Drei Tage vor dem Ablauf einer Steuerfrist ist in Belgien das zentrale Onlineportal der Finanzverwaltung ausgefallen. Der Föderale Öffentliche Dienst Finanzen nahm MyMinfin und weitere digitale Dienste nach eigenen Angaben wegen eines Cyberangriffs vorsorglich vom Netz. Bürger und Unternehmen können ihre Steuererklärungen derzeit weder einsehen noch einreichen; die Behörde kündigte Fristverlängerungen an. Über Angreifer, Angriffsart und das Ausmaß möglicher Schäden ist bislang wenig bekannt.
Wenn der Fiskus plötzlich offline ist
Der Föderale Öffentliche Dienst (FÖD) Finanzen hat am Mittwoch einen Teil seiner digitalen Dienste abgeschaltet. Betroffen ist das Onlineportal MyMinfin, über das Privatpersonen und Unternehmen in Belgien ihre Steuererklärungen einsehen und einreichen sowie weitere Finanzdokumente verwalten 1 2. „Aus Vorsicht sind MyMinfin und einige andere Dienste vorübergehend nicht zugänglich“, teilte die Behörde mit 4.
Für Steuerpflichtige im Land ist MyMinfin der reguläre digitale Zugang zum Fiskus: Steuererklärung, Steuerbescheid, Zahlungsübersicht. Wer am Mittwoch eine Erklärung abgeben wollte, bekam statt des Anmeldefensters eine Fehlerseite zu sehen 4. Wie viele Nutzer die Abschaltung trifft, teilte die Behörde nicht mit; eine Zahl der registrierten Konten nannte sie zunächst nicht 1. Damit bleibt auch offen, wie viele der rund 5,9 Millionen Steuererklärungen, die in Belgien jährlich eingereicht werden, in diesen Tagen auf dem Portal festsitzen.
„Einige andere Dienste“ – welche, bleibt offen
Die Behörde sprach von MyMinfin „und einigen anderen Diensten“, ohne eine vollständige Liste zu veröffentlichen 4 5. Nach Darstellung der Nachrichtenagentur Reuters bleibt ein großer Teil der übrigen Anwendungen des FÖD Finanzen jedoch ganz oder teilweise verfügbar 1. Ob Fachanwendungen für Unternehmen betroffen sind, etwa für Körperschaft- oder Umsatzsteuererklärungen, ließ die Verwaltung am Mittwoch offen.
Klar ist bislang nur die Richtung der Maßnahme: Die Systeme wurden nicht von den Angreifern lahmgelegt, sondern von der Behörde selbst vom Netz genommen. „Diese Maßnahme trägt dazu bei, die Risiken zu begrenzen, und ermöglicht die notwendigen technischen Eingriffe, um die Sicherheit unserer Systeme zu gewährleisten“, heißt es in der Mitteilung 4.
Die Frist läuft weiter – zunächst.
Für Steuererklärungen mit bestimmten Einkunftsarten läuft in Belgien die Einreichungsfrist normalerweise am 31. Oktober ab 6. Die Behörde kündigte an, für diese Erklärungen „ausreichend Aufschub“ zu gewähren. „Wir wissen, dass dies Auswirkungen auf die Steuerfristen in naher Zukunft haben wird. Deshalb wird ausreichend Aufschub für die Einreichung der Erklärungen mit spezifischen Einkünften gewährt. Das genaue Datum folgt so schnell wie möglich“, zitierte der flämische Rundfunk VRT aus der Mitteilung 3.
Ein konkretes Datum nannte die Verwaltung bis zum Abend nicht. Ob Betroffene ihre Erklärungen ersatzweise in Papierform einreichen können und ob es dafür Kulanzfristen gibt, teilte sie ebenfalls nicht mit 3 4. Für Steuerpflichtige bedeutet das: abwarten und die offiziellen Kanäle beobachten, statt eigenmächtig auf einen anderen Einreichungsweg auszuweichen.
