesdruckerei die limitierte Suchfunktion für Laien eingerichtet hat, ist aus informationswissenschaftlicher Sicht nicht plausibel. Eine gerichtete Suche mit Schlagworten hilft Nutzenden nicht, wenn sie nicht auch den gesamten Dokumentkorpus kennen. Das belegen Studien seit den 1980er-Jahren. Für das Gros der Bevölkerung, zu dem auch die meisten Nutzenden der Bundesverwaltung zählen werden, ist eine solche Suche nicht machbar.
Wenn es stimmt, dass sie die Suchfunktion weiterentwickelt haben, freut mich das natürlich. Aber das kann ich derzeit nicht überprüfen.
netzpolitik.org: Die Bundesdruckerei schreibt weiter, dass du das Backend des Datenatlas „sowie die umfangreichen Programmierschnittstellen“ nicht auswerten konntest. Gerade die Schnittstellen seien „jedoch für versierte Nutzende und Data Scientists gedacht“.
David Zellhöfer: Die Programmierschnittstellen als Teil des Backends konnte ich mir bislang tatsächlich nicht anschauen. Das wurde mir verwehrt. Für das Gutachten ist das allerdings kaum ausschlaggebend. Denn ich konzentriere mich auf das Thema der Informationssuche. Dafür muss ich mir in erster Linie die Nutzeroberfläche anschauen. Ich gehe auch nicht davon aus, dass selbst „versierte Nutzende und Data Scientists“ auf Programmierungsebene mit dem System arbeiten werden.
Die Bundesdruckerei verwendet das Wort „Backend“ aber zudem nicht trennscharf. Denn offenbar meint sie damit auch jene Funktionalitäten, die Datenforschende nutzen können. Und hierzu kann ich in meinem Gutachten Aussagen treffen: konkret darüber, wie Nutzende Datensätze anlegen und wie sie Metadaten importieren.
„Das wirkt wie eine Diffamierung meiner Arbeit“
netzpolitik.org: Auch in ihrer neuen Stellungnahme stellt die BDR die wissenschaftliche Expertise deines Gutachten infrage. Demnach beruhe der Inhalt unseres Artikels „auf einem Papier, das sowohl fachlich, inhaltlich als auch von der Herangehensweise mehr als fragwürdig ist.“
David Zellhöfer: Immerhin setzen sie das Wort „Gutachten“ nicht mehr in Anführungsstriche. Das hatten sie in ihrer ersten Stellungnahme ja noch getan. Ich habe inzwischen ausführlich auf die Stellungnahme reagiert.
Die Aussage der BDR wirkt wie eine Diffamierung meiner Arbeit. Dieser Eindruck verstärkt sich, wenn sie an anderer Stelle schreibt, im Gutachten hätte ich „Vorwürfe und Meinungen“ geäußert. Eben das habe ich aber an keiner Stelle des Gutachtens getan. Sondern ich habe wissenschaftliche Methoden angewandt, die in jedem Einführungsband zum Thema Informationssuche zu finden sind.
Außerdem enthält das Gutachten mehrere Vorschläge, wie man den Datenatlas verbessern könnte. Alle im Gutachten getätigten Aussagen sind fachlich eingeordnet und anhand von Forschungsliteratur belegt. Und spätestens jetzt sollte die Bundesdruckerei den Datenatlas öffentlich zugänglich machen, damit er verbessert werden kann – bekannt ist er ja nun.
Tastatur-Verzögerung entlarvt nordkoreanischen IT-Maulwurf bei Amazon.com
close notice
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
.
IT-Fachkräfte aus Nordkorea schleichen sich unter falschen Identitäten bei westlichen Unternehmen ein. Durch Heimarbeit verschaffen sie der nordkoreanischen Regierung Einnahmen, bei Gelegenheit sammeln sie auch regimedienliche Daten. Amazon.com hat einen solchen Maulwurf ausgehoben. Verraten hat ihn die um einen Sekundenbruchteil langsameren Tastaturbedienung.
