KI deckt Sicherheitslücken in Gemeinde-Webseiten auf
Über eine Million Dateien in einer Gesamtgröße von über 5000 Gigabyte wurden Anfang September im "Darknet" veröffentlicht, nachdem sich die Berliner Senatsverwaltung geweigert hatte, zwei Millionen Euro "Lösegeld" für diese bei einem Hackerangriff "abgesaugten" Daten zu zahlen. Darunter sind höchst persönliche Daten von Bürgern bis hin zu angeblich staatssicherheitsrelevanten Informationen.
Bemerkt wurde der Angriff angeblich "schnell" - doch bis zur Entdeckung vergingen bis zu fünf Tage! Danach waren Senatsverwaltungen vom Internet abgetrennt worden, u.a. konnten online keine Briefwahlunterlagen für die Wahl zum Berliner Abgeordnetenhaus angefordert werden und die Mitarbeiter waren nur noch telefonisch, aber nicht mehr per Email erreichbar.
Wer jetzt - vorschnell - denkt "typisch Berlin", der hat schon vergessen, dass solche Vorfälle bundesweit regelmäßig bei Städten, Gemeinden, Krankenhäusern, Schulen, Firmen und Behörden bekannt werden und ein Hackerangriff mit sogenannter Ransomware vor zwei Jahren auch die IT-Systeme der VHS Vaterstetten lahmlegte. Es wurden sensible Daten entwendet, auch diese tauchten später im "Darknet" auf.
Und nur wenige Tage nach dem Angriff in Berlin wurde die Ludwigs-Maximilians-Universität zu München angegriffen. Tröpfchenweise kam bisher heraus, dass wohl die Daten von LMU-Studenten der letzten 50 Jahre "abgesaugt" worden waren - mehrere Millionen Personen dürften betroffen sein. Auch diese Behörde zeichnete sich nicht durch Schnelligkeit bei der Aufdeckung ind Information der Betroffenen aus.
Welche Behörden Opfer von Hackerangriffen geworden sind, das wird in Bayern wie ein Staatsgeheimnis gehütet. Mit Informationsverweigerung und Intransparenz versucht die Bayerische Staatsregierung den Glauben und das Vertrauen in staatliches Handeln aufrecht zu erhalten, auch um die Risiken und eingetretenen Schäden der vielbeschworenen "Digitalisierung der Verwaltungen" nicht zu offenkundig werden zu lassen. Bei parlamentarischen Anfragen im Landtag wird regelmäßig die Auskunft verweigert: "Die Staatsregierung ist nach sorgfältiger Abwägung des Informationsrechts des Abgeordneten mit dem Staatswohl, das durch Bekanntwerden geheimhaltungsbedürftiger Informationen gefährdet werden könnte, zu der Auffassung gelangt, dass aufgrund der Schutzbedürftigkeit der erbetenen Informationen eine Beantwortung der Fragen ... teilweise nicht erfolgen kann." (LT-Drs. 19/6511).
Und dass die Staatsregierung "über Cyberangriffe auf Kommunen, Krankenhäuser und einen Großteil der bayerischen Unternehmen keine belastbaren Statistiken hat, da hierfür keine Meldepflichten existieren" (Antwort auf eine Anfrage von Florian von Brunn (SPD) vom September 2025, LT-Drs. 19/8802), das glaubt dem "Kontrollfreak" Innenminister Herrmann ohnehin niemand mehr, zumal sich die Webseite seines Ministeriums bei unseren Tests als die bei Weitem anfälligste erwiesen hat.
Die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, wird nicht müde, Bürger, Firmen und Behörden aufzufordern, zur Abwehr von Angriffen aus dem Internet auf ihren Computern immer die aktuellsten Updates einzuspielen. Das fordern zwar auch Innenminister Herrmann und Heimatminister Füracker in ihrem Bericht "Cybersicherheit in Bayern 2025", stellen aber resignierend fest, dass dies scheinbar kaum jemand interessiert: "Dabei hätte eine Vielzahl der erfolgreichen Angriffe durch das rechtzeitige Einspielen der zur Verfügung stehenden Sicherheitsupdates (Patches) vermieden, zumindest aber erschwert werden können. Dies erfolgt aber in vielen Fällen immer noch zu spät oder gar nicht. Zum Teil liegt das darin begründet, dass Einrichtungen keine eigenen Kontrollmechanismen umsetzen und sich ausschließlich auf die rechtzeitige Umsetzung durch ihre IT-Dienstleister verlassen."
Vor sechs Jahren hatten wir uns die Sicherheit von kommunalen Sitzungssystemen näher angeschaut und sind dabei auf erhebliche Mängel gestoßen (Der Oberbayer, Heft Juli 2020 - Digitalisierung in den Kommunen).
Diesmal haben wir die KI Claude von Anthropic beauftragt, sich die Internetauftritte von Kommunen und Behörden im Landkreis hinsichtlich Aktualität der eingesetzten Software, insbesondere die Javascript-Bibliotheken, und deren Schwachpunkte genauer anzuschauen. Denn da die Internetpräsenzen immer mehr zu Schnittstellen mit dem Bürger ausgebaut werden, über die er Anträge stellen kann, Daten eingeben und Informationen erlangen kann, werden diese auch immer mehr zu Einfallstoren für Hacker. Und wenn solche Schnittstellen Sicherheitslücken aufweisen, ist es noch das "harmloseste", wenn eine gemeindliche Internetseite in eine russische Porno-Tauschzentrale umfunktioniert wird - schlimmstenfalls droht ein Szenario wie jetzt in Berlin.
Wie erfolgte die Prüfung?
