Nach Mailserver-Hack: Karlsruher Hochschule lädt CCCs Constanze Kurz aus

Wegen eines Hacks auf den Mailserver der Hochschule Karlsruhe für Technik und Wirtschaft ist CCC-Sprecherin Constanze Kurz als Vortragende ausgeladen worden. Sie sollte bei der Langen Nacht der Mathematik einen Vortrag über Verschlüsselung halten.

Artikel veröffentlicht am 14. Februar 2014, 16:58 Uhr, Jörg Thoma

Der Eingangsbereich der Hochschule Karlsruhe für Technik und Wirtschaft (Bild: Voskos, GNU Free Documentation License)

Unbekannte sind Ende 2013 in den Mailserver der Hochschule Karlsruhe für Technik und Wirtschaft eingedrungen. Der Ursprung des Hacks war der 30C3, der jährliche Kongress des Chaos Computer Club in Hamburg. Jetzt hat die Hochschule CCC-Sprecherin Constanze Kurz aufgrund des "aktuellen Vorgangs" von der Langen Nacht der Mathematik ausgeladen.

Kurz sollte auf der Veranstaltung einen Vortrag über die "Kryptographie nach Snowden" halten. "Da die Hochschule ihre Fürsorgepflicht gegenüber den durch die unbeabsichtigte Preisgabe persönlicher Informationen oder falsche Eindrücke geschädigten Empfängern wahrnehmen muss und Vorträge von Vertretern des Chaos Computer Clubs während der Langen Nacht der Mathematik von der Hochschulöffentlichkeit als unpassend empfunden werden könnten, hat der Senat der Hochschule Karlsruhe nahezu einstimmig beschlossen, dass die Einladung an Sie bis zur endgültigen Klärung des Sachverhalts nicht aufrechterhalten werden soll," heißt es in einem Schreiben der Leiterin der Personalabteilung, Iris Gibbert, an Kurz.

Gefälschte E-Mails verschickt

Unbekannte hatten über eine bereits lange bekannte Sicherheitslücke der Mailserver der Hochschule über 20.000 falsche Liebesbotschaften verschickt, die offenbar mehrfach zu peinlichen Situationen führten. Einige nahmen die Nachrichten ernst und schickten wohl teils intime Mails an die echten Absender der gefälschten E-Mails zurück. Es sei zu "sehr unangenehmen Auswirkungen für Mitglieder der Professorenschaft" gekommen, "denen Flirtabsichten mit Studierenden unterstellt wurde," heißt es in der Absage an Kurz.

Die Hochschule reagierte mit einer Strafanzeige. Das Kommissariat für Cyberkriminalität habe entsprechende Ermittlungen aufgenommen. Die Polizei habe der Hochschule mitgeteilt, dass der CCC nicht in der Lage oder nicht imstande sei, die Identität des Täters zu nennen, obwohl das Netz vom CCC bereitgestellt worden war, schreibt die Hochschule.

Bereits bekannte Sicherheitslücke

Der Hack war möglich, weil der Mailserver der Hochschule für E-Mails an die Domain hs-karlsruhe.de kein Smtp-Auth benötigte. Diese Lücke war seit längerem bekannt. Solange im Absender eine gültige E-Mail-Adresse stand, konnten E-Mails auch von außerhalb der Hochschule ohne Authentifizierung verschickt werden. Die Server der Hochschule sind teilweise offen. So konnten die Hacker einfach eine entsprechende Absenderliste erstellen. Wenige Stunden später verschickten die Hacker eine weitere E-Mail, in dem sie über ihren "lustig gemeinten Scherz" aufklärten. Bis dahin hatten sich einige der Empfänger über die erste E-Mail wohl bereits in anderen sozialen Medien wie Facebook oder Google+ ausgetauscht. Sie hätten auf die unsichere Infrastruktur der Hochschule hinweisen wollen, schreiben die Hacker in der zweiten E-Mail, mit "Grüßen vom Congress". Inzwischen wird eine neue E-Mail-Infrastruktur an der Hochschule aufgebaut.

"Der Schutz der Persönlichkeitsrechte und die Wahrung der Informationstechnologischen Selbstbestimmung entsprechen doch sicherlich auch Ihren Zielsetzungen," schreibt Gibbert abschließend in ihrer Absage an Kurz.