Summary

  • Der Bericht des GSA-Generalinspekteurs vom 27. Oktober 2026 dokumentiert 116 Dateien mit kontrollierten, nicht geheim eingestuften Informationen, die fälschlich für sämtliche Drive-Nutzer der Behörde freigegeben waren. Auch Beschäftigte und Auftragnehmer ohne dienstlichen Bedarf gehörten zu dieser Gruppe.
  • Vierzehn dieser Dateien waren größer als die 15 MB, die das Werkzeug zur Verhinderung von Datenverlust scannen konnte. Sicherheitsverantwortliche erfuhren nach eigener Aussage erst durch eine Warnung im April 2025 von dieser Grenze. Ein Genehmigungsweg für die behördenweite Freigabe fehlte ebenfalls.

Der Knopf für alle war keine Kleinigkeit

Eine Freigabe an alle erleichtert Zusammenarbeit. Bei geschützten Informationen verteilt sie zugleich Zugriffsrechte an Menschen, deren Arbeit die Dateien nicht berührt. 64 der 116 Fälle enthielten Angaben zur physischen Sicherheit; daneben fanden die Prüfer personenbezogene und geschäftlich geschützte Daten. Der Bericht beschreibt riskante Inhalte. Für die Frage nach Verantwortlichkeit genügt die festgestellte Reichweite der Berechtigung.

Nach Angaben des GSA-Managements liegen rund 2,5 Millionen Dokumente im Drive. Die Prüfer durchsuchten diesen Bestand nicht vollständig. Sie nutzten 39 Suchbegriffe und konzentrierten sich auf Dateien, die allen Nutzern freigegeben waren. Die 116 Funde sind deshalb keine Quote für den ganzen Bestand. Sie sind ein Test der Verfahren, die eine solche Freigabe stoppen oder wenigstens entdecken sollten.

Dieser Test fiel an mehreren Stellen durch. Die jährliche Überprüfung der Suchwörter war unvollständig. Manche freigegebenen Dateien mit bereits aktiven Begriffen wurden übersehen; andere einschlägige Wörter fehlten ganz. Eine verfügbare Texterkennung für Bilder war nicht eingeschaltet. Hinzu kam das 15-MB-Limit. Schon in einer gesonderten Warnung von 2025 hatte die GSA erklärt, dass 10 von damals 15 offengelegten Dokumenten wegen ihrer Größe nicht gescannt worden waren. Diese ältere Gruppe ist von den 14 Dateien des neuen Berichts zu trennen.

Der redigierte Abschlussbericht enthält sieben Empfehlungen: Zugriff auf die 116 Dateien begrenzen, weitere Fälle suchen, Betroffene nach geltenden Regeln informieren und Freigaben, Benennung, Schulung sowie Erkennung verbessern. Der IT-Chef der GSA stimmte zu. Ob die Rechte inzwischen korrigiert sind, lässt sich erst mit datierten Einzelnachweisen und Tests der neuen Konfiguration beurteilen. Ein Einverständnis im Anhang schließt keine Datei.

Sources