Injectionmöglichkeit in Regierungsseite - was tun?

[dkb]

Hallo zusammen,
bevor der Titel möglicherweise gewisse User irritiert:
Nein, ich plane keinesfalls einen Angriff auf eine Regierungsseite!
Im vollkommenen Gegenteil. Ich habe eine ungesicherte Variable entdeckt,
die auf die bekannte und gefährliche Möglichkeit einer
SQL Injection hinweist. Ich habe auch einige kleine Versuche durchgeführt wollte und werde aber unter keinen Umständen weiter darin eindringen.
Momentan arbeite ich für 2 "kleine" Unternehmen und helfe bei der Beseitigung von Sicherheitslücken, da bei den beiden die Scripts sehr veraltet sind.
Bei beiden fing die Geschichte gleich an, ich suchte nach kleinen Lücken (erst eine) und meldete diese.
Anschließend fragte ich nach der Erlaubnis weiterzusuchen und bekam diese auch.
Ich versprach aber immer (auch im neuen Fall), dass ich jegliches Wissen für mich behalte
und unter keinen Umständen an Dritte "Interessierte" weitere Infos vergebe.
Dass aber nun eine Regierungsseite solche
Lücken aufweist schockt mich schon. Wie würdet ihr als Webmaster reagieren, wenn jemand euch auf solche Lücken hinweist? Ich habe eine Email geschrieben, in der ich nach einer Email der Technikabteilung gefragt habe. Nun mache ich mir Sorgen, dass man meine Anfrage u.U. falsch versteht und mich eines Angriffs verdächtigt. Sollte man Sicherheitslücken melden oder ist das schon illegal wenn man sozusagen nur über das Wissen verfügt, dass eine existiert? Ich habe mich im Internet etwas erkundigt, da ich aber gesehen habe, dass hier viele Webmaster unterwegs sind, würde ich gerne nach eurer Meinung fragen. Zwar ist das für die Webmaster hilfreich aber andererseits kanns auch störend sein, wenn man erfährt, dass ein Nutzer ausserhalb seines vorgesehenen Bereiches arbeitet. Ich danke für jegliche Antworten!

 

[Chromatin]

Wenn ich mal 50% von dem ganzen abziehe so ist es die ewige Litanei.

Wenn Du eine Sicherheitslücke "findest" und der Meinung bist du müsstest sie mitteilen, dann kannst du das entsprechend tun. Nach der Email Adresse eines Technikers zu fragen ist dabei etwas albern. Im zweifel rufst einfach beim BSI an und erkundigst dich bei denen, wer die richtige Adresse ist.

Sollte man Sicherheitslücken melden oder ist das schon illegal wenn man sozusagen nur über das Wissen verfügt, dass eine existiert?

Noch nicht

Aber als Mitarbeiter für Sicherheitsfirmen solltest Du wenigstens 10% der Rechtsgrundlagen in diesem Bereich mal draufhaben...

 

[SchwarzeBeere]

Wenn Du eine Sicherheitslücke "findest"...

Fakt ist: Das Prüfen einer Website auf Sicherheitslücken ohne Erlaubnis des Betreibers könnte als Angriff interpretiert werden, da sich deine Intention nicht zweifelsfrei feststellen lässt. Aus rechtlicher Sicht muss dies auch vorerst als Angriff gewertet werden, gerade, wenn die Lücke durch "einige kleine Versuche" noch weiter untersucht wurde.

Andererseits ist dein Verhalten aus Sicht vieler Menschen - und interessanterweise insbesondere von Unternehmen, die sich einen feuchten Scheiss um ihre Sicherheit kümmern - nicht verwerflich, ja eigentlich sogar wünschenswert. In Fachkreisen liesst man diesbezüglich auch oft den Begriff "Robin Hood" um das zwiespältige Verhältnis zwischen Gesetzesbruch und guten Intentionen darzulegen.

Nun gibt es aber ein paar Punkte, die in dieser Diskussion oft unter den Tisch fallen:
1. Unternehmen, die dich davon kommen lassen oder direkt anstellen wollen, sind, wie bereits angedeutet, nicht an IT Sicherheit interessiert - und sollten daher auch derart behandelt werden. Solange es keine rechtlichen Konsequenzen gibt, bleibt der Markt der einzige Regulierungsmechanismus. Daher sollten Gehälter und Preise immer auf Marktniveau gezahlt werden und niemals darunter.
2. Diese Denkweise ist jedoch nicht weit verbreitet, weswegen durch die vielen selbsternannten Hacker ein Preisverfall der Arbeit stattfindet, da die Arbeit von Amateuren für lau oder gegen einen viel zu niedrigen Preis gemacht wird. Oft stehen dahinter jedoch Amateure, deren Arbeit sich nicht an Best Practices orientiert. Damit schaden sie dem Berufsstand und letzten Endes auch dem Unternehmen selbst - was das Unternehmen aber meist erst versteht, wenn die Spielerei den Server abgeschossen hat.
3. Dann stellt sich zum ersten Mal die Frage nach der Verantwortung: Wer trägt den Schaden? Das Management? Ha! Jeder Unternehmer und jede Unternehmerin, die dir das erzählt, lügt.

Dadurch entsteht die paradoxe Situation, dass das Sicherheitsbewusstsein der Sicherheit schadet, denn durch den Preisverfall werden nur noch Amateure angestellt, die aber vielleicht garnicht an der Sicherheit des Unternehmen interessiert sind, als vielmehr an ihrem eigenen Spieltrieb. Die logische Konsequenz aus Sicht der IT Sicherheit wäre - zugegeben aus Eigennutz und -schutz - eine Klage des Unternehmens gegen den- oder diejenige, die den Bug gemeldet hat. Dies entspricht üblicherweise leider nicht der Sicht der Unternehmensleitung - einer der Hauptgründe für ein richtiges IT Sicherheitsgesetz, das mittels Sanktionen Unternehmen zwingen würde, gegen Amateure vorzugehen und damit gleichzeitig die Professionalisierung der IT Sicherheit vorantreiben würde.

Dummerweise ist das heute noch nicht normal und Amateure werden noch zu sehr durch o.g. Begriffe wie "Robin Hood" zu ihren Taten ermuntert, ohne sich der Auswirkungen auf die gesamte Sicherheitsbranche bewusst zu sein.