Dass PolizistInnen aus den polizeilichen Informationssystemen, die sie nutzen können, ihre eigene Neugierde befriedigen. Oder für Dritte interessante Informationen zu Geld machen: Das kommt immer wieder vor. So nun auch in Berlin. Was den „Datenskandal“ mit dem System POLIKS der Berliner Polizei speziell macht, ist wie banal und einfach es war, dass Unbefugte innerhalb der Polizei die Nutzerkennung eines Kollegen kapern konnten. Und damit Zugang hatten zu DEN Informationen, Vorgängen, Dokumenten und Akten, die der unwissentlich gekaperte Eigentümer hatte. Wie auch zu allen externen Datenbanken, z.B. beim BKA, Schengen Informationssystem (SIS) oder Ausländerzentralregister (AZR), mit denen der legitime Eigentümer arbeiten durfte. Diese Möglichkeit bestand über lange Zeit und war in der Berliner Polizei allgemein bekannt. Das wirft die Frage auf: Welchen rechtlichen und polizeilichen Wert haben eigentlich Informationen, Dokumente und Akten im System POLIKS, die über einen längeren Zeitraum, einfach, unbemerkt und undokumentiert von Unbefugten manipuliert werden konnten?! Insbesondere Journalisten, denen aufgrund von POLIKS-Informationen die Akkreditierung beim G20-Gipfel entzogen worden war oder auch die Ermittler der Behörden-Versäumnisse im Falle Anis Amri dürften sich mit diesem Problem beschäftigen.
Mit einem Update zur Diskussion auf Twitter zu diesem Artikel vom 26.08.2018
Die Berliner Polizei hat ein Problem – diesmal mit POLIKS, ihrem polizeilichen Informationssystem. Das erlaubte es nämlich, so berichtet der Berliner Kurier [1], dass eine Polizistin ihre Nachbarin über Monate ausspähte, dass ein Polizeibeamter eine Bande von Drogendealern rechtzeitig vor einer Razzia warnen konnte oder dass männliche Kollegen einer Kollegin nachspionieren konnten, um herauszufinden, ob sie sich von ihrem Mann getrennt hatte [a]. Zu große Neugierde oder auch das Aufbessern des eigenen Geldbeutels mit dem Verkauf von Informationen aus dem polizeilichen Informationssystem ist nichts Neues und passierte in den letzten Jahren in diversen deutschen Polizeidienststellen [b]. Wir nehmen einfach mal an, dass noch viel mehr dieser Art passiert, als öffentlich wird. Was einerseits am begrenzten Interesse der jeweiligen Behördenleitung nach zu großer Transparenz in solchen Dingen liegt und andererseits an der Tatsache, dass die angebliche Kontrolle durch Datenschutzbeauftragte ein recht zahnloser Tiger ist [c].
So einfach war es, Zugang zum polizeilichen Informationssystem POLIKS zu bekommen
Was den Fall in Berlin unserer Ansicht nach zum „Skandal“ macht, ist wie einfach es war, in das System POLIKS missbräuchlich einzudringen:
- Der Eindringling musste – erstens – physisch Zugang zu einem Arbeitsplatzrechner haben, auf dem POLIKS „lief“. Das trifft auf rund zwanzigtausend Berliner Polizisten zu. Und Reinigungskräfte und sonstige Personen, die sich in den Räumen der Berliner Polizei aufhalten können, ohne aufzufallen.
- Den zweiten Baustein auf dem Weg zu den gewünschten Informationen kennt angeblich jeder Polizist in Berlin: POLIKS verwendet nämlich die Personalnummer des jeweiligen Beamten als Nutzerkennung. Das ist nicht unbedingt ungewöhnlich und auch nicht verdammenswert. In der Polizei Berlin ist die Personalnummer anscheinend so etwas wie die innerbehördliche ID für die Mitarbeiter. Sie steht, namensgleich, auf vielen im Behördenalltag einsehbaren schriftlichen und elektronischen Dokumenten. Innerhalb der Berliner Polizei weiß man also, dass der Kollege Stefan Maier die Personalnummer 13876 hat. In anderen Polizeiorganisationen werden Nutzerkennungen aus dem zusammengesetzten Vor- und Nachnamen gebildet. Insofern hat die Personalnummer sogar noch Vorteile, gegenüber den „MaikMueller3“-Konstrukten in anderen Behörden. Denn wer ist schon gerne „Nummer 3“?! Fazit also: Auf die Nutzerkennung eines Polizeibeamten xyz kann jeder kommen, der sich ein ganz klein wenig mit den Usancen des jeweiligen Behördensystems auskennt.
