Nepals digitale Dienste: Daten offengelegt, Märkte gestört, Verantwortungslücken

135 staatliche E-Mail-Konten legen umfassenderes Sicherheitsproblem offen

Mindestens 135 E-Mail-Konten unter Nepals staatlicher Domain nepal.gov.np wurden nach der Aufnahme des National Cyber Security Centre in Have I Been Pwned, einem Dienst zur Überwachung offengelegter Zugangsdaten, in externen Datenlecks identifiziert. Zu den betroffenen Adressen gehörten Konten des Büros des Premierministers sowie der Ministerien für Inneres, Finanzen und Auswärtige Angelegenheiten.

Die Entdeckung reiht sich ein in Berichte über offengelegte Dokumente von Studierenden und Lehrkräften, Angriffe auf staatliche Portale, Manipulationen der elektronischen Beschaffung und einen Ransomware-Vorfall, der den Aktienhandel unterbrach. Im Oktober 2026 veröffentlichte Berichte zeichnen das Bild einer digitalen Verwaltung, deren Sicherheitsmängel sowohl die Privatsphäre als auch den Zugang zu wichtigen Dienstleistungen beeinträchtigen können.

Bei diesen Vorfällen geht es um unterschiedliche Probleme. Dass eine E-Mail-Adresse in einem Datenleck auftaucht, beweist für sich genommen nicht, dass jemand in ein staatliches Netzwerk eingedrungen ist. Wird eine Website offline genommen, lässt sich daraus nicht schließen, dass ihre Daten gestohlen wurden. Offenlegte Zugangsdaten, schwache Zugriffskontrollen und die Abhängigkeit von gemeinsam genutzter Infrastruktur können jedoch zusammen Wege in sensiblere Systeme eröffnen.

Nepal verknüpft Reisepässe, Identitätsprüfungen, Steuern, Bankgeschäfte und soziale Sicherung mit digitalen Diensten, während Bürgerinnen und Bürger weiterhin von Warteschlangen, verspäteten Identitätskarten und nicht verfügbaren Servern berichten. Die zentrale Frage geht daher über die Abwehr von Hackern hinaus: Die Regierung muss die Informationen schützen, deren Übermittlung sie von den Menschen verlangt, und zugleich sicherstellen, dass Dienste nutzbar bleiben, wenn eine Komponente ausfällt.

Was die Entdeckung der E-Mail-Konten belegt

Nepal sei laut Raj Kumar Maharjan, Direktor des National Cyber Security Centre, die 47. staatliche Einrichtung, die Have I Been Pwned beigetreten sei. Durch die Anbindung kann das Zentrum staatliche Adressen identifizieren, die bei Datenlecks andernorts offengelegt wurden, statt sich ausschließlich auf Hinweise aus den eigenen Netzwerken zu stützen.

Maharjan sagte, das Zentrum werde die betroffenen Behörden benachrichtigen und Passwortänderungen verlangen. Er erklärte, wie der Überwachungsdienst die Reaktion verändert:

Über dieses Portal erhält unser Zentrum nun genaue Angaben dazu, welche E-Mail-Adresse aus welcher Quelle geleakt wurde. So können wir die zuständigen Verantwortlichen in Echtzeit warnen, sofortige Passwortänderungen durchsetzen und weiteren Schaden verhindern.

Die Zahl von 135 sollte nicht als Zahl bestätigter Eindringversuche in 135 staatliche Postfächer verstanden werden. Aus der öffentlichen Berichterstattung geht weder hervor, wie viele Konten weiterhin gefährdet waren, noch ob offengelegte Passwörter noch gültig waren oder wie viele Konten zusätzlich geschützt waren.

Die Cybersicherheitsexpertin Mona Nyachhyon warnte, dass kompromittierte offizielle Konten interne Netzwerke und vertrauliche Kommunikation gefährden können. Wer ein echtes staatliches Postfach kontrolliert, kann zudem betrügerische Anfragen glaubwürdig erscheinen lassen, insbesondere wenn die Empfänger die Adresse kennen.

