Datenleak: Bundestagsabgeordnete sind Zwei-Faktor-Muffel

Weil Politiker die Zwei-Faktor-Authentifizierung ihrer Accounts bislang meiden, prüft Facebook nun eine Pflicht bei den Europawahlen. Die Bundesregierung erwägt inzwischen eine eingeschränkte Meldepflicht für Sicherheitslücken.

Artikel veröffentlicht am 15. Januar 2019, 11:58 Uhr, Friedhelm Greis

Nur die wenigsten Abgeordneten sichern ihre Facebook-Zugänge doppelt ab. (Bild: Fabrizio Bensch/Reuters)

Nur die wenigsten Bundestagsabgeordneten sichern ihren Facebook-Zugang mit einem zusätzlichen Sicherheitsfaktor ab. Das sagte nach Angaben der Abgeordneten Anke Domscheit-Berg (parteilos) ein Facebook-Vertreter in einer Sitzung des Ausschusses Digitale Agenda am Montag in Berlin. Obwohl das Unternehmen vor der Bundestagswahl 2017 allen Kandidatinnen und Kandidaten persönlich eine Zwei-Faktor-Authentifizierung empfohlen habe, hätten nur 2,1 Prozent davon Gebrauch gemacht. "Das ist erschütternd wenig", sagte Domscheit-Berg (Video). Ein inzwischen identifizierter Hacker hatte im Dezember 2018 umfangreiche persönliche Daten von Politikern ins Netz gestellt, darunter private Chatprotokolle von Facebook-Konten.

Dass die Abgeordneten trotz entsprechender Warnungen und Empfehlungen keine Zwei-Faktor-Authentifizierung (2FA) nutzen, dürfte vor allem praktische Gründe haben. Da die Zugänge zu den sozialen Medien wie Facebook oder Twitter in der Regel von mehreren Mitarbeitern der Büros genutzt werden, ist das Login mit einem zweiten Faktor wie einem SMS-Code meist unpraktikabel.

GMX plant 2FA im zweiten Quartal

Nach Informationen von Golem.de sagten sämtliche Vertreter der Internetplattformen, dass nur ein Bruchteil der Nutzer eine 2FA aktiviert habe. Dennoch werde eine Ausweitung des Angebots nach dem Datenleak geprüft. So wolle Facebook die Einführung einer verpflichtenden Zwei-Faktor-Authentifizierung für Kandidaten zur Europawahl 2019 prüfen. Twitter wolle ebenfalls versuchen, diesen kaum genutzten Service populärer zu machen. United Internet habe angekündigt, für Dienste wie GMX oder Web.de im zweiten Quartal eine 2FA anzubieten. Allerdings ist dann der Zugriff auf die E-Mails via Imap oder Pop3 nicht mehr möglich.

Nach Angaben von Domscheit-Berg räumten die Dienste zudem ein, bis auf die Länge eines Passworts keine weiteren Vorgaben zur Nutzung sicherer Passwörter zu machen. "Dann kommt leider so etwas dabei raus, wie wir in den Listen der häufigsten Passwörter lesen können: nämlich die Passwörter '1234565' oder das Passwort 'Passwort'", sagte die Abgeordnete. Es sei von den Unternehmen "extrem verantwortungslos", solche einfach zu knackenden Passwörter überhaupt zu ermöglichen. Solange es keine verpflichtenden Vorgaben gebe, sollten Nutzer von sich aus bessere Passwörter verwenden.

Eingeschränkte Meldepflicht

Laut Domscheit-Berg bestätigte Abteilungsleiter Andreas Könen vom Bundesinnenministerium, dass eine Meldepflicht für Sicherheitslücken im geplanten IT-Sicherheitsgesetz 2.0 geprüft werde. Auf Nachfrage habe Könen jedoch eingeräumt, dass diese Meldepflicht für Geheimdienste nur eingeschränkt gelten solle. "Es wird ein Prozess offensichtlich ausgearbeitet, analog zu dem, was man in den USA macht, wo bei den gefährlichsten Sicherheitslücken, den Zero-Day-Exploits, genau überlegt wird, wo ist der potenzielle Schaden so groß, dass man es lieber doch der Öffentlichkeit mitteilt", sagte Domscheit-Berg. Falls nicht, könne man sich "diese süße, kleine Sicherheitslücke vielleicht doch in eine Schublade legen und noch ein bisschen selbst benutzen". Selbst eine eingeschränkte Meldepflicht sei jedoch "mehr, als wir im Moment haben".

Nachtrag vom 15. Januar 2019, 14:42 Uhr

Ein Sprecher von GMX und Web.de sagte auf Anfrage von Golem.de, dass die geplante Zwei-Faktor-Authentifizierung mit POP3 und Imap kompatibel sein werde. Es werde eine Lösung angestrebt, die jeder Kunde nutzen könne. Technische Details wollte der Sprecher jedoch nicht erläutern. Diese sollen in den kommenden Monaten vorgestellt werden.