- Und – drittens – sollte der Eindringling wissen, dass
- der Umfang der (elektronischen) Akten und Dokumente, sowie Informationen und
- das Ausmaß der Funktionen, die man in POLIKS benutzen darf,
verbunden ist mit der Nutzerkennung. Das mag für die Ausforschung, ob über die Frau Nachbarin ein Eintrag im Fahndungssystem von INPOL enthalten ist, noch nicht so relevant sein, bekommt aber Bedeutung, wenn sich jemand zum Beispiel für Journalisten interessieren sollte, die bei Demonstrationen den polizeilichen Staatsschützern aufgefallen sind. Denn solche Informationen wären in Datenbanken zu suchen, die z.B. nur Mitarbeitern aus dem polizeilichen Staatsschutz offenstehen. Insofern ist es opportun für den Eindringling, sich die Personalnummer = Nutzerkennung eines Nutzers zu besorgen, der über den Zugang zu DEN gewünschten Akten/Dokumenten/Informationen UND über die entsprechenden funktionalen Befugnisse verfügt.
Wie man ein neues Passwort für eine „gekaperte“ Nutzerkennung bekommt
Damit aber nicht jedermann sich Zugang zu einem System wie POLIKS verschaffen kann, gibt es neben der Nutzerkennung auch den eigentlichen Zugangsschlüssel: Das Passwort. Wir wollen hier gar nicht auf die Regeln für den Umgang mit persönlichen Passwörtern eingehen, denn an denen hat es nicht gelegen. Irgendwann aber kommt – ganz menschlich – mal der Punkt, wo man/frau mit dem selbst zuletzt veränderten Passwort nicht mehr reinkommt ins System. In Berlin ist das nach den vorliegenden Zeitungsberichten [1, 2] so geregelt, dass man probiert – einmal, zweimal, dreimal – und dann sperrt POLIKS den Zugang. So weit, so gut: Auch das noch kein Skandal. In einem solche
Dokumentation / Protokollierung von Sperrungen / Entsperrungen?!
Anscheinend Fehlanzeige
Nach dem Bericht im Berliner Kurier [=1] wurde dieser Vorgang übrigens auch nicht dokumentiert bzw. protokolliert. Wenn das zutrifft, handelt es sich um den zweiten Skandal. Es bedeutet nämlich, dass Interessenten an Informationen UND Funktionen im System POLIKS sich unter Ausnutzung der Kenntnis über eine bestimmte Nutzerkennung Zugang zum System verschaffen konnten und darin die gleichen Rechte hatten, wie der legitime Eigentümer der so gekaperten Kennung. Dass aber hinterher niemand mehr nachvollziehen kann, ob dies und wann und für welchen Zeitraum dies geschehen ist.
Aus der einfachen Möglichkeit, Nutzerkennungen zu kapern UND der fehlenden Protokollierung folgt, dass der gesamte Akten- / Dokumenten- und Informationsbestand im System POLIKS unter Vorbehalt zu sehen ist. Weil – theoretisch – eine einfache Möglichkeit für Unbefugte bestand, sich Zugang zum System zu verschaffen und darin nicht nur Akten / Dokumente / Informationen einzusehen, sondern auch – entsprechende Funktionsbefugnisse vorausgesetzt – solche anzulegen bzw. zu bearbeiten, d.h. zu verändern! Noch ungeklärt ist die Frage, wie lange eigentlich dieser System- bzw. Designfehler von POLIKS bestand und ob er inzwischen durch ein sichereres Verfahren ersetzt wurde.
