Bundeswehr-Abhörskandal: Wie sicher ist Webex?
Eine Webex-Onlinekonferenz unter Bundeswehr-Führungsoffizieren wurde offenbar von Russland mitgeschnitten. Wie konnte das passieren? Waren die Beteiligten zu sorglos oder gab es ein technisches Sicherheitsleck?
Foto: panthermedia.net/ lightsource
Dass es möglich war, ein derart vertrauliches Gespräch auszuspähen, ist politisch ein Skandal und wirft gleichzeitig die Frage auf, wie sicher das genutzte Onlinekonferenzmedium eigentlich ist. Wurde der passende Kanal für derartige Meetings gewählt und gibt es vielleicht alternative Möglichkeiten, die ein höheres Sicherheitslevel garantieren?
Bundeswehr-Gespräch: Viele Fragen – kaum Antworten
Das Bundesverteidigungsministerium hält sich derzeit mit Details zu dem Abhörskandal noch bedeckt. Daher gibt es nur Spekulationen, ob sich ein Spion aus Russland einfach in die Konferenz eingewählt hat und quasi als stummer Teilnehmer alles aufgezeichnet hat oder ob durch technische Mittel die Konferenz von außen „gehackt“ wurde, was Fragen rund um den technischen Sicherheitsaspekt der gewählten Lösung aufwirft.
Lesen Sie auch: DIN – Erste Sicherheitsanforderungen für Videokonferenzen
Bereits am Freitag war der besagte Audiomitschnitt einer Besprechung des Luftwaffen-Inspekteurs mit drei weiteren Offizieren in russischen Chat-Kanälen aufgetaucht. Die Besprechung fand nach den daraus gewonnenen Informationen am 19. Februar über die Videokonferenzlösung Webex statt. Thema war der mögliche Einsatz deutscher Taurus-Waffensysteme in der Ukraine. Das Verteidigungsministerium bestätigte zwar, dass das Gespräch abgehört wurde, konnte jedoch nicht bestätigen, ob der Inhalt unverändert ist.
Social Engineering im Spiel?
Sicher ist, dass Informationen in die Öffentlichkeit geraten sind. Falls sich tatsächlich ein Spion unbemerkt einwählen konnte, könnte das Problem bei den Nutzern selbst liegen. Sie könnten zu sorglos mit den Einwahldaten umgegangen und sie weitergegeben haben.
Lesetipp: US-Anbieter von Zoom und Teams unter Druck
Es wäre allerdings auch möglich, dass einem unter falscher Flagge agierenden Spion Russlands freiwillig Zutritt gewährt wurde. Das wäre dann das in der IT-Sicherheitsbrache oft angemahnte Problem des Social Engineering. Dabei unterwandern Hacker und Cyberkriminelle Unternehmen und Organisation, um dort von Personen vertrauliche Informationen zu erhalten. Falls Social Engineering beim aktuellen Fall eine Rolle spielen sollte, müsste die Bundeswehr dringend gezielt schulen und aufklären.
Bundeswehr-Hack: Wie sicher ist das System?
Möglich ist es allerdings auch, dass sich Unbefugte via Hacking Zuritt zu der Besprechung verschafft haben. Das würde unmittelbar Fragen rund um die Sicherheit der eingesetzten Lösung aufwerfen. Auf der Seite der Anwender muss auf jeden Fall sichergestellt werden, dass alle Daten, die über die Cisco-Videokonferenzlösung Webex übertragen werden, verschlüsselt sind. Die Anwendung selbst bietet eine End-2-End-Verschlüsselung an. Wenn zusätzlich die Verbindungen zwischen den Teilnehmenden zum Konferenz-Server über ein VPN (Virtual Private Network) laufen, gewährleistet das bereits einen sehr hohen Sicherheitsstandard. Prinzipiell sind selbst diese Standards durch versierte Cyberkriminelle noch zu knacken. Das kostet Zeit und Aufwand, ist jedoch nicht unmöglich.
Lesetipp: Big-Brother-Award für Zoom
Daher ist das Szenario in einem Kommentar einer Sprecherin des Verteidigungsministeriums gegenüber der Bild am Sonntag (3. März 2024) eher wahrscheinlich: „Es gibt Anhaltspunkte, dass mit Blick auf die offensichtlich besprochenen Inhalte ein nicht ausreichend sicheres Kommunikationsmittel verwendet wurde. Dies ist unter anderem Gegenstand der weiteren Untersuchungen.“