In separaten Berichten ist von Zugangsdaten der Agriculture Development Bank die Rede, die durch Schadsoftware offengelegt worden seien, welche Informationen von infizierten Geräten stiehlt. Ein solcher Diebstahl kann auf dem Computer erfolgen, über den auf einen Dienst zugegriffen wird, ohne dass ein Angreifer direkt in den zentralen Server des Dienstes eindringen muss.

Bürgerdokumente und öffentliche Portale sind unterschiedlichen Gefahren ausgesetzt

Das Onlinesystem der University Grants Commission soll Dokumente zur Staatsbürgerschaft, Bildungsnachweise, Bankkontodaten und Steueridentifikationsnummern von Professoren und Studierenden offengelegt haben. Berichten zufolge genügte es, eine Webadresse zu ändern, um auf Dokumente zuzugreifen, weil Zugriffskontrollen fehlten.

Eine Zugriffskontrolle prüft, ob eine Person ein bestimmtes Dokument einsehen darf. Ein Dokument ist nicht allein deshalb geschützt, weil seine Adresse schwer zu erraten ist. Der Server muss die Berechtigung bei jeder Anfrage überprüfen.

Berichte beschreiben außerdem einen unbefugten Zugriff auf die öffentliche Programmierschnittstelle des staatlichen Cloud-Portals. Eine Schnittstelle, meist API genannt, ermöglicht Softwaresystemen den Austausch von Informationen oder die Ausführung von Aktionen. Gruppen namens PSy404 und AnoNagoSt, die dem ForceAnon-Netzwerk zugerechnet werden, sollen diesen Zugriff genutzt haben, um Nachrichten und Bilder zu veröffentlichen.

Zu den weiteren gemeldeten Vorfällen zählen Schwachstellen, die Midnight Ops Nepal in Systemen wie dem Department of Hydrology and Meteorology offengelegt haben soll, sowie Zugriffe auf Verwaltungsoberflächen von Ministerien, die FunkSec zugeschrieben werden. Haushalts- und Kommunaldokumente sollen zum Verkauf angeboten worden sein.

Diese Vorwürfe müssen getrennt bewertet werden. Die Veröffentlichung von Material über eine öffentliche Schnittstelle belegt einen Kontrollfehler, aber keinen Zugriff auf sämtliche Datenbanken in der staatlichen Cloud. Auch Berichte über zum Verkauf angebotene Dokumente müssen auf Echtheit, Umfang und Herkunft geprüft werden, bevor das Ausmaß der Offenlegung bestimmt werden kann.

Chronologie gemeldeter Angriffe und staatlicher Maßnahmen

Die Berichte beschreiben Vorfälle über mehrere Jahre hinweg und keinen einzelnen koordinierten Angriff. Die Abfolge zeigt außerdem, dass die Einrichtung eines eigenen Cybersicherheitszentrums Ausfälle nicht beendet hat.

• 1. Januar 2024: Ein verteilter Denial-of-Service-Angriff soll öffentliche Websites und Anwendungen gestört haben; die Auswirkungen hielten wochenlang an.
• 23. Januar 2024: Das Kabinett beschloss die Einrichtung des National Cyber Security Centre, das später im Frühjahr den Betrieb aufnahm.
• Dezember 2024: Angriffe auf staatliche Portale in den Provinzen Gandaki, Lumbini und Bagmati wurden gemeldet.
• Februar 2025: Berichte beschrieben Angriffe auf 21 Subdomains der Provinz Koshi.
• März 2025: Die Datenbank der Beschwerdeplattform Hello Sarkar soll kompromittiert und zum Verkauf angeboten worden sein.
• April 2025: Rund 2 Millionen für Polizeiberichte eingereichte Staatsbürgerschaftsdatensätze sollen von einer Website der Nepal Police gestohlen und zum Verkauf angeboten worden sein.
• 13. Mai 2026: Durch veröffentlichte Änderungen der Geschäftsverteilungsregeln der Regierung Nepals sollen wichtige Technologiebehörden dem Büro des Premierministers unterstellt worden sein.
• September 2026: Ein mutmaßlicher Ransomware-Angriff störte Systeme von 72 Börsenmaklern und legte den Handel für einen Tag lahm.
• Anfang Oktober 2026: Pathao Nepal bestätigte Berichten zufolge ein Datenleck mit Nutzernamen, E-Mail-Adressen und Telefonnummern.

