Schwerwiegende Mängel in den Systemen der US-Cybersecurity-Behörde CISA entdeckt

Es wurde bekannt, dass die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) über keinen fertigen Notfallplan für Situationen verfügte, in denen geheime Schlüssel und Daten, die Zugriff auf ihre Systeme ermöglichen, in das öffentliche Netzwerk gelangten. Die für den Schutz föderaler Netzwerke zuständige Behörde war gezwungen, während einer unerwarteten Krise eine Strategie (Playbook) von Grund auf neu zu entwickeln. Dies berichtet Techcrunch.com berichtet .

Der Vorfall ereignete sich im Mai dieses Jahres, nachdem der unabhängige Journalist Brian Krebs die Behörde auf einen Fehler eines Mitarbeiters eines beauftragten Unternehmens aufmerksam gemacht hatte. Laut TechCrunch räumte die CISA in ihrem Bericht ein, dass das Personal in der Anfangsphase des Vorfalls Zeit damit verbrachte, einen Aktionsplan zu erstellen. Dies zeigte, dass die zentrale Stelle zur Abwehr von Cyberangriffen auf unerwartete Situationen nicht vorbereitet war.

Wie kam es zu dem Fehler?

Ein Forscher der Cybersecurity-Firma GitGuardian entdeckte zahlreiche Passwörter und Logins für den Zugriff auf US-Regierungssysteme in einem öffentlichen GitHub-Repository. Es stellte sich heraus, dass ein Mitarbeiter eines mit der CISA zusammenarbeitenden Auftragnehmers diese Daten fahrlässig im öffentlichen Zugriffsmodus belassen hatte. Der Forscher versuchte zunächst, den Auftragnehmer zu kontaktieren, informierte jedoch nach ausbleibender Antwort Brian Krebs über die Situation.

Erst nach dem Eingreifen des Journalisten nahm die CISA das Repository offline, widerrief alle offengelegten geheimen Schlüssel und ersetzte sie durch neue. Die Behörde erklärte, dass infolge des Vorfalls keine missionskritischen oder persönlichen Benutzerdaten in fremde Hände gelangt seien. Dennoch dürfte das Fehlen eines fertigen Plans den Reaktionsprozess erheblich verlangsamt haben.

Systemische Probleme und Personalmangel

In ihrem Bericht merkte die CISA zudem an, dass die Kommunikationskanäle zu Sicherheitsforschern nicht klar definiert waren. Die Behörde verspricht nun, ihr Kommunikationssystem zu verbessern, um sicherzustellen, dass Experten Risiken schnell melden können. Die Situation innerhalb der Organisation bleibt jedoch komplex.

Berichten zufolge operiert die CISA seit Beginn der Amtszeit von Donald Trump im Januar 2025 ohne ständigen Direktor. Zudem war fast ein Drittel der Belegschaft von Kürzungen, Zwangsurlauben und Entlassungen betroffen. Experten äußern sich besorgt darüber, dass dieser Personalmangel und die finanziellen Einschränkungen das Niveau der Cybersicherheit negativ beeinflussen.

Dieser Vorfall hat erneut bewiesen, dass selbst staatliche Organisationen auf höchster Ebene über klare und geprüfte Aktionspläne für unerwartete Cybersicherheitsvorfälle verfügen müssen. Improvisation und die Erstellung eines Plans während einer Krise können zu wertvollem Zeitverlust und erhöhtem Risiko führen.