Aktuell | IT-Politik | c't

Viele Behörden nutzen noch Windows 7 – „Bundesclient“ kommt später

Veraltete Software, kein Überblick über Datenabfluss an Microsoft: Der Bund kommt bei der Modernisierung seiner IT langsamer voran als geplant.

Seit Mitte Januar 2020 erhalten Privatanwender keine Sicherheitsupdates mehr für Windows 7 – doch in vielen Behörden wird das veraltete Betriebssystem immer noch genutzt. Zum Beispiel plant der bundeseigene Dienstleister ITZBund den Abschluss der Migration aufWindows 10 erst für Ende 2020, wie ein Sprecher auf Anfrage von c’t sagte. Das ITZBund betreut rund 95.000 PCs von Bundesbehörden, vor allem in den Bereichen Finanzen, Inneres und Verkehr.

Man kaufe für die Windows-7-Rechner verlängerten Support bei Microsoft ein, betonte der Sprecher. Insgesamt könnte das „Extended Security Update“-Programm den Bund im Jahr 2020 rund 800.000 Euro kosten – so lautete im Januar zumindest eine grobe Schätzung der Regierung. Einige Bundesbehörden werden Windows 7 allerdings voraussichtlich auch im Jahr 2021 noch einsetzen. Die Zahl der betroffenen PCs ist nicht bekannt, da viele der rund 200 Ämter ihre IT noch eigenständig verwalten.

Laut dem Plan der Regierung sollen die Behörden zuerst auf Windows 10 wechseln und dann im nächsten Schritt den „Bundesclient“ einführen. Dabei handelt es sich ebenfalls um Windows 10, allerdings in einer behördenübergreifend einheitlich konfigurierten Variante. Für Entwicklung und Support ist das ITZBund zuständig, nicht mehr jede einzelne Behörde. Dadurch will der Bund Kosten einsparen sowie Sicherheit und Datenschutz verbessern.

ITZBund-Zentrale in Bonn: Der Dienstleister liefert den „Bundesclient“ mit Windows 10 später als geplant.

Bild: ITZBund

Doch auch beim Bundesclient gibt es Verzögerungen. Er sollte ursprünglich bereits 2019 von ersten Behörden eingesetzt werden. Mittlerweile plant das ITZBund den ersten „Pilot-Rollout“ für das erste Quartal 2021. Der Dienstleister begründet die Verspätung mit „aufwendigen Abstimmungen“ im Bereich der IT-Sicherheit. „Aufgrund des höheren Schadensrisikos bei einer Kompromittierung muss die zentrale Infrastruktur ein höheres Sicherheitsniveau erfüllen als die Bestandsstrukturen der Behörden“, erklärte der Sprecher.

Um den Datenschutz zu gewährleisten, soll der Bundesclient so konfiguriert werden, dass möglichst wenige Daten an Microsoft-Server übertragen werden („Telemetrie“). Dafür wird der Client laut ITZBund ohne direkten Zugang zum Internet betrieben. „Sämtlicher Internetverkehr wird über dedizierte Systeme geführt, die den Verkehr überwachen und ungewünschten Datenaustausch unterbinden“, erklärte der Sprecher.

Bislang hat die Bundesregierung keinen Überblick darüber, in welchem Umfang die bereits eingesetzten Windows-10-Rechner Daten an Microsoft senden. „Da die Behörden in Hinblick auf Ihre IT eigenverantwortlich handeln, kann zentral keine Einschränkung oder Kontrolle erfolgen“, teilte das Bundesinnenministerium auf c’t-Anfrage mit. Man könne die Verbindungen auch nicht sperren, da die Übertragung bestimmter Daten erforderlich sein könne, zum Beispiel zur Fehlerbehebung. (cwo@ct.de)

Streit um Steuer-ID geht weiter

Die Datenschutzbeauftragten von Bund und Ländern stemmen sich gegen den Plan der Bundesregierung, die Steuer-Identifikationsnummer in eine behördenübergreifende Bürgernummer zu verwandeln. Das Vorhaben stehe „im Widerspruch zu verfassungsrechtlichen Regelungen“, warnte die Konferenz der Datenschutzaufsichtsbehörden (DSK) Ende August in einer Stellungnahme.

Laut einem Gesetzentwurf aus dem Innenministerium soll die Steuer-ID künftig in mehr als 50 Datenbanken von Bund und Ländern gespeichert werden, damit die Behörden Datensätze fehlerfrei austauschen können. So sollen Prozesse automatisiert und das E-Government vorangetrieben werden. Bürger müssten grundlegende Daten wie ihre Adresse und ihren Familienstand dann nicht immer wieder neu angeben und Dokumente wie Geburtsurkunden seltener einreichen.

Aus Sicht der Datenschützer besteht jedoch die Gefahr, „dass personenbezogene Daten in großem Maße leicht verknüpft und zu einem umfassenden Persönlichkeitsprofil vervollständigt werden können“. So könnten Informationen aus dem Melderegister mit solchen von Krankenkassen oder dem Schuldnerverzeichnis zusammengeführt werden.

Der Gesetzentwurf sieht einige Maßnahmen zum Datenschutz vor. So soll das Bundesverwaltungsamt die Kommunikation zwischen Behörden überwachen; Daten sollen verschlüsselt übertragen werden. Das verhindere jedoch nicht die missbräuchliche Zusammenführung, „übrigens auch nicht bei Datenlecks“, meinen die Datenschützer. Beobachter rechnen damit, dass der Streit um die Steuer-ID am Ende vom Bundesverfassungsgericht entschieden werden muss. (cwo@ct.de)