Der mutmaßliche Diebstahl von rund 2 Millionen Polizeidatensätzen gehört zu den größten beschriebenen Datenlecks. Dabei handelt es sich um eine berichtete Zahl, nicht um eine unabhängig bestätigte Zahl betroffener Personen. Die Berichte enthalten weder eine überprüfte Aufschlüsselung eindeutiger Datensätze noch eine vollständige öffentliche Schadensbewertung.

Elektronische Beschaffung macht Sicherheit zu einer Frage öffentlicher Ausgaben

Die gemeldete Kompromittierung des elektronischen staatlichen Beschaffungssystems, bekannt als e-GP, betrifft sowohl die Integrität öffentlicher Aufträge als auch vertrauliche Informationen. Das Public Procurement Monitoring Office betreibt die Plattform für Ausschreibungen staatlicher Aufträge im Wert von Milliarden Rupien.

Ermittler sollen festgestellt haben, dass unbefugte Nutzer vertrauliche Gebotssummen von Wettbewerbern einsehen und Beträge nach Ablauf der Abgabefrist ändern konnten. Berichte schildern eine mutmaßliche Zusammenarbeit zwischen Hackern, Vermittlern und Auftragnehmern, darunter Zahlungen in Kryptowährungen und eine gefälschte Beschaffungswebsite.

Das Central Investigation Bureau der Nepal Police soll mehr als 20 Personen festgenommen haben, darunter einen ehemaligen Minister, Vertreter der Bauwirtschaft und technische Angestellte, und Anklage vor Gericht erhoben haben. Festnahmen und Anklagen sind keine Verurteilungen. In den Berichten werden keine abschließenden Urteile genannt, die die Verantwortung der einzelnen Beschuldigten feststellen.

Sicherheitsbedenken sollen zur Aussetzung elektronischer Ausschreibungen und zur Rückkehr zu versiegelten Papierangeboten für wichtige Beschaffungen geführt haben. Die Berichte nennen keinen bestätigten Termin für die Wiederaufnahme.

Der Unterschied zu einem Dokumentenleck ist entscheidend. Die Vertraulichkeit ist verletzt, wenn jemand ein Angebot sieht, das er nicht einsehen darf. Die Integrität ist verletzt, wenn jemand das Angebot selbst verändert. Wird einer dieser Schutzmechanismen ausgehebelt, kann ein digitales System, das die Beschaffung transparenter machen soll, bestimmten Bietern stattdessen einen nicht offengelegten Vorteil verschaffen.

Ein Anbieter kann einen ganzen Markt lahmlegen

Ein Ransomware-Vorfall im September 2026 soll ein privates Rechenzentrum getroffen haben, in dem Handelssysteme für 72 Maklerunternehmen gehostet wurden. Der Handel an der Nepal Stock Exchange war Berichten zufolge einen ganzen Tag lang nicht möglich. Im ursprünglichen Bericht heißt es außerdem, dass in der betroffenen Einrichtung staatliche Informationen gehostet wurden.

Ransomware blockiert üblicherweise den Zugriff auf Systeme oder Daten, oft durch die Verschlüsselung von Dateien, und fordert Lösegeld. Aus der Berichterstattung geht weder der technische Ablauf des Angriffs hervor noch, ob zusätzlich Informationen gestohlen wurden oder Lösegeld gezahlt wurde.

