Erhebliche Sicherheitslücke im BAMF

Das Bundesamt für Migration und Flüchtlinge (BAMF) hat offenbar mit einer erheblichen Sicherheitslücke zu kämpfen.

Wie „Welt“ und „Nürnberger Nachrichten“ unter Berufung auf eine gemeinsame Recherche in ihren Dienstagausgaben berichten, haben Tausende Mitarbeiter Zugang zu Asylakten; gleichzeitig kann kaum nachvollzogen werden, wer wann welche Informationen aufgerufen hat.

Insider der Behörde sowie Asyl-Experten sprechen von einem Einfallstor für ausländische Nachrichtendienste, die vergleichsweise leicht und unentdeckt an Informationen über Dissidenten gelangen könnten.

Das BAMF bestätigte auf Anfrage, dass aktuell rund 5.000 Mitarbeiter Zugriff auf das Asylverfahrenssystem Maris haben, in dem zwei Millionen Asylakten elektronisch gespeichert sind.

Die Möglichkeiten für Anhörer, Entscheider oder Mitarbeiter im Asylverfahrenssekretariat reichten „von einem Lesezugriff der kompletten Akte bis zu sehr eingeschränkten Zugriffen auf wenige Masken“, erklärte die Nürnberger Behörde. Nach Angaben von Personen, die mit Maris vertraut sind, kann damit jeder Zugriffsberechtigte Informationen wie Name, Aktenzeichen oder Wohnort einsehen.

Sicherheitskreise sehen hier eine Sicherheitslücke: Während zwar verfolgt werden kann, wer welche Akte verändert oder bearbeitet hat, kann kaum überprüft werden, wer wann welche Akte lediglich einsah. Denn sogenannte lesende Zugriffe würden lediglich auf dem jeweiligen Rechner mehrere Tage mitprotokolliert und gespeichert, gab das BAMF auf Nachfrage an. Nach spätestens drei Monaten müssten die Daten gelöscht werden. Auf die Frage, ob es einen entsprechenden Missbrauch von Maris und eine Weitergabe von Informationen an ausländische Behördenvertreter bereits gegeben habe, antwortete das übergeordnete Bundesinnenministeriums: Das BAMF sei „gehalten, Maßnahmen zu ergreifen, um personenbezogene Daten hinreichend zu schützen“. Mit der Bearbeitung von Asylakten seien „ausschließlich solche Personen vertraut, die in einem öffentlichen Dienst- oder Tarifbeschäftigtenverhältnis stehen“.

Die Mitarbeiter seien zur Wahrung von Dienstgeheimnissen und Informationen oder zur Verschwiegenheit und zur Wahrung der Gesetze verpflichtet. „Sollten Verdachtsmomente gegen Mitarbeiter bestehen, geht das BAMF dem mit aller Konsequenz nach und leitet gegebenenfalls disziplinar- beziehungsweise arbeitsrechtliche Schritte ein und stellt Strafanzeige.“ Das Haus von Innenminister Thomas de Maizière (CDU) verweist aber darauf, dass die Bundesregierung alles unternehme, „was rechtlich möglich und tatsächlich geboten ist, um Asylbewerber und deren Angehörige generell vor Repressalien zu schützen“.

Das deutsche Asylverfahren weist nach Ansicht des Innenministeriums heute bereits „ein hohes Schutzniveau auf“. Aus der derzeitigen Speicherpraxis der Lesezugriffe auf Asylakten ergäben sich „keine Sicherheitslücken“, versicherten sowohl Innenministerium als auch BAMF.

Allerdings: Das Asylamt erklärte, dass ab Frühjahr 2018 lesende Zugriffe nicht mehr nur auf dem jeweiligen Computer, sondern auch zentral auf einem Server gespeichert würden. Nach Angaben des Innenministeriums ist geplant, „neben einer längeren Speicherzeit auch eine Vereinfachung der Auswertung zu ermöglichen“. (dts)