Ministerin Feller: Wir ziehen weitere Konsequenzen aus neu entdeckten Schwachstellen

Das mit der Analyse der IT-Infrastruktur der QUA-LiS in Soest beauftragte externe IT-Expertenteam hat dem Ministerium für Schule und Bildung am Wochenende erste vorläufige Ergebnisse übermittelt. Danach sind bei der QUA-LiS weitere Schwachstellen in der IT-Infrastruktur entdeckt und unmittelbar geschlossen worden. Da zum gegenwärtigen Zeitpunkt nicht ausgeschlossen werden kann, dass es weitere Schwachstellen gibt, hat Schul- und Bildungsministerin Dorothee Feller entschieden, den Server abzuschalten, auf dem sich derzeit mehrere Schwachstellen kumuliert haben: „Aufgrund der Aufdeckung weiterer Schwachstellen haben wir entschieden, den betreffenden Server aus Sicherheitsgründen zunächst bis auf Weiteres vom Netz zu nehmen. Wir müssen nach aktuellen Kenntnisstand davon ausgehen, dass diese Schwachstellen schon seit Jahren bestehen.“

Der nun abgestellte Server der QUA-LiS wird von den Mitarbeiterinnen und Mitarbeitern sowie von Arbeitsgruppen der QUA-LiS als gemeinsame Arbeitsplattform unter anderem für den Austausch von und die gemeinsame Arbeit an Dokumenten genutzt. Das betrifft zum Beispiel die Lehrplanarbeit oder den Bereich der Fortbildung. Es wird jetzt mit Hochdruck an einer sicheren Ersatzlösung gearbeitet. Da das externe IT-Expertenteam die gesamte IT-Struktur der QUA-LiS überprüfen soll, ist nicht ausgeschlossen, dass weitere Schwachstellen gefunden werden.

Neben der weiteren Schwachstellenanalyse hat das externe IT-Expertenteam bereits mit der Forensik der bekannten Schwachstelle begonnen und am Wochenende erstmals bestätigt, dass nach bisherigen Erkenntnissen davon auszugehen ist, dass mindestens 16.557 Datensätze ausgelesen wurden, die im Regelfall ausschließlich einen Nutzernamen aus einer Kombination aus Vor- und Zunamen enthalten. Weiter ist nach bisherigen Erkenntnissen davon auszugehen, dass mindestens 3.765 Datensätze mit weitergehenden personenbezogenen Daten ausgelesen wurden. Diese Einträge konnten über den Nutzernamen hinaus folgende Informationen enthalten:

• organisatorische Rolle im Schulsystem (z.B. „stellvertretende Leitung“)
• Institutionszugehörigkeit (z.B. Name der Schule)
• Postalische Adresse
• Dienstliche oder private Festnetz- oder Mobilfunknummer
• Dienstliche oder private E-Mail-Adresse
• weitere technische Daten (z.B. Erstellungsdatum des jeweiligen Nutzeraccounts)

Nicht alle Datensätze enthalten alle Angaben. Die Datensätze beziehen sich aller Voraussicht nach auf Mitarbeiterinnen und Mitarbeiter der QUA-LiS sowie auf weitere externe Personen. In der Regel handelt es sich dabei um Lehrkräfte, die in Arbeitsgruppen der QUA-LiS tätig waren. Dass weitere Datensätze einsehbar waren und weitere Personengruppen betroffen waren, ist zum gegenwärtigen Zeitpunkt unwahrscheinlich, aber auch nicht vollständig auszuschließen. Aufgrund der langen Dauer der Schwachstellen von möglichen mehreren Jahren kann es durchaus sein, dass sich die genaue Datenmenge nicht mehr zuverlässig ermitteln lässt. Zugehörige Kennwörter konnten nach gegenwärtigen Kenntnisstand nicht ausgelesen werden. Die Datenanalyse wird weiter fortgesetzt.

Abschließend erklärte Schul- und Bildungsministerin Dorothee Feller: „Wir werden alle Untersuchungen weiter mit Hochdruck vorantreiben, um den Missbrauch von Daten zu verhindern.“