US-Wahlcomputer: Gravierende Sicherheitslücken in Georgia gefunden

(Bild: kgroovy, CC BY-SA 2.0 )

Schon vor der US-Präsidentschaftswahl hat ein Forscher eine riesige Lücke bei einem für die Wahlcomputer wichtigen Institut in Georgia gefunden. Sie hätte gravierende Manipulationen der Wahlcomputer und der Wahlen erlaubt.

Ein für die Wahlcomputer im US-Bundesstaat zentrales Institut hatte offenbar jahrelang schwere Sicherheitsmängel auf seiner Internetseite, die Angreifern verschiedene Einfallstore geboten hat. Das berichtet das Politikmagazin Politico unter Berufung auf den 29-jährigen Sicherheitsforscher Logan Lamb, der die Mängel schon im Herbst 2016 entdeckt und gemeldet habe. Demnach hat er bei einer automatisierten Suche auf der Seite des Kennesaw State University?s Center for Election Systems mehrere Gigabyte an Daten gefunden, darunter auch viele höchst vertraulicher Dokumente. Trotz seines Hinweises habe er im März 2017 immer noch auf die Dokumente zugreifen können.

Daten über Daten

Zu den öffentlich einsehbaren und bereits von Google indizierten Dokumenten gehörte demnach eine Liste mit den Daten aller 6,7 Millionen in Georgia registrierten Wähler. Darüber hinaus habe er PDFs mit Anleitungen und Passwörtern gefunden, die Wahlhelfer am Tag der US-Präsidentschaftswahl fürs Einloggen in den zentralen Server brauchten. Weiterhin habe er Software gefunden, die auf jenen Geräten läuft, mit denen Wahlhelfer prüfen, ob ein potenzieller Wähler auch registriert ist und wählen darf. Als wäre das nicht genug gab es offenbar auch Datenbanken, auf deren Basis die Wahlcomputer programmiert werden. Schließlich lief die Seite auf einer veralteten Version von Drupal und war demnach immer noch anfällig für eine 2014 geschlossene Lücke namens “Drupageddon”.

Mit den Daten hätten Angreifer auf verschiedene Arten Einfluss auf die Wahlen in dem US-Bundesstaat nehmen können, wissend dass die Wahlcomputer dort keine Spuren auf Papier hinterlassen. Beispielsweise hätten Angreifer die Seite übernehmen und darüber die Computer von Wahlhelfern infizieren können. Oder aber die Daten für die Wahlcomputer würden verändert, sodass etwa Stimmen für bestimmte Kandidaten für deren Kontrahenten gezählt würden ? ohne dass jemand dies hätte bemerken können. Angreifer könnten demnach auch die Wählerlisten derart manipulieren, dass Menschen in ihrem Wahllokal abgewiesen würden. Durch einen Bug sei ähnliches in kleinem Umfang sogar passiert.

Halbherzige Reaktion

Angesichts des weitgehenden Zugangs seien auch noch andere Szenarien denkbar, die angesichts der Berichte über russische Versuche der Einflussnahme nicht aus der Luft gegriffen wirken. Nachdem Lamb die Lücken der zuständigen Universität gemeldet hatte, habe die aber nicht genug unternommen. So sei die Drupal-Lücke für Zugriffe über HTTPS geschlossen worden, aber die HTTP-Seite sei noch bis nach der US-Präsidentschaftswahl angreifbar geblieben. Schließlich habe das FBI die Ermittlungen übernommen und schwere Mängel bei der Arbeit des Zentrums festgestellt. Obwohl das für die Wahlen in Georgia von zentraler Bedeutung sei, hätten dort nur wenige Menschen gearbeitet, von denen einige keinen technischen Hintergrund hätten.

Die Mängel haben aber auch über die US-Präsidentschaftswahl und die Debatten über Manipulationsversuche hinaus weitergehende Bedeutung. So finden in Georgia kommende Woche Nachwahlen statt, die landesweit interessiert beobachtet werden, weil die Republikaner hier einen noch vor kurzem unangreifbar erscheinenden Wahlbezirk verlieren könnten. Außerdem wird das Kennesaw State University?s Center for Election Systems landesweit als Beispiel für gutes Wahlmanagment angeführt, schreibt Politico. Dabei gibt es in Georgia noch weitere gravierende Probleme mit den Wahlcomputern. So wurde die Software darauf zuletzt 2005 zertifiziert und zumindest zur Präsidentschaftswahl lief darauf noch Windows 2000. (mho)

aktuelle Nachrichten weitere aktuelle Nachrichten

  • Stack Clash: Schwachstelle führt zu Rechteausweitung auf Linux- und BSD-Systemen

    Stack Overflow Calling (Bild: Helge Øverås / heise online, CC BY 2.5 ) Die Stack Guard Page sollte eigentlich Stack-Overflow-Angriffe verhindern. Nun haben Sicherheitsforscher herausgefunden, wie man diesen Schutz von Unix-Systemen umgehen, oder besser: überspringen, kann. Mehrere Linux-Distributionen und die Entwickler anderer Unix-artiger Betriebssysteme arbeiten daran, eine Sicherheitslücke zu stopfen, die lokale Rechteausweitung zur Folge haben […]

  • Wohnzimmer neu eingerichtet ? Chaos pur

    Um der Hektik der Alltages zu entfliehen, bietet sich die Wohnung, besonders das Wohnzimmer als sicherer Rückzugsort an. Je schöner diese gestaltet ist, desto wohler fühlen sich Menschen darin. Dabei stellt sich jedes Mal die gleiche Frage, wenn eine Neugestaltung der Wohnräume ansteht, wie stelle ich die neuen Räume zusammen. Und wie erreiche ich, dass […]

  • Spring Tool Suite 3.9 arbeitet mit Eclipse Oxygen zusammen

    Die Werkzeugsammlung von Spring nutzt das jüngste Release von Eclipse. Außerdem hat sie einige Neuerungen beim Bearbeiten von Manifestdateien für Cloud Foundry zu bieten, und der Start von Spring Boot lässt sich beschleunigen. Das Spring-Tools-Team hat Version 3.9 der auf Eclipse ausgerichteten Werkzeugsammlung veröffentlicht. Erwartungsgemäß geht mit der frischen Spring Tools Suite die Anpassung an […]

  • Die Leier des Orpheus: Samba, Microsoft und andere fixen kritische Kerberos-Lücke

    Durch einen simplen Fehler bei der Nutzung von Kerberos können sich Angreifer im Netz Zugriffsrechte auf Dienste wie Dateifreigaben erschleichen. Betroffen sind sowohl Windows- als auch Linux-Server beziehungsweise deren Clients. Kerberos ist ein Authentifizierungs-Dienst, der in Netzen den Zugriff auf Server-Dienste wie Dateifreigaben regelt. Sowohl die Open-Source-Implementierung Heimdal als auch die Closed-Source-Umsetzung von Microsoft weisen […]

  • Hackerangriffe auf US-Wahlsysteme angeblich umfangreicher als bisher angenommen

    Einem Bericht von BloombergView zufolge waren die Hacker-Angriffe des russischen Geheimdienstes GRU keinesfalls isolierte Einzelfälle. Angeblich habe der Geheimdienst in mindestens 39 Bundesstaaten der USA versucht, via Hacking Zugriff auf sensible Daten des US-Wahlsystems zu erhalten. Dabei beruft sich BloombergView auf Insider-Informationen. Der von The Intercept veröffentlichte NSA-Bericht über Manipulationsversuche der US-Wahl durch den GRU […]