Die am klarsten beschriebene Folge betrifft den Betrieb: Eine Störung bei einem Hosting-Anbieter griff auf Dutzende Maklerunternehmen über und hinderte Anleger am Handel. Das ist ein Konzentrationsrisiko: Viele Organisationen sind von demselben Anbieter oder derselben Infrastruktur abhängig.

Die Offenlegung bei Pathao Nepal betrifft einen anderen Vorfall im Privatsektor. Anfang Oktober 2026 sollen Namen, E-Mail-Adressen und Telefonnummern geleakt worden sein. Berichte sprechen von Tausenden betroffenen Nutzern, nennen aber keine genaue, überprüfte Gesamtzahl.

In früheren Berichten ist außerdem von Datenlecks bei den Kundendaten von Vianet und Foodmandu, Angriffen auf Geldautomatensysteme von Banken und einem versuchten Angriff auf das SWIFT-System der NIC Asia Bank die Rede. Die Vorfälle unterscheiden sich in Umfang und Folgen, zeigen aber, dass die Sicherheitsherausforderung über staatliche Websites hinausgeht und auch Dienste für Kommunikation, Einkäufe, Transport und Finanzen betrifft.

Kapazitätsprobleme bei der nationalen Identität betreffen mehrere Dienste

Das nationale Identitätssystem zeigt, wie ein Dienst auch ohne bestätigten Cyberangriff ausfallen kann. Berichten zufolge kam es wochenlang zu Unterbrechungen bei der Authentifizierung, weil das biometrische System an eine Kapazitätsgrenze von etwa 20 Millionen Datensätzen stieß.

Mehr als 16 Stellen sollen von den Störungen betroffen gewesen sein, darunter Pass-, Steuer-, Verkehrs- und Bankdienste. Die Zahl beschreibt den gemeldeten Kapazitätsengpass des Systems, nicht die bestätigte Zahl von Personen, deren biometrische Informationen offengelegt wurden.

Die Berichte machen unterschiedliche Angaben zur Unternehmensidentität des französischen Anbieters. Im ursprünglichen Bericht ist von einem Übergang von Idemia zu IN Groupe die Rede, während ein anderer Bericht IDEMIA weiterhin als aktuellen Namen nennt. Die genauen Vertrags- und Supportvereinbarungen sind hier nicht geklärt. Das betriebliche Problem ist dasselbe: Mehrere Dienste waren von einer Authentifizierungsplattform abhängig und betroffen, als diese nicht verfügbar war.

Ein gemeinsamer Identitätsdienst kann wiederholte Prüfungen und Papierkram reduzieren. Er wird jedoch zu einem zentralen Ausfallpunkt, wenn Behörden keine sichere Alternative nutzen können, sobald der Dienst nicht reagiert. Kapazitätsplanung, Vorkehrungen für die Wiederherstellung und klare Zuständigkeiten der Anbieter sind daher neben dem Schutz vor Eindringlingen ebenfalls wichtig.

Auch die Folgen für den Datenschutz müssen sorgfältig betrachtet werden. Fingerabdrücke sind biometrische Merkmale; Staatsbürgerschaftsnummern und Geburtsdaten sind Identitätsdaten, keine biometrischen Merkmale. Anders als ein Passwort lässt sich ein Fingerabdruck nicht einfach ersetzen. Werden diese Angaben offengelegt, kann dies langfristig Identitätsmissbrauch und gezielten Betrug ermöglichen.

Staatliche Schutzmaßnahmen werden ausgebaut, haben aber Grenzen

Das National Cyber Security Centre soll in den vier Monaten vor dem Bericht über die geleakten E-Mail-Konten knapp 40 staatliche Systeme geprüft haben. Außerdem nutzt es CTM360, ein Überwachungswerkzeug der Internationalen Fernmeldeunion, um den illegalen Handel mit staatlichen Informationen zu verfolgen.