Die „Powers“ einer Nutzerkennung
Und da wird die Sache fatal: Denn mit der Nutzerkennung sind in einem polizeilichen Informationssystem auch die funktionalen Befugnisse dieses Nutzers verbunden. Befugnisse, im Englischen auch als „Powers“ bezeichnet, statten den Nutzer mit „Macht“ aus: Das wird Ihnen sehr vertraut vorkommen, wenn Sie mit World of Warcraft oder ähnlichem Zeitvertreib vertraut sind.
Zugang zu Datenbanken
Dazu können auch Datenbanken mit sehr sensitiven Informationen gehören: Wie z.B. die Datenbank Gewalttäter Links [A]. Dies setzt lediglich voraus, dass die gekaperte Nutzerkennung über diese Befugnisse verfügt. Die Datenbank Gewalttäter Links, eine so genannte „Verbunddatei“ spielte eine Rolle im Zusammenhang mit dem Entzug von Journalisten-Akkreditierungen beim G20-Gipfel im Sommer 2017. Für einige Journalisten beruhte der Entzug der Akkreditierung auf Informationen in dieser Datenbank, die direkt via POLIKS von der Berliner Polizei in die BKA-Datenbank geflossen waren [e] [B]. Mit dem oben dokumentierten System- bzw. Designfehler in POLIKS kann eine solche Information theoretisch also von jedem kundigen Nutzer von POLIKS produziert worden sein, wenn er sich nur die Personalnummer mit den richtigen „Powers“ besorgt und dann gegenüber dem Helpdesk vorgibt, er hätte das Passwort vergessen. Und was die Sache noch schlimmer macht: Der jeweilige legitime Eigentümer der gekaperten Nutzerkennung wird dann als Ersteller oder Bearbeiter der entsprechenden Information, auch im BKA-System, gespeichert [f], obwohl er, wie gerade gezeigt, unter Umständen davon nicht die geringste Ahnung hat. Und sich – dies ist die Folge für die Journalisten-Angelegenheit – sich daher auch niemals von sich aus um die Korrektur eventuell falscher oder nicht mehr aktueller Informationen in der Datenbank beim BKA (im Fall der Journalisten: Gewalttäter Links) kümmern wird, da er von denen ja nichts weiß …
Funktionale Befugnisse
POLIKS ist ein Vorgangsbearbeitungssystem [C] und „Meilenstein auf dem Weg zum papierlosen Büro“ [4]. Mit den Powers einer Nutzerkennung sind daher auch die Befugnisse verbunden, bestimmte (elektronische) Akten, (elektronische) Dokumente und Informationen im System POLIKS zu durchsuchen, zu öffnen und einzusehen. Meist ist dieses Recht damit gekoppelt, dass der Nutzer in einer bestimmten Organisationseinheit der Berliner Polizei arbeitet: Heißt praktisch: Er darf die Akten, Dokumente und Informationen durch Suchen auffinden, öffnen und einsehen, die über Laden- oder Fahrraddiebstahl gespeichert sind, wenn er im Referat Massenkriminalität, Sachgebiet Ladendiebstahl bzw. Fahrraddiebstahl arbeitet. Oder auch Akten, Dokumente und Informationen durch Suchen auffinden, öffnen und einsehen über Journalisten, die dem Staatsschutz der Berliner Polizei aufgefallen sind, wenn der entsprechende Nutzer im zutreffenden Referat (links, rechts, pmk, …) der Abteilung für Staatsschutz arbeitet.
Und dann gibt es noch die Powers einer Benutzerkennung, die den aktuellen Besitzer dieser Kennung die Möglichkeit geben, ihm zugängliche Akten, Dokumente und Informationen auch anzulegen bzw. zu bearbeiten und zu verändern. Hier kommt der Fall Anis Amri, des Attentäters von Berliner Breitscheidplatz, ins Spiel. Denn dieser Anis Amri wurde monatelang von der Berliner Polizei polizeilich „bearbeitet, was jedoch leider nicht dazu führte, dass er VOR dem Attentat aus dem Verkehr gezogen worden wäre. Das Ganze war, wie Sie wissen, ein großer Skandal und führte dazu, dass der Berliner Senat einen Sonderbeauftragten einsetzte, der herausfinden sollte, was eigentlich vor dem Attentat bei der Bearbeitung durch die Berliner Behörden, die Polizei im Besonderen, schief gelaufen war. Bruno Jost, ein Bundesanwalt beim Bundesgerichtshof a.D. legte dazu im Oktober 2017 seinen Abschlussbericht vor [3]: Darin lässt er sich an verschiedenen Stellen auch auf den Umgang in der Berliner Polizei mit dem System POLIKS aus: Es ergibt sich daraus insbesondere, dass es mit POLIKS möglich war, Aktenbestände nachträglich zu manipulieren, um damit zu vertuschen, dass es – vor dem Anschlag – die Möglichkeit gegeben hätte, den Amri wegen Drogenvergehen aus dem Verkehr zu ziehen. Im Bericht des Sonderermittlers ist dargelegt, wie dies geschehen ist.
