Wenn Sie Partnerlinks in unseren Inhalten folgen, erhalten wir möglicherweise eine Provision. Dabei entstehen Ihnen keine zusätzliche Kosten. Wir zeigen transparent, wie 
Der Skandal um die von Jack Teixeira geleakten Geheimdokumente enthüllte hochbrisante Informationen über den Russland-Ukraine-Krieg sowie zahlreiche andere nationale Sicherheitsgeheimnisse und traf das Pentagon unvorbereitet.
Im Zuge der Leaks hat das Pentagon die Einführung obligatorischer Sicherheitsmaßnahmen für alle Regierungs- und Bundesbehörden, die mit vertraulichen oder sensiblen Daten umgehen, angeordnet.
Die Frist zur Umsetzung dieser neuen Maßnahmen rückt schnell näher – sie ist auf den 30. September 2024 festgelegt.
Wie konnte Teixeira an geheime Dokumente gelangen? Werden die Behörden und Bundesauftragnehmer die strenge Frist des Pentagons einhalten? Welche neuen Sicherheitsmaßnahmen müssen ergriffen werden und warum?
Techopedia hat mit Experten gesprochen, um diese und weitere Fragen zu beantworten.
Das Wichtigste in Kürze
- Das Teixeira-Leak verdeutlichte die Schwachstellen in der Sicherung vertraulicher Informationen in Regierungseinrichtungen, die durch nachlässige Sicherheitsprotokolle und den Missbrauch persönlicher elektronischer Geräte entstanden sind.
- Die neuen Sicherheitsmaßnahmen des Pentagons unterstreichen die dringende Notwendigkeit, drahtlose Bedrohungen durch persönliche elektronische Geräte in gesicherten Bereichen zu bekämpfen.
- Der Privatsektor wird eine Schlüsselrolle bei der Umsetzung der neuen Maßnahmen spielen, darunter die Bereitstellung fortschrittlicher Technologien zur drahtlosen Erkennung und die Durchführung von Sicherheitsüberprüfungen.
- Das Pentagon steht vor der großen Herausforderung, die Frist bis zum 30. September einzuhalten – angesichts des Umfangs der Aufgabe, der Integration neuer Systeme und der Sicherstellung ausreichender Mittel.
- Alles zeigen
Teixeiras Geheimnis: Wie er Dokumente leaken konnte, bleibt unklar
Das Memorandum des Verteidigungsministers vom 30. Juli, das an alle Mitarbeiter des Verteidigungsministeriums gerichtet ist, stellt die Reaktion des Pentagons auf den Vorfall dar.
Laut einem Bericht der Washington Post von 2023 hatte Teixeira Zugang zum Joint Worldwide Intelligence Communication System (JWICS) des Verteidigungsministeriums. Mit dieser hohen Sicherheitsfreigabe konnte er auf Tausende vertrauliche Dokumente zugreifen.
Offiziellen Angaben zufolge druckte Teixeira geheime Dokumente aus, brachte sie aus gesicherten Bereichen nach Hause, fotografierte sie dort und lud sie anschließend online hoch.
Das Memo des Pentagons geht jedoch über das Verbot des Ausdrucks und der Mitnahme geheimer Dokumente hinaus. Es betont ausdrücklich, dass die Nutzung persönlicher elektronischer Geräte in hochsicheren Einrichtungen untersagt werden muss und fordert den Einsatz neuer Technologien, um drahtlose Bedrohungen von innen zu bekämpfen.
Experten und Bundesauftragnehmer über Sicherheitsmängel bei drahtlosen Netzwerken des DoD
Michael Arcamone, ehemaliger CEO von InQuest und derzeit Chief Strategy Officer sowie VP für Bundesverkäufe bei OPSWAT, sprach mit Techopedia über das Thema.
„Die Nutzung persönlicher oder tragbarer elektronischer Geräte (PEDs) in gesicherten Einrichtungen birgt erhebliche Sicherheitsrisiken. Drahtlose Bedrohungen wie unautorisierte Datenübertragungen via Bluetooth, Wi-Fi oder Mobilfunk können von Gegnern für Spionage oder Datenexfiltration ausgenutzt werden.“
Arcamone empfahl den Einsatz fortschrittlicher Sensoren an Eingängen und im gesamten Arbeitsbereich, um drahtlose Geräte zu erkennen und sofort Alarm zu schlagen. Dies stellt sicher, dass keine unautorisierten Geräte in gesicherten Bereichen verwendet werden.
