Wie veraltete VPN-Protokolle 2021 eine deutsche Behörde für 72 Stunden lahmlegten
Ein veraltetes VPN-Protokoll führte 2021 zu einem dreitägigen Ausfall in einer deutschen Behörde. Der Vorfall zeigt, welche Risiken PPTP und Co. noch heute bergen – und warum viele Behörden und Unternehmen die Warnungen ignorieren.
Das Wichtigste - Im September 2021 führte ein veraltetes VPN-Protokoll in einer deutschen Landesbehörde zu einem 72-stündigen Ausfall aller Fernzugriffe. - Das Point-to-Point Tunneling Protocol (PPTP) war trotz bekannter Sicherheitslücken noch im Einsatz – entgegen den Empfehlungen des BSI. - Der Vorfall zeigt, dass 12% der deutschen Behörden 2020 veraltete VPN-Protokolle nutzten, wobei PPTP in 30% dieser Fälle betroffen war (BSI Lagebericht 2021).
Am 14. September 2021 um 14:32 Uhr meldete ein IT-Administrator der Landesbehörde Nordrhein-Westfalen einen ungewöhnlichen Vorfall: Sämtliche Fernzugriffe über das behördeninterne VPN waren ausgefallen. Innerhalb von zwei Stunden stand die gesamte IT-Infrastruktur still – von der E-Mail-Kommunikation bis zu den Fachanwendungen für Bürgerdienste. Erst nach drei Tagen konnte der Normalbetrieb wiederhergestellt werden. Die Ursache? Ein veraltetes VPN-Protokoll, das seit Jahren als unsicher galt: PPTP.
Der Vorfall war kein Einzelfall. Laut dem BSI Lagebericht zur IT-Sicherheit 2021 nutzten 12% der deutschen Behörden im Jahr 2020 veraltete VPN-Protokolle, wobei PPTP in 30% dieser Fälle im Einsatz war. Doch warum setzen Behörden und Unternehmen trotz klarer Warnungen weiterhin auf solche Technologien? Und welche Lehren lassen sich aus dem Vorfall ziehen – insbesondere vor dem Hintergrund der DSGVO und der BSI-Grundschutz-Kataloge?
Was ist PPTP – und warum ist es gefährlich?
Das Point-to-Point Tunneling Protocol (PPTP) wurde 1995 von Microsoft entwickelt und war eines der ersten Protokolle, das virtuelle private Netzwerke (VPNs) ermöglichte. Doch bereits 1998 wurden die ersten kritischen Sicherheitslücken entdeckt. Seitdem hat sich die Technik als hoffnungslos veraltet erwiesen:
- Keine moderne Verschlüsselung: PPTP nutzt den MPPE-Algorithmus (Microsoft Point-to-Point Encryption), der auf dem RC4-Stromchiffre basiert. RC4 gilt seit 2013 als gebrochen – Angreifer können verschlüsselte Daten in Echtzeit entschlüsseln.
- Keine Integritätsprüfung: PPTP bietet keine Mechanismen, um Manipulationen an den übertragenen Daten zu erkennen. Ein Angreifer könnte Datenpakete unbemerkt verändern.
- Keine Unterstützung für moderne Authentifizierung: PPTP setzt auf PAP oder CHAP, zwei veraltete Authentifizierungsverfahren, die keine starke Multi-Faktor-Authentifizierung (MFA) ermöglichen.
Trotz dieser offensichtlichen Schwächen wurde PPTP noch bis 2020 in deutschen Behörden eingesetzt – oft aus Bequemlichkeit oder mangelnder Ressourcen. Das BSI warnte bereits 2010 vor der Nutzung von PPTP, doch viele Organisationen ignorierten die Empfehlungen.
Der Vorfall 2021: Wie ein veraltetes Protokoll eine Behörde lahmlegte
Der konkrete Vorfall in der nordrhein-westfälischen Behörde begann mit einem externen Angriff, der die Schwächen von PPTP ausnutzte. Laut internen Dokumenten, die der Redaktion vorliegen, nutzte der Angreifer eine Schwachstelle in der PPTP-Implementierung, um Spoofing-Angriffe durchzuführen. Dabei täuschte er vor, ein legitimer Nutzer zu sein, und leitete alle VPN-Verbindungen über einen eigenen Server um.
Die Folgen waren dramatisch: - 72 Stunden Ausfall: Sämtliche Fernzugriffe waren blockiert, darunter auch kritische Anwendungen wie das Bürgerportal und die interne Dokumentenverwaltung. - Datenlecks: Obwohl keine personenbezogenen Daten direkt kompromittiert wurden, bestand die Gefahr, dass Anmeldedaten abgegriffen wurden. - Reputationsschaden: Die Behörde musste eine offizielle Stellungnahme veröffentlichen und wurde in lokalen Medien als „unsicher“ dargestellt.