Im Abschlussbericht des Sonderermittlers ist noch gar nicht erwähnt, was der oben ausführlich erklärte Fehler in POLIKS – theoretisch – auch noch denkbar macht: Dass nämlich ein bisher nicht bekannter N.N. sich mit einer gekaperten Nutzerkennung eines mit der Sachbearbeitung des Falles Anis Amri betrauten Kriminalbeamten verschaffte und die Dokumenten- und Aktenmanipulationen vornahm, die der Sonderermittler ausführlich beschrieben hat.
Update vom 26.08.2018
Ein Twitter-Nutzer „Hauptstadtbeamter / @HSB-FORUM“ warf sich am 26.8. für POLIKS und die Polizei Berlin in die Bresche und kritisierte, der Artikel sei „schlecht bzw. gar nicht recherchiert mit unzulässigen Ableitungen“. Den von uns zitierten Artikeln in Berliner Zeitung [=1] und im Tagesspiegel [=2] wurde vorgeworfen, dass die „Quelle dieser These da schlicht mit völlig veralteten Informationen, welche sie an die Presse weiterspielte“ [hantierte].
Die im Tweet auch erwähnte, angeblich „eindeutige“ Stellungnahme des Pressesprechers der Berliner Polizei“ war weder zitiert/angefügt, noch konnten wir die auf der Seite der Presseabteilung der Berliner Polizei finden. Vom Twitter-Nutzer @polizeiberlin findet sich dieser „Faktencheck“:
Dazu stellen wir fest
- Dass die Berliner Polizei „klare Regeln zur Datenabfrage“ hat, ist eine Selbstverständlichkeit, hat aber mit den konkreten Vorgängen um POLIKS nichts zu tun. Vor allem dann nicht, wenn sich Nutzer NICHT an solche Regeln halten… Es mag ja auch diese Regel geben: „Du sollst keine fremden Kennungen kapern!“ …
- Dass „jeder Zugriff protokolliert“ wird, nützt im beschriebenen Fehlerfall nichts, da dann ja lediglich protokolliert würde, dass ein illegitimer Nutzer mit einer gekaperten legitimen Nutzerkennung einen Zugriff getätigt hat. Interessant wäre übrigens auch, was hier konkret unter „Zugriff“ zu verstehen ist: Polizeibehörden argumentieren sehr gerne so, werden aber sehr schmallippig, wenn man mal konkret nachfragt, was eigentlich protokolliert wird: . Logon/Logoff, oder doch Zugriff auf welche Information, welchen Vorgang, welches Dokument und – wenn ja – Zugriff in welcher Form: Abfragend, Erstellend, Bearbeitend/verändern, gar Löschend??
- Auch dass es „stichprobenartige Kontrollen“ gibt, hat mit den beschriebenen Vorgängen wenig zu tun.
- Und was „einzelne, unerlaubte Zugriffe“ angeht: Darüber wüssten sicher nicht nur wir und die Kollegen von Berliner Zeitung und Tagesspiegel gerne Konkreteres…
Fazit also: Der „Faktencheck“ von @polizeiberlin geht auf die berichteten Fakten im Zusammenhang mit gekaperten Nutzerkennungen in POLIKS überhaupt nicht ein. Vielleicht war’s zu technisch?! (siehe unten)
Fehler angeblich „seit 2017“ korrigiert
Unter dem Tweet zum „Faktencheck“ fand sich noch die nach einer „Zwei-Faktoren-Authentifizierung“(siehe https://de.wikipedia.org/wiki/Zwei-Faktor-Authentisierung) und die Antwort, dass diese „2017 eingeführt“ wurde.