Zusätzlich sollten diese Systeme mit Überwachungslösungen für Druckaufträge kombiniert werden, eine „Keine Einsichtnahme oder Aufzeichnung“-Richtlinie durchsetzen und regelmäßige Kontrollen beim Verlassen der Einrichtung durchführen.
Auf der anderen Seite berichtete Dr. Brett Walkenhorst, CTO von Bastille, einem Anbieter für drahtlose Bedrohungsintelligenz, gegenüber Techopedia, dass laut öffentlich zugänglichen Medienberichten der ehemalige Luftwaffenangehörige Teixeira Zusammenfassungen geheimer Berichte erstellt und aus gesicherten Bereichen entfernt hat, um sie später in Textform hochzuladen.
„Er hat auch Kopien dieser Berichte ausgedruckt, die Dokumente persönlich entnommen und dann Fotos davon gemacht, um sie auf externe Server hochzuladen“, erklärte Walkenhorst. „Obwohl ein Telefon für die Fotos verwendet wurde, wurden diese wahrscheinlich nicht in den gesicherten Bereichen aufgenommen.“
Nizel Adams, CEO und leitender Ingenieur bei Nizel Co, einem IT-Unternehmen mit Erfahrung im Bereich DoD-Systeme und als Bundesauftragnehmer registriert, sagte gegenüber Techopedia, dass die Sicherheitskräfte Teixeira anscheinend mehrfach mit einem Telefon ins Gebäude gelassen haben – „ein schwerer Fehler“.
„Viele stellen sich vor, dass es sich um etwas aus einem Spionageroman oder Hacker-Film handelt. Jack Teixeira scheint jedoch nichts besonders Kompliziertes getan zu haben, und ich bezweifle, dass er über die notwendigen Fähigkeiten verfügt. Die Sicherheitsmaßnahmen waren so nachlässig, dass er ein Telefon ins SCIF schmuggeln konnte.“
„Als ‚IT-Guy‘ wurde Teixeira wahrscheinlich weniger streng überprüft und hatte durch seine Arbeit bereits Zugang zu hochsensiblen Dokumenten.“
Bekämpfung von Insider-Bedrohungen durch drahtlose Netzwerke
Wie im Pentagon-Memo gefordert, müssen Maßnahmen ergriffen werden, um Risiken durch drahtlose Angriffe von persönlichen oder tragbaren elektronischen Geräten zu mindern. Wir haben Walkenhorst von Bastille um eine genauere Erklärung dieser Bedrohungen gebeten.
Walkenhorst erklärte, dass das DoD seit langem die Risiken drahtloser Geräte kennt und daher Richtlinien erlassen hat, die den Einsatz solcher Geräte in sicheren Bereichen verbieten.
„Heute sind diese Risiken höher denn je, hauptsächlich aus drei Gründen: Erstens die weitverbreitete Nutzung drahtloser Geräte. Zweitens die Unsichtbarkeit der gesendeten Signale. Drittens die Schwachstellen der verwendeten Protokolle.“
Da drahtlose Geräte allgegenwärtig sind, senken sie die technischen Hürden für böswillige Insider, die ihre Exfiltrationskampagnen durchführen wollen.
Zusätzlich sind drahtlose Signale trotz Fortschritten in der Sicherheit schwer zu erkennen und zu überwachen.
„Bis heute wurden über 3000 drahtlosbezogene CVEs (Common Vulnerabilities and Exposures) in der NIST-Datenbank veröffentlicht, mit einer steigenden Zahl in den letzten Jahren“, sagte Walkenhorst.
„Diese zahlreichen Schwachstellen sind nur die Spitze des Eisbergs.“
Zu den Beispielen für drahtlose Angriffe gehören unter anderem betrügerische Mobilfunkmasten, Smartphone-Spionage-Software, physische Malware-Injektion, Evil-Twin-Angriffe, Passwort-Spraying, Distributed Denial of Service (DDoS)-Angriffe, Sitzungs-Hijacking und Credential Sniffing.
