Wenn Sie Partnerlinks in unseren Inhalten folgen, erhalten wir m?glicherweise eine Provision. Dabei entstehen Ihnen keine zus?tzliche Kosten. Wir zeigen transparent, wie 
Der Skandal um die von Jack Teixeira geleakten Geheimdokumente enthüllte hochbrisante Informationen über den Russland-Ukraine-Krieg sowie zahlreiche andere nationale Sicherheitsgeheimnisse und traf das Pentagon unvorbereitet.
Im Zuge der Leaks hat das Pentagon die Einführung obligatorischer Sicherheitsma?nahmen für alle Regierungs- und Bundesbeh?rden, die mit vertraulichen oder sensiblen Daten umgehen, angeordnet.
Die Frist zur Umsetzung dieser neuen Ma?nahmen rückt schnell n?her – sie ist auf den 30. September 2024 festgelegt.
Wie konnte Teixeira an geheime Dokumente gelangen? Werden die Beh?rden und Bundesauftragnehmer die strenge Frist des Pentagons einhalten? Welche neuen Sicherheitsma?nahmen müssen ergriffen werden und warum?
Techopedia hat mit Experten gesprochen, um diese und weitere Fragen zu beantworten.
Das Wichtigste in Kürze
- Das Teixeira-Leak verdeutlichte die Schwachstellen in der Sicherung vertraulicher Informationen in Regierungseinrichtungen, die durch nachl?ssige Sicherheitsprotokolle und den Missbrauch pers?nlicher elektronischer Ger?te entstanden sind.
- Die neuen Sicherheitsma?nahmen des Pentagons unterstreichen die dringende Notwendigkeit, drahtlose Bedrohungen durch pers?nliche elektronische Ger?te in gesicherten Bereichen zu bek?mpfen.
- Der Privatsektor wird eine Schlüsselrolle bei der Umsetzung der neuen Ma?nahmen spielen, darunter die Bereitstellung fortschrittlicher Technologien zur drahtlosen Erkennung und die Durchführung von Sicherheitsüberprüfungen.
- Das Pentagon steht vor der gro?en Herausforderung, die Frist bis zum 30. September einzuhalten – angesichts des Umfangs der Aufgabe, der Integration neuer Systeme und der Sicherstellung ausreichender Mittel.
- Alles zeigen
Teixeiras Geheimnis: Wie er Dokumente leaken konnte, bleibt unklar
Das Memorandum des Verteidigungsministers vom 30. Juli, das an alle Mitarbeiter des Verteidigungsministeriums gerichtet ist, stellt die Reaktion des Pentagons auf den Vorfall dar.
Laut einem Bericht der Washington Post von 2023 hatte Teixeira Zugang zum Joint Worldwide Intelligence Communication System (JWICS) des Verteidigungsministeriums. Mit dieser hohen Sicherheitsfreigabe konnte er auf Tausende vertrauliche Dokumente zugreifen.
Offiziellen Angaben zufolge druckte Teixeira geheime Dokumente aus, brachte sie aus gesicherten Bereichen nach Hause, fotografierte sie dort und lud sie anschlie?end online hoch.
Das Memo des Pentagons geht jedoch über das Verbot des Ausdrucks und der Mitnahme geheimer Dokumente hinaus. Es betont ausdrücklich, dass die Nutzung pers?nlicher elektronischer Ger?te in hochsicheren Einrichtungen untersagt werden muss und fordert den Einsatz neuer Technologien, um drahtlose Bedrohungen von innen zu bek?mpfen.
Experten und Bundesauftragnehmer über Sicherheitsm?ngel bei drahtlosen Netzwerken des DoD
Michael Arcamone, ehemaliger CEO von InQuest und derzeit Chief Strategy Officer sowie VP für Bundesverk?ufe bei OPSWAT, sprach mit Techopedia über das Thema.
?Die Nutzung pers?nlicher oder tragbarer elektronischer Ger?te (PEDs) in gesicherten Einrichtungen birgt erhebliche Sicherheitsrisiken. Drahtlose Bedrohungen wie unautorisierte Datenübertragungen via Bluetooth, Wi-Fi oder Mobilfunk k?nnen von Gegnern für Spionage oder Datenexfiltration ausgenutzt werden.“
Arcamone empfahl den Einsatz fortschrittlicher Sensoren an Eing?ngen und im gesamten Arbeitsbereich, um drahtlose Ger?te zu erkennen und sofort Alarm zu schlagen. Dies stellt sicher, dass keine unautorisierten Ger?te in gesicherten Bereichen verwendet werden.
