IfG.CC -
Institute for eGovernment

Die Mitarbeiter in US-amerikanischen Bundesbehörden sind nicht ausreichend gegen Gefahren geschützt, die sie über das Internet in Form von Spam, Spyware und Phishing erreichen. Das ist das Ergebnis einer Untersuchung des Government Accountability Office (GAO), des US-Bundesrechnungshofes (PDF-Datei). Die meisten Behörden würden die im Federal Information Security Management Act of 2002 (FISMA) geschilderten Vorschläge und Vorschriften nicht anwenden. Obwohl die Behörden dazu verpflichtet seien, die Cyber-Sicherheit betreffende Vorfälle zu melden, würden sie dies in vielen Fällen nicht tun, heißt es in dem Bericht des GAO. Eine Ursache dafür sei, dass oft nicht klar sei, welche Behörde für welche Vorfälle zuständig sei. Angesprochen sind hier das Office of Management and Budget (OMB) und das Department of Homeland Security (DHS), die für die Durchsetzung des FISMA sorgen sollen. "Ohne eine wirksame Koordination sind die Bundesbehörden in ihren Möglichkeiten beschränkt, Cyber-Attacken zu identifizieren und auf sie zu antworten", urteilt der Bericht.

Die National Cyber Security Division des DHS habe zwar Ende März schmale Richtlinien für den Umgang mit Spam, Phishing und Spyware an die Behörden ausgegeben. Doch die letzte wichtige Veröffentlichung zu dem Thema aus dem DHS sei schon mehr als zwei Jahre alt. Phishing sei auf zwei Arten sicherheitsrelevant: Erstens würden Behörden-Mitarbeiter selbst Ziele von Betrugsversuchen, zweitens gebe es Phishing-Mails, die vortäuschen, vom FBI oder anderen Bundesbehörden zu stammen. Auf diese wie auch andere Gefährdungen, bei denen Sicherheitslücken ausgenutzt würden, das Vertrauen der Bürger in die Behörden beeinträchtigt werde, gebe es keine effektiven Pläne.

Die Zustände im Department of Homeland Security, das im Nachhall der Ereignisse des 11. September 2001 installiert wurde, sind immer wieder Ziel von Kritik. In einem anderen Bericht hatte das GAO kürzlich bereits festgestellt, dass das Ministerium seine Cybersecurity-Pflichten vernachlässigt. Es gebe schwerwiegende Mängel beim Aufbau von Schutzmechanismen gegen Cyber-Terrorismus-Attacken. Der Inspector General des DHS hatte vor kurzem laut Medienberichten fehlende Backup-Systeme in der IT-Infrastruktur des DHS bemängelt.

Autor: (anw/c't)

Quelle: Heise online, 15.06.2005