Bundesdomain im Blindflug: DNS-Leaks legen jahrelange IT-Versäumnisse offen

Ein brisanter Sicherheitsvorfall zeigt massive Defizite im Domain- und Infrastrukturmanagement deutscher Bundesbehörden. Die ehemalige Behörden-Domain bafl.de, die über Jahre vom Bundesamt für Migration und Flüchtlinge (BAMF) genutzt wurde, konnte im August 2025 von der Mint Secure GmbH übernommen werden. Brisant dabei: Bis mindestens Dezember 2025 sendeten weiterhin interne Systeme von BAMF und Bundesinnenministerium (BMI) regelmäßig DNS-Anfragen an diese Domain.

DNS-Analysen belegen tausendfache Anfragen aus Netzen des BMI, obwohl die Domain seit Jahren offiziell außer Betrieb ist und zeitweise sogar von dubiosen Drittbetreibern genutzt wurde. Der Vorfall wurde bereits im September 2025 an das BSI gemeldet, dennoch hielten die Abfragen über Monate an. Bereits Anfang 2025 war bekannt geworden, dass eine andere abgelaufene BAMF-Domain erneut registriert werden konnte und Zugriff auf interne Testsysteme erlaubte.

Sicherheitsexperten warnen, dass bafl.de über längere Zeit ein potenzieller Einstiegspunkt für Angriffe hätte sein können. Über manipulierte DNS-Antworten wären unter anderem interne Hostnamen, Netzstrukturen oder sogar Weiterleitungen auf externe Server möglich gewesen. Erst kurz vor Weihnachten 2025 wurde die Domain offiziell wieder an das BAMF übertragen.