Weiterlesen nach der Anzeige
Der Datenkonzern hatte den Administrator-Job an einen Personaldienstleister ausgelagert. Dieser meinte, jemanden in Arizona eingestellt zu haben, und Amazon schickte ihre einen Laptop. Darauf installierte Sicherheitssoftware schlug Alarm: Die Laufzeit der zu Amazons Servern übertragenen Tastaturanschläge lag nicht im Bereich einiger Dutzend Millisekunden, sondern bei 110 Millisekunden.
Teil einer nordkoreanischen Laptopfarm in Arizona
(Bild: gemeinfrei)
Das hat Amazons Chief Security Officer Stephen Schmidt dem Nachrichtendienst Bloomberg erzählt. Die längere Verzögerung deutet darauf hin, dass der Benutzer nicht, wie behauptet, in Arizona sitzt, sondern weit weg. Amazon beobachtete die Arbeit des Verdächtigen für einige Tage, ließ sich dessen Stellenbewerbung kommen und ihn schließlich hinausschmeißen.
Denn die Adresse in Arizona entpuppte sich als Haushalt einer Frau, die den Laptop aufgestellt und mit dem Server des nordkoreanischen Maulwurfs verbunden hatte. Außerdem nahm sie die Gehaltszahlungen entgegen und leitete sie weiter. Das war kein Einzelfall: In einem US-Strafverfahren ist sie wegen Einschleusens nordkoreanischer IT-Fachkräften in mehr als 300 US-Unternehmen im Juli zu achteinhalb Jahren Haft verurteilt worden (USA v Christina Chapman, Az. 1:24-cr-00220) US-Bundesbezirksgericht für den District of Coumbia,
Immer mehr nordkoreanische Bewerbungen
„Wenn wir nicht nach nordkoreanischen Arbeitern gesucht hätten, hätten wir ihn nicht gefunden”, sagt Schmidt. Zugriff auf relevante Daten habe der Täter nicht gehabt. Seine Bewerbung habe Muster wiederholt, die schon bei anderen nordkoreanischen IT-Maulwürfen beobachtet wurden. Demnach haben sie Schwierigkeiten mit bestimmten Idiomen und Artikeln der englischen Sprache. Zudem gäben sie oft die gleichen ausländischen Bildungseinrichtungen und früheren Arbeitgeber an, die zu verifizieren für US-Unternehmen nicht simpel ist.
Amazon gibt an, schon eine vierstellige Zahl an Bewerbungen erhalten zu haben, die es als nordkoreanischen Betrugsversuch einstufen konnte. Dieses Jahr sei die Zahl sprunghaft gestiegen. In der direkt beschäftigten Belegschaft will Amazon noch keine heimlichen Nordkoreaner aufgedeckt haben. Im November haben sich in den USA fünf weitere Unterstützer Nordkoreas schuldig bekannt.
SPD-Politiker fordert Inhaltskontrolle auf allen Endgeräten
Der SPD-Politiker Sebastian Fiedler hat in einer Bundestagsdebatte zur Chatkontrolle am vergangenen Mittwoch gefordert: „Es darf kein Endgerät mehr auf dem europäischen Markt geben, das überhaupt in der Lage ist, kinderpornografisches Material anzuzeigen und zu verarbeiten.“ (Video)
Der Vorschlag würde eine extreme Form von Zensur und Inhaltskontrolle erfordern. Die Technologie und das Vorhaben wären noch weit eingriffsintensiver als die verpflichtende Chatkontrolle, die in Europa vier Jahre lang diskutiert wurde und nun vorerst vom Tisch ist. Zensurtechnologien auf Endgeräten, wie die von Fiedler vorgeschlagene Version, sind eher aus Ländern wie Nordkorea bekannt.
Der Innenpolitiker und Polizist Fiedler, der früher Vorsitzender des Bundes Deutscher Kriminalbeamter war, fordert diese Form der Überwachung und Informationskontrolle nicht zum ersten Mal. Schon im Jahr 2024 hatte er seinen Vorschlag im Rahmen der Chatkontrolle-Debatte ins Spiel gebracht. Damals behauptete er im Interview mit WDR5, dass eine technische Umsetzung des Vorschlags möglich sei.
