News Nachlässigkeiten in der Verwaltung: Wie ehemalige Behörden-Domains zu Sicherheits­risiken werden

[Syagrius]

Öffentlich aufrufbare Domains, sind geheim und Verschlusssache. Kannst dir nicht ausdenken

Kontext. Ist doch verständlich, dass man nach einer solchen publik gewordenen Lücke, nicht öffentlich damit herausrückt, welche Domains man wieder freigegeben hat in der Vergangenheit. Kann man in den entsprechenden Unterausschüssen besprechen, die die erforderliche Sicherheitsfreigabe haben.

 

[Ranayna]

Das ist by the way nicht nur fuer Behoerden ein Problem.
Das passiert auch vielen Firmen.

Vor ein paar Jahren gabs mal einen Sicherheitsforscher, der eine Domain uebernommen hat die ein grosses Unternehmen auslaufen lassen hat. Ich meine dass war eine ehemalige Microsoft Domain, die zur Authentifizierung einiger Dienste verwendet wurde.
Innerhalb von ein paar Monaten hat er hundertausende Authentifizierungsanfragen reinbekommen, von Systemen die verwaist irgendwo rumlagen und nicht funktional einfach rumlagen...

Ergänzung (11. Dezember 2025)

Und das kostet wieder Geld und wenn es dann gemacht werden würde würden unsere ach so qualifizierten Medien wieder wegen Steuergeldverschwendung heulen.

Wie waers gleich eine Stufe vorher zu sparen, und die meist sinnlosen Umbenennungen sein zu lassen?

Eine Domain weiterlaufen zu lassen ist aber auch nun wirklich kein Kostenfaktor.

 

[andy_m4]

Das passiert auch vielen Firmen.

Insbesondere, wenn die so groß sind, das da intern eine behörden-artige Struktur gewachsen ist.

Ist doch verständlich, dass man nach einer solchen publik gewordenen Lücke, nicht öffentlich damit herausrückt, welche Domains man wieder freigegeben hat in der Vergangenheit.

Das ist halt zweischneidig.
Wenn man eine Liste kriegen würde, könnte man die einfach für sich selber aus Sicherheitsgründen den Zugriff dahin sperren.
Auf der anderen Seite:
Wer die kriminelle Energie hat, der kriegt die Domains auch ohne Liste raus. Ich meine, es ist ja grundsätzlich öffentlich wer welche Domain hält.

Sprich: Man kann auch so argumentieren, das die "Geheim"haltung eher den bad guys nützt.

 

[kachiri]

Eigentlich unfassbar...
Ich find es ja schon fragwürdig, dass man an Domainnamen sparen muss. Als Staat würde ich mir das Recht rausnehmen, dass Behördendomains schlicht nichts kosten. Das Wartungsthema sollte bei einer simplen Weiterleitung eigentlich auch nicht das Problem sein....
Aber das wenn man dann die Entscheidung trifft, Domainnamen abzustoßen, nicht einmal Intern prüft, was so alles darauf zugreift. Noch viel schlimmer, das man es scheinbar nicht einmal weiß.

 

[mae]

Es wäre schlauer gewesen von Anfang an eine .de Subdomain gänzlich für Behörden zu reservieren und dann darunter die einzelnen Behörden-Domains zu registrieren, wie z.B. in UK wo .gov.uk verwendet wird.

Ja, da hat's UK und Oesterreich besser gemacht, zumindest anfangs, in Oesterreich gibt's .gv.at fuer staatliche Stellen, .ac.at fuer Hochschulen, .co.at fuer Unternehmen. Ich habe aber den Eindruck, dass auch staatliche Stellen in Oesterreich viele <irgendwas>.at-Domains einrichten, ohne gv. Da gibt's dann das gleiche Problem.

Ergänzung (11. Dezember 2025)

Der typische Bürger gibt Domain-Namen im Google-Suchfeld ein, womit das auch keine echte Lösung ist. :-)

Ich habe in letzter Zeit keinen Browser gefunden, der das Adressfeld nicht als Suchfeld verwendet. Ich tippe was auf der vermeintlichen Suchseite ins Suchfeld und es erscheint im Adressfeld.

Ergänzung (11. Dezember 2025)

Wie waers gleich eine Stufe vorher zu sparen, und die meist sinnlosen Umbenennungen sein zu lassen?

Umorganisation und damit einhergehende Umbenennungen sind das wichtigste Werkzeug des Managements und der Politik.

 

[habichtfreak]

Ich hatte bis 09/2025 auch eine de Domain, ca. 10 Jahre lang. Hobbyprojekt, winzig klein. Wenn man die url jetzt versucht aufzurufen, erinnert der Werbeblocker daran, dass da ganz komisch weitergeleitet wird ...

Irgendwer interessiert sich immer für deine Domain, egal wie klein und unwichtig sie war

 

[kachiri]

Ich habe in letzter Zeit keinen Browser gefunden, der das Adressfeld nicht als Suchfeld verwendet. Ich tippe was auf der vermeintlichen Suchseite ins Suchfeld und es erscheint im Adressfeld.

Es ist aber tatsächlich so, tägliche Erfahrung, dass die Leute ins Adressfeld Google.de eingeben und dann in die Google-Suchmaschine das, was sie öffnen wollen.

 

[mae]

@kachiri Ja, das kommt auch vor. Aber dass die URLs, die ich besuche, an die Suchmaschine geleitet werden, stoert mich mehr.