Ein neu angeschafftes System für Sicherheitsinformations- und Ereignismanagement sammelt und analysiert Aktivitätsprotokolle in staatlichen Netzwerken. Solche Werkzeuge helfen Beschäftigten, verdächtige Muster zu erkennen. Ihr Nutzen hängt jedoch davon ab, was überwacht wird und wie schnell Teams Warnmeldungen untersuchen.

Prakash Duwadi, der im nepalesischen Bericht als Informationsbeauftragter des Information Technology and Electronic Governance Office bezeichnet wird, sagte, gehostete staatliche Portale könnten gleichzeitig 7.000 bis 8.000 Angriffsversuchen ausgesetzt sein. Er schätzte, dass einfache Tests durch Studierende oder Kinder 10 bis 20 Prozent der Versuche ausmachten. In der Berichterstattung werden weder der Messzeitraum noch die Zählmethode erläutert.

Duwadi sagte außerdem, dass Beschäftigte Systeme mitunter vom Netz nehmen, wenn sie sie nicht sicher verteidigen können. Ein Serverausfall kann daher eine Schutzmaßnahme sein und muss nicht bedeuten, dass Angreifer die Kontrolle übernommen haben. In beiden Fällen verlieren Bürgerinnen und Bürger den Zugang, weshalb präzise Hinweise zum Dienststatus und Wiederherstellungsverfahren nötig sind.

Maharjan führte mehr als 90 Prozent der Cybervorfälle auf menschliches Verhalten und Social Engineering zurück. Das ist seine Einschätzung und keine dokumentierte landesweite statistische Feststellung. Er warnte außerdem, dass bei der schnellen Entwicklung von Anwendungen mit künstlicher Intelligenz Schwachstellen bei Verschlüsselung und Sicherheit übersehen werden könnten.

Gemeldete Phishing-Nachrichten gaben sich als Nachrichten von Additional Inspector General Manoj Kumar KC, dem Büro des Premierministers und anderen Polizeibeamten aus. Sie drohten mit Strafverfolgung, um Empfänger zu einer Antwort oder zur Preisgabe von Informationen zu bewegen. Diese Beispiele zeigen, wie Angst und die Autorität staatlicher Stellen als Mittel für Betrug eingesetzt werden können.

Datenschutzrechte brauchen sichtbare Durchsetzung

Artikel 28 der Verfassung Nepals schützt die Privatsphäre. Auch das Datenschutzgesetz von 2075 (2018) legt Pflichten für den Umgang mit personenbezogenen Daten fest, die öffentliche Stellen speichern. Der ursprüngliche Bericht und die begleitende Analyse ordnen Abschnitt 29 Strafen von bis zu drei Jahren Haft, Abschnitt 31 Entschädigungen und Abschnitt 32 dienstrechtlichen Maßnahmen zu.

Diese Bestimmungen belegen nicht, dass jeder gemeldete technische Fehler die Voraussetzungen für eine Straftat oder einen Entschädigungsanspruch erfüllt. Die Verantwortlichkeit muss anhand des jeweiligen Verhaltens, der geltenden Rechtsvorschriften und der Beweislage festgestellt werden. Die öffentliche Berichterstattung enthält kaum Einzelheiten zu Strafen oder Entschädigungen im Zusammenhang mit den besprochenen Vorfällen.

Auch die Zuständigkeiten in der Verwaltung verändern sich. Durch Änderungen, die am 13. Mai 2026 veröffentlicht wurden, sollen das Cyber Security Centre, das Data Management Centre und das Department of Information Technology dem Büro des Premierministers unterstellt worden sein. Eine am 27. März 2026 gebilligte Kabinettsvorlage sah innerhalb von drei Monaten ein Information Technology and E-Governance Office vor. Organisationsprüfungen waren zum Zeitpunkt der Veröffentlichung des Berichts jedoch offenbar noch nicht abgeschlossen.