Zus?tzlich sollten diese Systeme mit überwachungsl?sungen für Druckauftr?ge kombiniert werden, eine ?Keine Einsichtnahme oder Aufzeichnung“-Richtlinie durchsetzen und regelm??ige Kontrollen beim Verlassen der Einrichtung durchführen.
Auf der anderen Seite berichtete Dr. Brett Walkenhorst, CTO von Bastille, einem Anbieter für drahtlose Bedrohungsintelligenz, gegenüber Techopedia, dass laut ?ffentlich zug?nglichen Medienberichten der ehemalige Luftwaffenangeh?rige Teixeira Zusammenfassungen geheimer Berichte erstellt und aus gesicherten Bereichen entfernt hat, um sie sp?ter in Textform hochzuladen.
?Er hat auch Kopien dieser Berichte ausgedruckt, die Dokumente pers?nlich entnommen und dann Fotos davon gemacht, um sie auf externe Server hochzuladen“, erkl?rte Walkenhorst. ?Obwohl ein Telefon für die Fotos verwendet wurde, wurden diese wahrscheinlich nicht in den gesicherten Bereichen aufgenommen.“
Nizel Adams, CEO und leitender Ingenieur bei Nizel Co, einem IT-Unternehmen mit Erfahrung im Bereich DoD-Systeme und als Bundesauftragnehmer registriert, sagte gegenüber Techopedia, dass die Sicherheitskr?fte Teixeira anscheinend mehrfach mit einem Telefon ins Geb?ude gelassen haben – ?ein schwerer Fehler“.
?Viele stellen sich vor, dass es sich um etwas aus einem Spionageroman oder Hacker-Film handelt. Jack Teixeira scheint jedoch nichts besonders Kompliziertes getan zu haben, und ich bezweifle, dass er über die notwendigen F?higkeiten verfügt. Die Sicherheitsma?nahmen waren so nachl?ssig, dass er ein Telefon ins SCIF schmuggeln konnte.“
?Als ?IT-Guy‘ wurde Teixeira wahrscheinlich weniger streng überprüft und hatte durch seine Arbeit bereits Zugang zu hochsensiblen Dokumenten.“
Bek?mpfung von Insider-Bedrohungen durch drahtlose Netzwerke
Wie im Pentagon-Memo gefordert, müssen Ma?nahmen ergriffen werden, um Risiken durch drahtlose Angriffe von pers?nlichen oder tragbaren elektronischen Ger?ten zu mindern. Wir haben Walkenhorst von Bastille um eine genauere Erkl?rung dieser Bedrohungen gebeten.
Walkenhorst erkl?rte, dass das DoD seit langem die Risiken drahtloser Ger?te kennt und daher Richtlinien erlassen hat, die den Einsatz solcher Ger?te in sicheren Bereichen verbieten.
?Heute sind diese Risiken h?her denn je, haupts?chlich aus drei Gründen: Erstens die weitverbreitete Nutzung drahtloser Ger?te. Zweitens die Unsichtbarkeit der gesendeten Signale. Drittens die Schwachstellen der verwendeten Protokolle.“
Da drahtlose Ger?te allgegenw?rtig sind, senken sie die technischen Hürden für b?swillige Insider, die ihre Exfiltrationskampagnen durchführen wollen.
Zus?tzlich sind drahtlose Signale trotz Fortschritten in der Sicherheit schwer zu erkennen und zu überwachen.
?Bis heute wurden über 3000 drahtlosbezogene CVEs (Common Vulnerabilities and Exposures) in der NIST-Datenbank ver?ffentlicht, mit einer steigenden Zahl in den letzten Jahren“, sagte Walkenhorst.
?Diese zahlreichen Schwachstellen sind nur die Spitze des Eisbergs.“
Zu den Beispielen für drahtlose Angriffe geh?ren unter anderem betrügerische Mobilfunkmasten, Smartphone-Spionage-Software, physische Malware-Injektion, Evil-Twin-Angriffe, Passwort-Spraying, Distributed Denial of Service (DDoS)-Angriffe, Sitzungs-Hijacking und Credential Sniffing.