Ergänzung (11. Dezember 2025)

Irgendwer interessiert sich immer für deine Domain, egal wie klein und unwichtig sie war

Domainsquatting ist fuer die Leute, die an der Quelle sitzen, billig, da zahlt es sich aus, das fuer sehr viele Domains zu machen, auch wenn dann nur fuer wenige das Loesegeld gezahlt wird. Und bei welchen das sein wird, weiss man im vorhinein nicht, also besetzt man alle.

 

[Snooty]

Aus Sicherheitsgründen sei es erforderlich, nicht mehr genutzte Domains weiter zu registrieren.

Naja, das halte ich nicht für die optimale Lösung. Domains sind schon seit zig Jahren knapp - jetzt auch noch alles zu "blockieren", was irgendwann mal genutzt wurde, verschlimmert die Sache noch weiter.

 

[tdbr]

@mae
Keine Standardsuche:
Firefox > about:config > keyword.enabled: false

 

[andy_m4]

Domains sind schon seit zig Jahren knapp

Domains sind knapp?

jetzt auch noch alles zu "blockieren", was irgendwann mal genutzt wurde, verschlimmert die Sache noch weiter.

Von "alles blockieren" war ja auch nicht unbedingt die Rede. Also wenn auf der Katzenbilder-Homepage plötzlich Hunde zu sehen sind, ist das sicher nicht so dramatisch als wenn die Bürgeramt-Homepage, auf der man auch persönliche Dokumente hochladen kann, plötzlich nicht mehr dem Bürgeramt gehört. :-)

Mal davon abgesehen kann man das ja alles vermeiden, in dem man sich vom Start weg eine ordentliche Domainstruktur benutzt.

Wenn man natürliches alles in Wildwuchs-Manier so nach dem Motto: "Digitalstrategie? Wir hörten davon!" macht, dann ists auch nicht verwunderlich, wenn Sachen schiefgehen.

Ich habe in letzter Zeit keinen Browser gefunden, der das Adressfeld nicht als Suchfeld verwendet.

Das meinte ich gar nicht.
Mal davon abgesehen finde ich diese Entwicklung problematisch.
Vor allem weil die Erkennung nicht zuverlässig funktioniert und dann gibt man eine URL ein und kommt
1.nicht da hin, wo man hin wollte
und hat
2.dann noch möglicherweise internen Kram nach extern geleakt.

 

[Snooty]

Gute

Domains sind knapp

 

[Ranayna]

Unter anderem deswegen waeren eingendlich Domains, beispielhaft, nach dem Muster <Dienst>.bund.de sinnvoller fuer saemtliche Behoerden.
Dann muss nur bund.de registriert sein, Subdomains kann man dann nach belieben selber erstellen. Die kann sich dann auch niemand anders schnappen wenn sie abgeschaltet werden.
Aber Subdomains scheinen ja zu kompliziert zu sein? Hrmpf...

 

[andy_m4]

Gute

Das kann natürlich gut sein.
Irgendwann Mitte der 2000er gabs mal so ein WTF-Moment, wo klar wurde, das alle dreistelligen .de-Domain-Namen vergeben sind.

Ergänzung (11. Dezember 2025)

Aber Subdomains scheinen ja zu kompliziert zu sein? Hrmpf...

Für eine Organisation, die beim Faxgerät aufgehört hat über effiziente Kommunikation nachzudenken, schon. :-)

 

[Mutterbread]

Was ist eigentlich mit: https://stadt-bremerhaven.de/

😅

Bekomme die Seite bei den unterschiedlichsten Themen immer ganz oben bei den Suchergebnissen. Kann ja nicht mit rechten Dingen zugehen? KI-Slop?

 

[FindDijkstra]

Ach ja, Deutschland und Digitalisierung. Immer wieder witzig.

 

[kachiri]

Was ist eigentlich mit: https://stadt-bremerhaven.de/

😅

Bekomme die Seite bei den unterschiedlichsten Themen immer ganz oben bei den Suchergebnissen. Kann ja nicht mit rechten Dingen zugehen? KI-Slop?

Der "Gründer" und "Hauptbetreiber" hat sich gar keine Gedanken darüber gemacht. Die Domain war frei, weil die Stadt Bremerhaven sich halt bremerhaven.de gesichert hat
Der "Blog" (heute eigentlich weniger ein Blog) ist auch schon 20 Jahre alt

 

[Robert.]

Verwaltung - wieder keiner zuständig
Beamtenfaulheit gefährdet die Allgemeinheit

 

[PERKELE]

Tjo, selbst ich halte meine TLDs (5 .de und zwei .fi) auf Reserve, zum einen kann man spontan sein und man hat gewaehr das, wenn mal eine Mail an "info@tldname.de" geht auch in seinem Kasten landet und nicht bei dritten.

Letztendlich wurden diese vorher mit persoenlichen Daten genutzt. (name.nachname@tldname.de als Beispiel)

Denke hier kommt aber das "Schema F" ins Spiel, die Starrheit der deutschen IT ist eben unergruendlich.

 

[devastor]

Jepp, deswegen kommt von mir auf so dumme Sprüche wie "Ich hab ja nichts zu verbergen" oder "bei mir gibt's nichts zu holen" nur immer nur die Antwort:
"Dann erkläre mal dem Einsatzkommando um halb 6 Uhr morgens, das du nicht der böse Hacker bist, der das Atomkraftwerk lahmgelegt hat!, viel Spaß dabei."🙄🤷‍♂️

Kann in D nicht mehr passieren da wir keine aktiven mehr haben