Innenministerium: Bundesbehörden nutzen Produkte von Solarwinds

Etliche Behörden nutzten und nutzen Software von Solarwinds. Zu Verfassungsschutz und BND möchte sich das Innenministerium jedoch nicht äußern.

Artikel veröffentlicht am 7. Januar 2021, 14:12 Uhr, Moritz Tremmel

Nutzt auch der Bundesadler Software von Solarwinds? (Bild: InstagramFOTOGRAFIN/Pixabay)

Auf eine schriftliche Anfrage des Bundestagsabgeordneten Manuel Höferlin (FDP) erklärte das Innenministerium, dass mehrere Bundesbehörden auf Software von Solarwinds zurückgreifen oder diese in der Vergangenheit genutzt haben. Darunter sind das Bundesministerium für Verkehr und digitale Infrastruktur sowie das Bundeskriminalamt (BKA), das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der IT-Dienstleister des Bundes (ITZ Bund).

18.000 Unternehmen, Behörden und Organisationen sind weltweit potenziell mit einer trojanisierten Version der IT-Managementsoftware Orion von Solarwinds befallen. Nach derzeitigem Kenntnisstand habe es über das Sunburst genannte Schadprogramm keine Zugriffe auf Systeme der Bundesverwaltung gegeben, teilte die Bundesregierung in der Antwort auf die Anfrage von Höferlin mit. Gleiches hatte sie bereits in einer früheren Antwort auf eine Anfrage vom 21. Dezember mitgeteilt, die von der Bundestagsabgeordneten Canan Bayram (Grüne) gestellt wurde.

Laut der Antwort auf die Anfrage von Höferlin ist eine abschließende Beantwortung zum Einsatz von Solarwinds-Software noch nicht möglich. Zu einem Einsatz der Software bei den Geheimdiensten BND und Verfassungsschutz will sich die Bundesregierung jedoch nicht äußern. "Die Offenlegung könnte Rückschlüsse auf nachrichtendienstliche Methoden und deren Anwendungen erlauben", erklärt das Innenministerium seine Intransparenz. Folgende Behörden nutzten derlei Software jedoch nutzen oder hätten sie genutzt:

• Bundesministerium für Verkehr und digitale Infrastruktur
• Bundesamt für Familie und zivilgesellschaftliche Aufgaben
• Bundesamt für Güterverkehr
• Bundesamt für Kartographie und Geodäsie
• Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Bundesanstalt für Materialforschung und -prüfung
• Bundesanstalt Technisches Hilfswerk (THW)
• Bundeskriminalamt (BKA)
• Bundessozialgericht
• Deutsches Patent- und Markenamt
• Informationstechnikzentrum Bund (ITZ Bund)
• Physikalisch-Technische Bundesanstalt
• Robert Koch-Institut (RKI)
• Kraftfahrt-Bundesamt
• Wasserstraßen- und Schifffahrtsverwaltung des Bundes
• Wehrtechnische Dienststelle 61 (WTD 61)

In der Antwort auf die schriftliche Anfrage des Bundestagsabgeordneten führt das Innenministerium aus, dass es sich um rechercheintensive Fragen handle, die im vorgegebenen Zeitraum von einer Woche nicht vollumfänglich zu beantworten seien. Das kritisierte Höferlin mit deutlichen Worten: "Statt sich um die Integrität der eigenen Systeme und die Auswirkungen auf die IT-Sicherheit in ganz Deutschland zu sorgen, beschwert sie sich sogar noch über den Rechercheaufwand zu meiner Anfrage." Bis zu seiner Anfrage vom 18. Dezember habe die Bundesregierung noch nicht einmal den Schaden begutachtet. Bis heute habe sie noch nicht die leiseste Ahnung, wo und in welchem Ausmaß die deutsche IT-Sicherheit betroffen sei, erklärte Höferlin.

Zudem kritisierte der Abgeordnete den Entwurf des aktuellen IT-Sicherheitsgesetzes 2.0. Dort müsse ein Verfahren zur Offenlegung von Sicherheitslücken aufgenommen werden. "Sicherheit im digitalen Raum lässt sich nur mit einer koordinierten Abwehrstrategie herstellen, nicht mit dem Zurückhalten von Sicherheitslücken für den staatlichen Einsatz", betonte Höferlin. Dafür müsse das BSI endlich aus dem Einflussbereich der Sicherheitsbehörden und dem Innenministerium herausgelöst und einem dringend erforderlichen Digitalministerium zugeordnet werden.

Nachtrag vom 7. Januar 2021, 15:10 Uhr

"Nach Kenntnis der Bundesregierung liegt die Anzahl der Behörden und Unternehmen, die das betroffene Produkt Solarwinds Orion einsetzten, im unteren zweistelligen Bereich", erklärte Marek Wede, Sprecher des Bundesinnenministeriums, auf Anfrage von Golem.de. "Das BSI hat die Betroffenen unverzüglich gewarnt und Hilfestellung angeboten, so dass diese sehr schnell Gegenmaßnahmen einleiten konnten." Das Monitoring der IT des Bundes sei unverzüglich erhöht und mit Indikatoren des Angriffs versehen worden. Mit den wenigen betroffenen Behörden stehe das BSI in einem engen Austausch und unterstütze bis heute die erforderlichen forensischen Analysen.

"Nach allem, was wir derzeit wissen, wurde die Sicherheitslücke in Solarwinds Orion zum Glück bei keinem der deutschen Betroffenen ausgenutzt", sagt Wede. "Da die Betroffenen zwischenzeitlich entweder ein Softwareupdate eingespielt oder die Software deaktiviert haben, gehen wir davon aus, dass eine verbleibende Gefährdung durch die Sicherheitslücke in Solarwinds Orion gering ist."