Die Rolle des Privatsektors in der Cybersicherheit des Pentagon
Techopedia hat Experten befragt, um zu kl?ren, wie umfangreich die Systemüberholung ist, die das Pentagon-Memo erfordert, und ob der Privatsektor eine bedeutende Rolle spielen k?nnte.
Walkenhorst von Bastille erkl?rte, dass viele der im Memo genannten Anforderungen mit den vorhandenen Systemen und Technologien des Regierungsektors erfüllt werden k?nnen. Jedoch müssen diese Systeme und Technologien effektiver und umfassender genutzt werden. Darüber hinaus fordert das Memo die Einführung neuer Technologien, wie Walkenhorst erl?uterte.
?Besonders wichtig ist die Notwendigkeit, technische L?sungen zu implementieren, die unbefugte elektronische Ger?te erkennen und überwachen.“
Nicht nur neue Technologien, sondern auch Penetrationstests und Schwachstellenscans
Adams von Nizel Co erkl?rte, dass der private Cybersecurity-Sektor nicht nur Sicherheitsma?nahmen für die Regierung bereitstellt, sondern auch bei der Identifizierung von Schwachstellen hilft.
?Sicherheitsrisikobewertungen umfassen Penetrationstests, das Aufspüren von Hochrisikonutzergruppen durch Phishing-Tests und ?hnliche Verfahren. Auf Basis der gesammelten Daten aus diesen Bewertungen und Angriffssimulationen werden passende L?sungen empfohlen.“
Er wies darauf hin, dass auch andere Sicherheitslücken berücksichtigt werden sollten, etwa durch den Einsatz von Signalst?rsendern und Scannern an Kontrollpunkten im gesamten Geb?ude sowie durch ein umfassendes System zur überwachung von Personen, die das SCIF betreten, deren Aufenthaltsdauer, das Drucken von Dokumenten und weitere Aspekte.
Alle SCIF-Nutzerprotokolle sollten in Berichten an die zust?ndigen Sicherheitsaufsichtsbeh?rden übermittelt werden.
Fazit: Werden alle SCIFs und SAPFs die Frist einhalten?
Die verpflichtende Einführung von Cybersicherheitsma?nahmen kann für Beh?rden und Beteiligte komplex und herausfordernd sein, insbesondere unter Zeitdruck. Werden die Einrichtungen die Frist einhalten, und was passiert, wenn dies nicht gelingt?
Walkenhorst von Bastille erkl?rte, dass die Anforderungen des Memos m?glicherweise zus?tzliche Zeit, Mittel, Richtlinienaktualisierungen oder Unterstützung erfordern.
?Für DoD-Komponenten, die die Frist nicht einhalten k?nnen, wird das DoD weiterhin Anleitung geben, um eine zügige Konformit?t zu gew?hrleisten.“
Die gr??te Herausforderung für das Pentagon ist die riesige digitale Angriffsfl?che des gesamten DoD. Zudem fordert das Memo eine Systemintegration, um eine bessere Sichtbarkeit und Analyse von Netzwerk- und Off-Network-Aktivit?ten zu erm?glichen.
Auch die Finanzierung bleibt eine zentrale Aufgabe, insbesondere für die Einführung neuer L?sungen zur Erkennung drahtloser Ger?te – ein Bereich, der derzeit im DoD noch nicht abgedeckt ist.
Trotz dieser Herausforderungen ist Adams von Nizel Co optimistisch, dass die Frist eingehalten werden kann.
?Viele Formulierungen im Memo sind einfach ein Aufruf zur Umsetzung der Sicherheitsanforderungen, wie etwa das Verhindern von Elektronik im SCIF. Diese Ma?nahmen sind bereits in Arbeit.“
Signalst?rsender k?nnen laut Adams relativ schnell installiert werden, in ein oder zwei Tagen.
?Das Scansystem ben?tigt zwar etwas mehr Zeit für die Bewertung und Implementierung, da entsprechende Kontrollen eingerichtet und Personal geschult werden müssen, aber es kann bis zur Frist umgesetzt werden“, so Adams.