Wir hatten schon damals nachgefragt, wie dies funktionieren soll – und bedauerlicherweise keine Antwort von Herrn Fiedler erhalten.
Neue Fragen bleiben ebenfalls unbeantwortet
Weil er nun erneut diesen Vorschlag ins Rennen schickt, haben wir wieder nachgefragt. Wir wollten wir unter anderem wissen, wie die Technologie funktionieren soll, ohne dass es zu einer anlasslosen Komplettüberwachung aller digitalen Inhalte auf sämtlichen Endgeräten kommt.
Außerdem wollten wir von Herrn Fiedler wissen, ob ihm eine Technologie bekannt ist, die das leistet.
Und wir wollten wissen, wie Herr Fiedler ausschließen möchte, dass die Technologie in autoritären Ländern oder in Deutschland unter einer AfD-Regierung dazu genutzt wird, um unliebsame politische Inhalte zu sperren.
Auch dieses Mal hat Herr Fiedler auf die Presseanfrage von netzpolitik.org nicht reagiert.
It was translated with technical assistance and editorially reviewed before publication.
.
Eine Sicherheitslücke im schlanken SSH-Server Dropbear ermöglicht Angreifern, ihre Rechte im System auszuweiten. Aktualisierte Softwarepakete schließen die Sicherheitslücke.
Weiterlesen nach der Anzeige
Dropbear kommt aufgrund seiner geringen Größe oftmals auf Single-Board-Computersystemen und Routern zum Einsatz, etwa in OpenWRT. Jetzt haben die Entwickler die Dropbear-Version 2025.89 veröffentlicht und schreiben in der Ankündigung, dass bei älteren Fassungen bis einschließlich Dropbear 2024.84 Angreifer beliebige Programme im System als „root“ starten können, sofern sie eine Sicherheitslücke in Dropbear ausnutzen.
Temporäre Gegenmaßnahme
Ursache des Sicherheitslecks ist die Weiterleitung von Unix-Sockets. Andere Programme auf dem System können Unix-Sockets mittels SO_PEERCRED authentifizieren, was bei von Dropbear weitergeleiteten Verbindungen der User „root“ ist, was die Ausweitung der eigenen Rechte ermöglicht, führen die Dropbear-Programmierer aus (CVE-2025-14282, CVSS 9.8, Risiko „kritisch“).
Wer noch nicht aktualisieren kann, kann sich damit behelfen, den Zugriff auf Unix-Socket-Forwarding zu unterbinden. Das erledigt der Aufruf mit Kommandozeilenparameter dropbear -j – das deaktiviert jedoch zugleich auch TCP-Forwarding. Wer Dropbear aus den Quellen selbst baut, kann auch in den Header-Dateien „localoptions.h“ sowie „distrooptions.h“ einen Define passend setzen: „#define DROPBEAR_SVR_LOCALSTREAMFWD 0“ sorgt dafür, dass die anfällige Funktion nicht ausgeführt wird. Die vollständige Korrektur benötigt jedoch weiterreichende Änderungen.
„Die Weiterleitung von Unix-Sockets ist jetzt deaktiviert, wenn erzwungene Befehlsoptionen verwendet werden, da sie Befehlsbeschränkungen umgehen könnten“, erklären die Dropbear-Entwickler. Das stehe nicht direkt mit der Rechteausweitung in Verbindung, aber könnte die Ausführung beliebiger Befehle als korrekter User erlauben.
Die Risikoeinstufung als „kritisch“ der Schwachstelle stammt vom CERT-Bund. Wer Dropbear als SSH-Server einsetzt, sollte nach aktualisierten Paketen Ausschau halten und diese zeitnah installieren. Sofern das noch nicht möglich ist, hilft der vorgeschlagene Workaround, die eigene Installation abzusichern.