Damit wird insinuiert, dass diese nicht näher erklärte „Zwei-Faktoren-Authentifizierung“ das Problem behoben hat, dass also das einfache Kapern einer Nutzerkennung in POLIKS seit einem – nicht genannten Zeitpunkt in 2017 – nicht mehr möglich ist. Wir fragen uns allerdings, warum die Berliner Datenschutzbeauftragte dann so lange braucht, das Problem zu untersuchen UND zu einem (mit der Berliner Polizei abgestimmten?!) Ergebnis zu kommen.
Über die von uns beschriebene – theoretische – Möglichkeit der Manipulation BIS ZU DIESER ÄNDERUNG sind uns keine Einlassungen offizieller Stellen der Berliner Polizei bekannt:
- Der Anschlag auf dem Berliner Breitscheidplatz ist am 16.12.2016 geschehen, tatsächlich ERFOLGTE Manipulationen in der mit POLIKS geführten (elektronischen)“Akte“ zum späteren Attentäter Anis Amri sind in dem von uns als Beleg genannten Abschlussbericht des Sonderermittlers Bruno Jost [3] beschrieben.
- Im Zuge der Journalisten-Akkreditierungs-Affäre beim G20-Gipfel war auch der Berliner Fotograf „Fl. Bo.“betroffen, der im März 2016 bei einer Demonstration in Berlin in eine Rempelei mit einer Polizistin geraten war. Als das (von der Polizistin angestrengte) Verfahren gegen den Mann im Mai 2017 mit einem Freispruch erster Klasse eingestellt wurde, war der Fotograf in der Verbunddatei ‚Gewalttäter Links‘, die beim BKA geführt wird, schon als einschlägig Auffälliger gelistet. Wir hatten in unserem Artikel zu diesem Fall [=B] seinerzeit gefragt: „Warum wurde zwar die Anzeige gegen ihn, nicht aber die Einstellung des Verfahrens in der Verbunddatei erfasst?! Denn die Einstellung hätte umgehend zur Löschung des Datensatzes führen müssen?!Für Fl. Bo. kam es noch toller: Ein Datensatz über ihn fand sich auch in der Zentraldatei ‚Politisch motivierte Kriminalität‘ (PMK) des BKA. Wer hat aus welchen Gründen den Eintrag in dieser Datei veranlasst?“
Dieser Veröffentlichung war unsere Presseanfrage PA2017.08-03 vom 22.08.2017 an die Pressestelle der Berliner Polizei vorausgegangen. Mit der wir um Auskunft baten,
„wie, d.h. mit welchem IT-System (z.B. CASA, POLIKS, oder anderes) bzw. Verfahren die Polizei Berlin
a) Informationen in diese Verbunddatei eingibt?
b) die ihr dort als „Besitzer“ zuzurechnenden Informationsbestände pflegt (bzw. löscht)? und
c) Informationen aus dieser Datenbank abfragt?“Wir erhielten am 25.08.2071 zur Antwort auf die Frage (a), dass diese Informationen „direkt aus POLIKS“ bearbeitet werden. Die anderen Fragen konnte die Pressestelle nicht beantworten, da sie „zu technisch„ seien.
Fußnoten
[a] Dies, wie gesagt, berichtet der Berliner Kurier: Die naheliegende Frage, worin der ZWECK bestehen soll, solche privaten Informationen in ein polizeiliches Informationssystem einzugeben, möchten wir hier zumindest mal aufwerfen. Denn NOCH verlangt das Gesetz für die Speicherung von Daten in einem solchen System nach einem entsprechenden Zweck.
[b] zu googeln mit den Suchbegriffen „Polizeibeamter Geheimnisverrat“
[c] Der Tagesspiegel berichtet [=2], dass die Berliner Datenschutzbeauftragte „mit dem Thema seit mehr als einem Jahr befasst“ ist. Diese Prüfung dauerte Anfang dieser Woche noch an. Ursprünglich habe die Datenschutzbeauftragte „der Darstellung der Polizei vertraut“, dass „die Sicherheitsvorkehrungen ausreichend“ seien. Eine solches geradezu kollegiales Vertrauensverhältnis zwischen Datenschützern und den zu Kontrollierenden ist der Autorin in ihrer beruflichen Praxis auch in anderen Polizeibehörden wiederholt begegnet.