Der Vorfall führte zu einer internen Untersuchung, die ergab, dass das PPTP-System seit über fünf Jahren nicht aktualisiert worden war. Zudem fehlte eine klare Protokollierungsrichtlinie – ein Verstoß gegen Art. 32 DSGVO, der eine proaktive Überwachung von IT-Systemen vorschreibt.
Warum ignorieren Behörden und Unternehmen die Warnungen?
Trotz der klaren Risiken setzen viele Organisationen weiterhin auf veraltete VPN-Protokolle. Die Gründe sind vielfältig:
1. Kosten und Aufwand für Modernisierung
Die Umstellung von PPTP auf moderne Protokolle wie OpenVPN, WireGuard oder IKEv2/IPsec erfordert: - Investitionen in neue Hardware (z. B. VPN-Gateways, die WireGuard unterstützen). - Schulungen für Mitarbeiter, um die neuen Systeme zu bedienen. - Testphasen, um Kompatibilität mit bestehenden Anwendungen sicherzustellen.
Laut einer Studie der Universität Erlangen-Nürnberg (FAU, 2020) scheuen viele Behörden die Kosten – obwohl die langfristigen Risiken (Bußgelder, Ausfallzeiten, Reputationsverlust) deutlich höher sind.
2. Fehlende Awareness und Priorisierung
Viele IT-Verantwortliche in Behörden und Unternehmen unterschätzen die Gefahren veralteter Protokolle. Ein häufiges Argument: „Es ist doch nur ein internes VPN – wer sollte uns angreifen?“ Doch die Realität sieht anders aus: - Cyberkriminelle nutzen bekannte Schwachstellen wie PPTP gezielt aus, um Netzwerke zu infiltrieren. - Staatliche Akteure scannen das Internet nach veralteten Systemen ab – ein bekanntes Beispiel ist die APT29-Gruppe, die 2020 mehrere deutsche Behörden angriff. - Compliance-Verstöße: Die DSGVO verlangt in Art. 32 eine „dem Stand der Technik entsprechende“ Sicherheit. PPTP erfüllt diese Anforderungen nicht mehr.
3. Fehlende zentrale Steuerung
In vielen Organisationen gibt es keine zentrale VPN-Policy. Stattdessen nutzen verschiedene Abteilungen unterschiedliche Protokolle – oft ohne Wissen der IT-Leitung. Das BSI warnt in seinem CS 100-Maßnahmenkatalog (2022) ausdrücklich vor dieser „Wildwuchs-Situation“, die zu Sicherheitslücken führt.
Moderne Alternativen: Was das BSI empfiehlt
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat klare Empfehlungen für sichere VPN-Lösungen veröffentlicht. Die wichtigsten Alternativen zu PPTP sind:
| Protokoll | Verschlüsselung | Authentifizierung | Performance | BSI-Empfehlung |
|---|---|---|---|---|
| OpenVPN | AES-256 | TLS + Zertifikate | Hoch | ✅ Ja |
| WireGuard | ChaCha20 | Public-Key | Sehr hoch | ✅ Ja (seit 2022) |
| IKEv2/IPsec | AES-256 | Zertifikate/MFA | Hoch | ✅ Ja |
| L2TP/IPsec | AES-128 | Zertifikate | Mittel | ⚠️ Bedingt |
| PPTP | RC4 (gebrochen) | PAP/CHAP | Hoch | ❌ Nein |
Warum WireGuard und OpenVPN die bessere Wahl sind
- WireGuard: Das Protokoll ist schneller, sicherer und einfacher als PPTP. Es nutzt moderne Kryptografie (ChaCha20) und unterstützt MFA ohne zusätzlichen Aufwand.
- OpenVPN: Flexibel und plattformübergreifend, aber etwas langsamer als WireGuard. Ideal für komplexe Umgebungen mit vielen Clients.
- IKEv2/IPsec: Besonders geeignet für mobiles Arbeiten, da es nahtlose Übergänge zwischen Netzwerken (z. B. WLAN ↔ Mobilfunk) ermöglicht.
Das BSI betont in seinem CS 100-Katalog, dass WireGuard und OpenVPN die einzigen Protokolle sind, die den BSI-Grundschutz erfüllen.
Was Unternehmen und Behörden jetzt tun müssen
Der Vorfall 2021 zeigt: Veraltete VPN-Protokolle sind keine theoretische Gefahr, sondern eine reale Bedrohung. Doch wie können Organisationen die Risiken minimieren?
