21.3 Statistik Online

Dem Landesbeauftragten war bekannt geworden, dass durch das Statistische Landesamt in Sachsen-Anhalt ein auch in anderen Bundesländern verbreitetes Verfahren zur Datenerhebung für bestimmte Bundesstatistiken Anwendung findet. Es handelt sich um „Statistik Online”, mit dem die Auskunftspflichtigen dem Statistischen Landesamt online, also über das Internet, die geforderten Auskünfte erteilen können. Ziel der Einführung des Verfahrens sei die Ablösung überkommener Prozesse, wie z.B. das des manuellen Ausfüllens und Auswertens von statistischen Erhebungsbögen, durch zeitgemäße Arbeits- und Organisationsformen. Damit sollen auskunftsgebende Stellen entlastet und eine beschleunigte und kostengünstigere Aufbereitung der Daten im Statischen Landesamt erreicht werden. Mit „Statistik Online” können Daten u.a. für den Monatsbericht Bauhauptgewerbe, die Monatserhebung im Tourismus oder die vierteljährliche Produktionserhebung eingegeben werden.

Auf den ersten Blick schien das Verfahren auch hinlänglich sicher zu sein, da schon bei der Anmeldung (mittels Benutzername und Passwort) am Server des Statistischen Landesamtes eine durch SSL-Verschlüsselung gesicherte Verbindung aufgebaut wird.
Allerdings lässt die Entwicklung der Angriffsmethoden und -techniken auf Web-Clients, gerade im Bereich JavaScript, diese Einschätzung inzwischen mindestens fraglich erscheinen. Zunehmende Verbreitung finden nämlich Angriffe mit sogenanntem Cross-Site- und Cross-Frame-Scripting.
Hierbei besteht der Trick des Angreifers darin, dem Browser vorzugaukeln, das JavaScript stamme von einer vertrauenswürdigen Site. Das untergeschobene JavaScript, das z.B. Cookies auslesen kann, wird ohne Rückfrage im Browser ausgeführt. Das kann im schlimmsten Fall dazu führen, dass der Angreifer aus einem gestohlenen Cookie eine Session-ID extrahiert und unter falschem Namen eine Verbindung mit einem Server aufbaut.
Der Nutzer, der an seinem Web-Browser Sicherheitseinstellungen so vornimmt, wie sie ihm von der (offiziellen) Site  https://statistik.sachsen-anhalt.de empfohlen wird, glaubt sich in Sicherheit, die jedoch trügt. Damit besteht nicht nur eine Gefahr für die Vertraulichkeit und Integrität der in "Statistik Online" eingegebenen Nutzerdaten (§ 6 Abs. 2 DSG-LSA), sondern für alle weiteren vertraulichen Nutzertransaktionen.

Vom Landesbeauftragten mit diesem Sachverhalt konfrontiert, gab das Statistische Landesamt zu, das Problem bereits seit 2003 zu kennen und schon gemeinsam mit anderen Statistischen Landesämtern an einer Lösung zu arbeiten. Diese bestehe aus einem Verfahren in Form eines Java-Servlets. Dieses wird nicht auf dem Client ausgeführt, sondern auf dem Server, von wo es dynamisch HTML-Seiten generiert, die dann im Browser des Nutzers angezeigt werden. Dazu, und das ist der große Vorteil des neuen Verfahrens, muss im Browser weder JavaScript noch Java aktiviert sein, auch die Installation zusätzlicher Programme ist nicht erforderlich. Selbstverständlich, so wurde dem Landesbeauftragten vom Statistischen Landesamt versichert, würde auch das neue Verfahren die Daten nur SSL-verschlüsselt durch das Internet transportieren.

Der Landesbeauftragte hofft, dass diese Lösung bald Wirklichkeit wird und verfolgt die weitere Entwicklung aufmerksam.