Sicherheitslücke: AD-Instanz von NRWs Schulministerium ungesichert im Netz

Im Zuge der Untersuchung der Technikprobleme beim Abitur in NRW fanden Hacker auch einen ungeschützten Server mit Tausenden Nutzerdaten.

Artikel veröffentlicht am 25. April 2023, 9:57 Uhr, Sebastian Grüner

Ungeschützter Zugang in NRW (Bild: Kno-Biesdorf/Wikimedia/CC-BY-SA 4.0)

Auf einem Testserver der Qualitäts- und Unterstützungsagentur – Landesinstitut für Schule NRW (QUA-LiS NRW) ist in der vergangenen Woche im Zuge der Untersuchungen der technischen Probleme rund um das Zentralabitur auch eine komplett ungeschützte Active-Directory-Instanz gefunden worden. Das Schulministerium NRW bestätigt prinzipiell die Lücke, nennt dazu aber keine weiteren technischen Details.

Entdeckt wurde der ungeschützte Server mit wohl Tausenden Nutzerdaten durch die Hacker Lilith Wittmann und Fluepke. Bei einigen der so auffindbaren Zugangsdaten wäre demnach auch eine Account-Übernahme möglich gewesen, da die Domains der genutzten E-Mail-Adressen teils nicht mehr registriert waren.

Zur Funktion des Servers schreibt das Ministerium: "Hier haben Schulen über einen Testserver ganzjährig die Möglichkeit, Downloadfunktionalitäten auszuprobieren, um mit Testdokumenten die Funktionsfähigkeit insbesondere schulischer Hard- und Software zu testen. Die Lehrkräfte können jederzeit darauf zugreifen. Zu diesem Zweck erhalten die Nutzerinnen und Nutzer gleichlautende Nutzernamen und Passwort."

Laut den Angaben von Wittmann und Fluepke waren auf dem ungeschützten Server mehr als 16.000 Datensätze aus E-Mails, Nutzernamen und teilweise der genauen Berufsbezeichnung einsehbar. Das Schulministerium selbst spricht jedoch nur von 500 Nutzerdaten. Wittmann zeigte auf Twitter einen Screenshot der Software PHP LDAP Admin, die auf dem besagten Testserver lief. Fluepke schrieb dazu: "Nur weil euch euer Phpldapadmin nur 500 Accounts anzeigt, heißt das nicht, dass da nur 500 Accounts betroffen sind." Server wie Openldap haben für die Rückgabe auf LDAP-Suchanfragen ein standardmäßiges Limit von 500 Einträgen.

Auf Twitter heißt es weiter, Fluepke habe dem Certbund insgesamt 3.765 Datensätze gemeldet, die frei zugänglich gewesen seien. In einer der Gruppen seien aber 16.557 Mitglieder eingetragen gewesen. Das Schulministerium schreibt stattdessen wohl verfälschend, dass die Lücke "durch für IT-Sicherheit zuständige Behörden" entdeckt worden sei. Einig sind sich Fluepke und Schulministerium allerdings darin, dass trotz der ungeschützten Daten im Netz die sichere Durchführung des Abiturs nicht gefährdet gewesen sei.