[d] Aus den vorliegenden Berichten ist nicht genau zu erkennen, ob ein neues Passwort vom Helpdesk vergeben und dem Anrufer mitgeteilt wird oder ob an den Arbeitsplatz des Nutzers (welcher das ist, müsste dann also im System hinterlegt sein) die Aufforderung geschickt wird, ein individuelles neues Passwort einzugeben.
[e] Antwort der Pressestelle vom 25.08.2017 der Berliner Polizei auf unsere Presseanfrage: Demnach können berechtigte Nutzer direkt aus dem System POLIKS Informationen in die Verbunddatei Gewalttäter Links eingeben, bzw. dort abfragen oder (entsprechende Rechte vorausgesetzt) auch bearbeiten.
[f] Ob als Eigentümer einer bestimmten Information in einem polizeilichen Informationssystem der individuelle Nutzer eingetragen wird oder ein „Gruppenname“, der eine bestimmte Organisationseinheit identifiziert (z.B. das Sachgebiet PMK-links im Staatsschutzreferat des LKA) kann nicht allgemeingültig gesagt werden. Mal so, mal so: Abhängig von der jeweiligen Ziel-Datenbank.
Quellen
[1] Gestalkte Polizistin, verratene Razzien: So missbrauchen Polizisten geheime Daten, 19.08.2018, Berliner Kurier
https://www.berliner-kurier.de/berlin/polizei-und-justiz/gestalkte-polizistin–verratene-razzien-so-missbrauchen-polizisten-geheime-daten–31130114
[2] Droht der Berliner Polizei ein Datenschutz-Skandal?, 20.08.2018, Tagesspiegel
https://www.tagesspiegel.de/berlin/sicherheitsluecken-im-polizei-system-droht-der-berliner-polizei-ein-datenschutz-skandal/22933306.html
[3] Abschlussbericht des Sonderbeauftragten des Senats für die Aufklärung des Handelns der Berliner Behörden im Fall AMRI, 10.10.2017, Der Sonderbeauftragte des Senats von Berlin, Bundesanwalt b. Bundesgerichtshof a.D. Bruno Jost
https://www.berlin.de/sen/inneres/presse/weitere…/abschlussbericht-bruno-jost.pdf
[4] POLIKS für die Berliner Polizei, Datenblatt, 04.2015, T-Systems
https://www.t-systems.com/blob/213744/…/DL_REF_Berliner_Polizei.pdf
Verwandte Beiträge
[A] Der polizeiliche Staatsschutz und seine Datenbanken, 06.10.2017, POLICE-IT
https://police-it.org/der-polizeiliche-staatsschutz-und-seine-datenbanken
[B] Wie Journalisten zu Gewalttätern (gemacht) werden. 21.08.2017, POLICE-IT
https://police-it.org/wie-journalisten-zu-gewalttaetern-gemacht-werden
[C] Vorgangsbearbeitungssysteme in deutschen Polizeibehörden, 26.01.2017, POLICE-IT
https://police-it.org/vorgangsbearbeitungssysteme-in-deutschen-polizeibehoerden
Copyright und Nutzungsrechte
(C) 2018 CIVES Redaktionsbüro GmbH
Sämtliche Urheber- und Nutzungsrechte an diesem Artikel liegen bei der CIVES Redaktionsbüro GmbH bzw. bei dem bzw. den namentlich benannten Autor(en). Links von anderen Seiten auf diesen Artikel, sowie die Übernahme des Titels und eines kurzen Textanreißers auf andere Seiten sind zulässig, unter der Voraussetzung der korrekten Angabe der Quelle und des/der Namen des bzw. der Autoren. Eine vollständige Übernahme dieses Artikels auf andere Seiten bzw. in andere Publikationen, sowie jegliche Bearbeitung und Veröffentlichung des so bearbeiteten Textes ohne unsere vorherige schriftliche Zustimmung ist dagegen ausdrücklich untersagt.