Keine Hinweise auf Datenabfluss, aber auch keine Entwarnung
„Der Schutz der Daten steht für den FÖD Finanzen an erster Stelle. Derzeit gibt es keine Hinweise auf ein Datenleck oder darauf, dass Daten entwendet wurden. Auch dieser Aspekt wird engmaschig untersucht und verfolgt“, zitiert VRT die Behörde 3. Reuters und Euronews berichten übereinstimmend, die Verwaltung sehe bislang keine Anzeichen für einen Datenabfluss 1 2.
Ein solcher Negativbefund ist vorläufig. Ob Angreifer Daten kopiert haben, lässt sich belastbar erst nach Abschluss der forensischen Auswertung beantworten; die Behörde selbst spricht von einer laufenden Untersuchung 3 5. Betroffen wären im Ernstfall hochsensible Bestände: Einkommensnachweise, Familienverhältnisse, Kontoverbindungen.
Angriffsart und Urheber: keine Angaben
Über die Art des Angriffs machte die Behörde keine Angaben. „Informationen über den Angriff selbst und seine Auswirkungen gibt es vorerst nicht“, schrieb VRT unter Berufung auf die Mitteilung 3. Damit ist offen, ob es sich um eine gezielte Intrusion in die Portalsysteme, um einen Angriff auf vorgelagerte Infrastruktur, um Erpressungssoftware oder um eine Überlastungsattacke handelte. Auch zu möglichen Tätern machte die Verwaltung keine Angaben; eine Bekennermeldung war bis zum Abend nicht bekannt.
Die Lücken in PHP – eine Woche zuvor
Erst am 21. Oktober waren zwei kritische Sicherheitslücken in der Programmiersprache PHP bekannt geworden, auf der nach Angaben von VRT mehr als 70 Prozent aller Websites weltweit laufen. Ein Patch stand ab der Version 8.2 bereit, ältere Versionen mussten zuerst migriert werden 7. In Belgien nahmen zahlreiche Stellen Websites vorsorglich vom Netz: Seiten der flämischen Regierung, Kliniken, das Schulportal Smartschool und mehrere Seiten des FÖD Finanzen – darunter finances.belgium.be, ruling.be, die Seite des Garantiefonds und geregistreerdkassasysteem.be 7 8. In den Niederlanden waren zeitweise DigiD und MijnOverheid nicht erreichbar 7.
Lesen Sie auchKritische PHP-Lücke: BSI warnt, Behörden offline→
Ob der Angriff vom Mittwoch mit diesen Lücken zusammenhängt, ist offen. Die Behörde äußerte sich dazu nicht 3. Die zeitliche Nähe dürfte Sicherheitsforscher beschäftigen; belegt ist ein Zusammenhang nicht. Der Fall zeigt allerdings, wie kurz die Wege zwischen einem globalen Patch-Notstand und dem Ausfall einer staatlichen Kernbehörde sind.
Abschalten als Standardreflex
Belgien hat in diesem Jahr mehrere Vorfälle dieser Art erlebt. Im Juni berichtete der Sender RTBF, Cyberkriminelle hätten GSM-Daten von Mitarbeitern des Staatssicherheitsdienstes erbeutet 9. Im September traf es die Gemeinde Machelen, wo über Phishing personenbezogene Daten gestohlen wurden 10. Nach Darstellung von ITdaily hat in dieser Woche ein Angriff auf einen externen Softwarelieferanten mehr als 100 Gemeinden daran gehindert, Dokumente digital zu unterzeichnen 11.
Vorsorgliches Abschalten ist dabei die wirksamste Sofortmaßnahme – und zugleich die teuerste für die Nutzer. Ein Steuerportal drei Tage vor Fristende stillzulegen, verschiebt Arbeit in die Finanzabteilungen von Unternehmen und Steuerberatungen und erzeugt Unsicherheit bei Bürgern, die auf die digitale Abwicklung angewiesen sind. Der Reflex ist nachvollziehbar; ob die Verwaltung für solche Fälle einen belastbaren Notbetrieb vorhält, ist eine der Fragen, die nach dem Vorfall zu stellen sein werden.
Ähnliche Artikel
