Bundesdomain im Blindflug: DNS-Leaks legen jahrelange IT-Versäumnisse offen

Ein brisanter Sicherheitsvorfall zeigt massive Defizite im Domain- und Infrastrukturmanagement deutscher Bundesbehörden. Die ehemalige Behörden-Domain bafl.de, die über Jahre vom Bundesamt für Migration und Flüchtlinge (BAMF) genutzt wurde, konnte im August 2025 von der Mint Secure GmbH übernommen werden. Brisant dabei: Bis mindestens Dezember 2025 sendeten weiterhin interne Systeme von BAMF und Bundesinnenministerium (BMI) regelmäßig DNS-Anfragen an diese Domain.

DNS-Analysen belegen tausendfache Anfragen aus Netzen des BMI, obwohl die Domain seit Jahren offiziell außer Betrieb ist und zeitweise sogar von dubiosen Drittbetreibern genutzt wurde. Der Vorfall wurde bereits im September 2025 an das BSI gemeldet, dennoch hielten die Abfragen über Monate an. Bereits Anfang 2025 war bekannt geworden, dass eine andere abgelaufene BAMF-Domain erneut registriert werden konnte und Zugriff auf interne Testsysteme erlaubte.

Sicherheitsexperten warnen, dass bafl.de über längere Zeit ein potenzieller Einstiegspunkt für Angriffe hätte sein können. Über manipulierte DNS-Antworten wären unter anderem interne Hostnamen, Netzstrukturen oder sogar Weiterleitungen auf externe Server möglich gewesen. Erst kurz vor Weihnachten 2025 wurde die Domain offiziell wieder an das BAMF übertragen.

Tags :

Related Posts

F5 meldet Sicherheitsvorfall mit Zugriff auf BIG-IP-Entwicklungsumgebung

Der IT-Sicherheitsanbieter F5 hat am 15. Oktober 2025 Details zu einem Sicherheitsvorfall veröffentlicht, bei dem ein staatlich unterstützter Angreifer im August 2025 langfristigen Zugriff auf interne Systeme hatte. Betroffen waren unter anderem die Entwicklungsumgebung der BIG-IP-Produkte sowie Plattformen zur Wissensverwaltung. Laut F5 wurden Dateien mit Quellcode und Informationen zu noch unveröffentlichten Schwachstellen entwendet.

Read More

Kritisches Sicherheitsupdate für ArcGIS Server: SQL-Injection-Lücke geschlossen

Esri hat am 7. Oktober 2025 ein wichtiges Sicherheitsupdate für ArcGIS Server veröffentlicht, das eine kritische SQL-Injection-Schwachstelle (CVE-2025-57870) in den Versionen 11.3, 11.4 und 11.5 auf Windows, Linux und Kubernetes behebt. Die Lücke wurde mit einem CVSS-Score von 10 bewertet – Administrator:innen sollten den Patch daher umgehend installieren.

Read More

UNC6384 missbraucht Windows .LNK Dateien gegen Europäische Diplomaten

Arctic Wolf Labs beobachtet seit September/Oktober 2025 eine Spionagekampagne des China-nahen Akteurs UNC6384 gegen diplomatische Einrichtungen in Ungarn, Belgien sowie weiteren EU-Ländern. Die Angreifer nutzen Spear-Phishing mit LNK-Dateien zu EU-/NATO-Terminen und weaponizen die im März 2025 offengelegte Windows-Verknüpfungs-Schwachstelle ZDI-CAN-25373. Über obfuskierte PowerShell-Ketten wird PlugX per DLL-Side-Loading in signierte Canon-Hilfsprogramme eingeschleust; Persistenz erfolgt u. a. via Run-Key. Identifizierte C2-Infrastruktur umfasst racineupci[.]org, dorareco[.]net und naturadeco[.]net.

Read More