Mit einem von Claude erstellten Script wurde zunächst die Startseite jeder Gemeindewebsite auf den PC heruntergeladen. Nach der Analyse des Quelltextes durch das Script wurden alle gefundenen Javascript- und CSS-Dateien heruntergeladen. Dann wurden alle diese Dateien zu Claude hochgeladen und der Befehl erteilt:
Prüfe, ob die Javascript-Dateien auf der Startseite der Domain www.gemeindename.de auf dem aktuellen Stand sind, wie alt die verwendeten Javascript-Dateien sind, welche Schwachstellen und Exploits bekannt sind und schreibe einen docx-Report nach dem hochgeladenen Muster, in dem in einer Tabelle die Schwachstellen und Exploits der verwendeten Javascript-Dateien aufgelistet sind, und fasse die Ergebnisse im Report in einigen Sätzen zusammen.
Dank der KI von Claude sind dafür keine großen IT-Kenntnisse erforderlich, d.h. auch in der kleinsten Gemeinde, erst recht bei den IT-Dienstleistern, sollte sich jemand finden lassen, der diese Prüfung hätte durchführen können.
Während man bei kleinen Behörden wie z.B. dem Wasserbeschaffungsverband Eglharting nicht überrascht ist, dass diese es als einzige im Testfeld noch nicht einmal geschafft hat, eine sichere https-Internetverbindung zu ihrem Server einzurichten (dass der vor über fünf Jahren verstorbene ehemalige Vorsitzende immer noch als Verantwortlicher in der Datenschutzerklärung angegeben ist, ergänzt nur dieses erschreckende Bild), frägt man sich bei den anderen Behörden, ob die beauftragten IT-Dienstleister durchwegs inkompetent sind oder ob man in den Rathäusern irrigerweise meint, dass eine einmal erstellte Internetpräsenz keine permanente Wartung benötige.
In die erste Kategorie könnte die vom Kirchseeoner Bürgermeister Jan Paeplow beauftragte Firma fallen, die zwar Ende Juni ein komplettes Redesign der gemeindlichen Webseiten erstellte, aber dabei laut Claude veraltete Software mit bekannten Exploits einsetzte, d.h. im Internet soll es bereits konkrete Anleitungen geben, wie man solche Server hacken kann! Dass sich die Ladezeiten der Webseiten seitdem vervielfacht haben und vom Bürger (zu)viel Geduld fordern, zeigt nur, dass sich die Gemeinden alles andrehen lassen, wenn nur "KI" draufsteht.
Auch dem Grafinger Bürgermeister Christian Bauer stellt Claude für grafing.de ein schlechtes Zeugnis aus: "Eine Überprüfung des Quelltexts und der eingebundenen Frontend-Skripte von grafing.de zeigt eine signifikante Veralterung der genutzten JavaScript-Bibliotheken... Besonders kritisch ist der Einsatz von jQuery v2.0.2 aus dem Jahr 2013, für das mehrere bekannte Schwachstellen bezüglich Cross-Site Scripting (XSS) und Prototype Pollution vorliegen. Auch jQuery UI v1.13.1 weist veraltete Muster mit verknüpften XSS-Risiken auf. Das Slider-Plugin Slick (1.8.0) wird seit 2017 nicht mehr gepflegt."
Und auch dem Zornedinger Bürgermeister Piet Mayr, verantwortlich für zorneding.de, bescheinigt Claude: "Am gravierendsten ist der Rückstand bei jQuery (1.11.3, ca. 10,7 Jahre hinter der aktuellen Version 4.0.0) und jQuery UI (1.12.1, ca. 8,3 Jahre hinter 1.14.2) - für beide sind zusammen acht öffentlich dokumentierte XSS-Schwachstellen bekannt." Der IT-Dienstleister von zorneding.de geniert sich nicht, seinen Namen im Quelltext zu nennen. Ein Anruf mit der Frage, welche Zertifizierungen und Qualifizierungen die Firma und die Mitarbeiter haben (auf deren Website konnte dazu nichts entdeckt werden), stieß dort auf Erstaunen...
Doch es braucht gar keinen Angriff "fremder Mächte" über das Internet, damit sensible Daten der Bürger in unbefugte Hände geraten können. Viel leichter wäre es, sich über die z.B. im Kirchseeoner Rathaus offen herumliegenden Netzwerkkabel Zugang zum Intranet zu verschaffen. Und noch viel einfacher wird es dank laxer Zugriffsregelungen zu sensiblen Daten, so wie z.B. im Rathaus Kirchseeon, in dem offenbar jeder "Hinz und Kunz" Zugang zu den Melderegisterdaten hat, oder in der Kreisklinik Ebersberg, in der - so wie der Verfasser vor ein paar Jahren selbst erlebte - Ärzte über das klinikinterne Netzwerk Zugang zu Daten von Patienten hatten, auch wenn sie diese gar nicht behandelt haben.
Die BSI-Chefin Plattner befürchtet, dass eine künftig KI-gestützte Entdeckung von Schwachstellen die "digitale Infrastruktur ab sofort so verwundbar wie nie zuvor" macht. Angesichts der obigen Ergebnisse scheint gewiss, dass die Kommunen und Behörden im Landkreis diesen Herausforderungen nicht gewachsen sind, und der Bürger gut beraten ist, mit seinen persönlichen Daten nicht freigiebig umzugehen.
Dieser Artikel ist eine fortgeschriebene Fassung der in der Zeitschrift "Der Oberbayer", Heft Oktober 2026, erschienenen Erstversion. Artikel mit lokalem Bezug aus dieser Zeitschrift werden mit ein paar Wochen Verzögerung an dieser Stelle abgedruckt. Den Beitrag in der aktuellen Ausgabe finden Sie auf der Seite https://www.kirchseeon-intern.de/der-oberbayer.htm oder auf "Der Oberbayer"