Die Rolle des Privatsektors in der Cybersicherheit des Pentagon
Techopedia hat Experten befragt, um zu klären, wie umfangreich die Systemüberholung ist, die das Pentagon-Memo erfordert, und ob der Privatsektor eine bedeutende Rolle spielen könnte.
Walkenhorst von Bastille erklärte, dass viele der im Memo genannten Anforderungen mit den vorhandenen Systemen und Technologien des Regierungsektors erfüllt werden können. Jedoch müssen diese Systeme und Technologien effektiver und umfassender genutzt werden. Darüber hinaus fordert das Memo die Einführung neuer Technologien, wie Walkenhorst erläuterte.
„Besonders wichtig ist die Notwendigkeit, technische Lösungen zu implementieren, die unbefugte elektronische Geräte erkennen und überwachen.“
Nicht nur neue Technologien, sondern auch Penetrationstests und Schwachstellenscans
Adams von Nizel Co erklärte, dass der private Cybersecurity-Sektor nicht nur Sicherheitsmaßnahmen für die Regierung bereitstellt, sondern auch bei der Identifizierung von Schwachstellen hilft.
„Sicherheitsrisikobewertungen umfassen Penetrationstests, das Aufspüren von Hochrisikonutzergruppen durch Phishing-Tests und ähnliche Verfahren. Auf Basis der gesammelten Daten aus diesen Bewertungen und Angriffssimulationen werden passende Lösungen empfohlen.“
Er wies darauf hin, dass auch andere Sicherheitslücken berücksichtigt werden sollten, etwa durch den Einsatz von Signalstörsendern und Scannern an Kontrollpunkten im gesamten Gebäude sowie durch ein umfassendes System zur Überwachung von Personen, die das SCIF betreten, deren Aufenthaltsdauer, das Drucken von Dokumenten und weitere Aspekte.
Alle SCIF-Nutzerprotokolle sollten in Berichten an die zuständigen Sicherheitsaufsichtsbehörden übermittelt werden.
Fazit: Werden alle SCIFs und SAPFs die Frist einhalten?
Die verpflichtende Einführung von Cybersicherheitsmaßnahmen kann für Behörden und Beteiligte komplex und herausfordernd sein, insbesondere unter Zeitdruck. Werden die Einrichtungen die Frist einhalten, und was passiert, wenn dies nicht gelingt?
Walkenhorst von Bastille erklärte, dass die Anforderungen des Memos möglicherweise zusätzliche Zeit, Mittel, Richtlinienaktualisierungen oder Unterstützung erfordern.
„Für DoD-Komponenten, die die Frist nicht einhalten können, wird das DoD weiterhin Anleitung geben, um eine zügige Konformität zu gewährleisten.“
Die größte Herausforderung für das Pentagon ist die riesige digitale Angriffsfläche des gesamten DoD. Zudem fordert das Memo eine Systemintegration, um eine bessere Sichtbarkeit und Analyse von Netzwerk- und Off-Network-Aktivitäten zu ermöglichen.
Auch die Finanzierung bleibt eine zentrale Aufgabe, insbesondere für die Einführung neuer Lösungen zur Erkennung drahtloser Geräte – ein Bereich, der derzeit im DoD noch nicht abgedeckt ist.
Trotz dieser Herausforderungen ist Adams von Nizel Co optimistisch, dass die Frist eingehalten werden kann.
„Viele Formulierungen im Memo sind einfach ein Aufruf zur Umsetzung der Sicherheitsanforderungen, wie etwa das Verhindern von Elektronik im SCIF. Diese Maßnahmen sind bereits in Arbeit.“
Signalstörsender können laut Adams relativ schnell installiert werden, in ein oder zwei Tagen.
„Das Scansystem benötigt zwar etwas mehr Zeit für die Bewertung und Implementierung, da entsprechende Kontrollen eingerichtet und Personal geschult werden müssen, aber es kann bis zur Frist umgesetzt werden“, so Adams.