Die daraus entstehende Struktur und Berichtshierarchie waren weiterhin ungeklärt. Eine Neuordnung der Behörden legt für sich genommen nicht fest, wer betroffene Bürger benachrichtigen, die Wiederherstellung eines kompromittierten Dienstes genehmigen oder überprüfen muss, ob ein Anbieter eine Sicherheitslücke behoben hat.

Tests, Beschaffung und Offenlegung sind die nächsten Entscheidungen

Die ursprüngliche Analyse schlägt vor, Sicherheitsanforderungen von Beginn an in die Softwarebeschaffung aufzunehmen. Dazu zählen Verschlüsselung, fortlaufende Aktualisierungen, Wartung sowie eine Auswahl anhand von Qualität und Kosten, statt Software als mit der Auslieferung abgeschlossenen Kauf zu behandeln. Das sind Vorschläge und keine bestätigten neuen staatlichen Vorgaben.

Außerdem fordert die Analyse verpflichtende Sicherheitsbewertungen und Penetrationstests, bevor Dienste für Bürgerinnen und Bürger freigeschaltet werden. Mit solchen Tests lassen sich Schwachstellen erkennen und kontrollierte Angriffe durchführen. Einen Test abzuschließen ist nicht dasselbe, wie seine Ergebnisse umzusetzen: Eine belastbare Entscheidung über die Inbetriebnahme setzt den Nachweis voraus, dass schwerwiegende Mängel behoben und erneut überprüft wurden.

Der Cybersicherheitsspezialist Naresh Lamgade sagt, Sicherheit werde bei der Entwicklung häufig vernachlässigt und private Sicherheitsforscher würden von der Meldung von Schwachstellen abgehalten. Ein klarer Meldekanal mit festgelegten Verfahren würde dazu beitragen, entdeckte Probleme zu beheben, statt Forscher im Unklaren darüber zu lassen, an welche Behörde sie sich wenden können.

Zu den weiteren vorgeschlagenen Maßnahmen zählen zusätzliche Authentifizierung für staatliche E-Mail- und Administratorkonten, regelmäßige Prüfungen von Rechenzentren, die Benachrichtigung betroffener Bürger nach Datenlecks und eine unabhängige Datenschutzaufsichtsbehörde. Die Berichte nennen keine bestätigten Einführungstermine für diese Maßnahmen.

Die unmittelbar offenen Fragen sind konkret: Wie viele offengelegte Konten wurden gesichert? Wurde die Echtheit mutmaßlich gestohlener Datensätze bestätigt? Wann wird die elektronische Ausschreibung wieder aufgenommen? Und wie sollen die Identitätsdienste eine erneute Unterbrechung wegen Kapazitätsproblemen verhindern? Öffentliche Antworten darauf würden eine Bewertung der Wiederherstellung anhand der Ergebnisse ermöglichen und nicht anhand der Zahl der online verfügbaren Dienste.

Wichtigste Punkte

• Nach dem Beitritt Nepals zu Have I Been Pwned wurden mindestens 135 staatliche E-Mail-Konten in externen Datenlecks identifiziert.
• Zu den gemeldeten Offenlegungen zählen Dokumente einer Universität und rund 2 Millionen Staatsbürgerschaftsdatensätze aus Polizeiberichten; die letztgenannte Zahl ist weiterhin nicht bestätigt.
• Im Fall der elektronischen Beschaffung wurden Berichten zufolge mehr als 20 Personen festgenommen; abschließende Gerichtsurteile werden nicht genannt.
• Ein mutmaßlicher Ransomware-Angriff im September 2026 störte Systeme von 72 Maklerunternehmen und legte den Aktienhandel einen Tag lang lahm.
• Kapazitätsprobleme des nationalen Identitätssystems unterbrachen Berichten zufolge wochenlang die Authentifizierung bei mehr als 16 Stellen.
• Sicherheitsüberwachung und -tests wurden ausgeweitet, doch Fragen zu Benachrichtigungen bei Datenlecks, Zuständigkeiten und mehreren Wiederherstellungsterminen sind weiterhin offen.