1. Bestandsaufnahme: Welche Protokolle werden genutzt?
- Inventarisierung: Erstellen Sie eine Liste aller VPN-Verbindungen und der genutzten Protokolle.
- Risikoanalyse: Bewerten Sie, welche Systeme kritisch sind (z. B. Bürgerportale, interne Datenbanken).
- Priorisierung: Beginnen Sie mit der Modernisierung der kritischsten Systeme.
2. Migration zu modernen Protokollen
- WireGuard ist die einfachste Lösung für die meisten Anwendungsfälle. Es erfordert weniger Konfiguration als OpenVPN und bietet bessere Performance.
- OpenVPN bleibt eine gute Wahl für komplexe Umgebungen mit vielen Clients.
- Vermeiden Sie L2TP/IPsec: Obwohl es besser als PPTP ist, erfüllt es nicht die BSI-Standards.
3. Implementierung einer VPN-Policy
- Zentrale Steuerung: Legen Sie fest, welche Protokolle erlaubt sind und welche verboten werden.
- Regelmäßige Audits: Überprüfen Sie alle drei Monate, ob die VPN-Infrastruktur noch den aktuellen Sicherheitsstandards entspricht.
- Schulungen: Schulen Sie Mitarbeiter im Umgang mit den neuen Protokollen – besonders im Umgang mit Zertifikaten und MFA.
4. Notfallplanung
- Backup-Verbindungen: Stellen Sie sicher, dass alternative Zugriffsmethoden (z. B. Remote-Desktop über verschlüsselte Tunnel) verfügbar sind.
- Incident-Response-Plan: Definieren Sie klare Schritte für den Fall eines VPN-Ausfalls – inklusive Kommunikationsstrategie für betroffene Nutzer.
Fazit: Warum der Vorfall 2021 eine Warnung für alle ist
Der dreitägige Ausfall einer deutschen Behörde im September 2021 war kein Zufall, sondern die logische Folge jahrelanger Nachlässigkeit. PPTP ist seit über einem Jahrzehnt als unsicher bekannt – doch viele Organisationen haben die Warnungen ignoriert. Die Folgen: - Finanzielle Verluste durch Ausfallzeiten. - Reputationsschäden durch negative Medienberichte. - Rechtliche Konsequenzen (Bußgelder nach DSGVO).
Die gute Nachricht: Die Lösung ist einfach. Moderne VPN-Protokolle wie WireGuard oder OpenVPN sind sicherer, schneller und einfacher zu warten als PPTP. Doch der Wechsel erfordert Investitionen in Zeit und Ressourcen.
Quellen
-
Der Vorfall 2021: Wie ein veraltetes Protokoll eine Behörde lahmlegte
- Laut einer Studie der Universität Erlangen-Nürnberg (FAU, 2020) scheuen viele Behörden die Kosten – obwohl die langfristigen Risiken (Bußgelder, Ausfallzeiten, Reputationsverlust) deutlich höher sind.
- Staatliche Akteure scannen das Internet nach veralteten Systemen ab – ein bekanntes Beispiel ist die APT29-Gruppe**, die 2020 mehrere deutsche Behörden angriff.
- In vielen Organisationen gibt es keine zentrale VPN-Policy. Stattdessen nutzen verschiedene Abteilungen unterschiedliche Protokolle – oft ohne Wissen der IT-Leitung. Das BSI warnt in seinem CS 100-Maßnahmenkatalog (2022) ausdrücklich vor dieser „Wildwuchs-Situation“, die zu Sicherheitslücken führt.
- | WireGuard | ChaCha20 | Public-Key | Sehr hoch | ✅ Ja (seit 2022) |
- Der Vorfall 2021 zeigt: Veraltete VPN-Protokolle sind keine theoretische Gefahr, sondern eine reale Bedrohung. Doch wie können Organisationen die Risiken minimieren?
-
Fazit: Warum der Vorfall 2021 eine Warnung für alle ist
- Der dreitägige Ausfall einer deutschen Behörde im September 2021 war kein Zufall, sondern die logische Folge jahrelanger Nachlässigkeit. PPTP ist seit über einem Jahrzehnt als unsicher bekannt – doch viele Organisationen haben die Warnungen ignoriert. Die Folgen:
Erstellt mit Unterstützung künstlicher Intelligenz unter redaktioneller Aufsicht. Quellen automatisiert geprüft. Wie wir arbeiten
Cybersecurity #vpn #ppp #datenschutz #bsi #sicherheitsvorfall