Südkoreanische Forschungsinstitute planen Sicherheitsprüfungen für nur 15,9 Prozent ihrer Server

Mehr als 16.000 Server bleiben bei geplanten Prüfungen außen vor

Die von der südkoreanischen Regierung finanzierten Forschungsinstitute haben für 2026 nur 3.025 ihrer 19.041 Server für Sicherheitsprüfungen ausgewählt. Das geht aus Daten des Ministeriums für Wissenschaft und IKT hervor, die dem Parlament vorgelegt wurden. Damit bleiben 16.016 Server oder 84,1 Prozent außerhalb des Prüfungsumfangs, obwohl die nationalen Cybersicherheitsrichtlinien mindestens eine Prüfung pro Jahr vorschreiben.

Die Zahlen umfassen 23 Institute, die unter anderem in den Bereichen künstliche Intelligenz, Halbleiter, Biotechnologie, Kernenergie und Cybersicherheit forschen. Im begrenzten Prüfungsumfang verzeichneten die Institute zwischen dem 1. Januar und dem 16. Oktober 34.536 Schwachstellen. Alle 23 gaben an, dass die Behebung der Befunde noch andauere.

Eine weitere Lücke betrifft den Schutz vor Schadsoftware. Bei einer parlamentarischen Prüfung vorgelegte Zahlen zeigten, dass auf 17.387 Servern oder 91,3 Prozent keine Antivirensoftware installiert war. Von 766 Servern mit direkter Internetverbindung, über die etwa Websites betrieben werden, waren 372 nicht durch Antivirensoftware geschützt.

Die Zentrale des Ministeriums verfügte über eine deutlich umfassendere Abdeckung: Alle 108 Server wurden in die Schwachstellenprüfungen einbezogen, und auf 100 war Antivirensoftware installiert. Abgeordnete fragten, warum Institute, die für national wichtige Forschung zuständig sind, nach denselben Sicherheitsrichtlinien mit einem wesentlich geringeren Schutzniveau arbeiteten.

Das Ministerium verwies auf einen Mangel an Fachpersonal, teure Prüfwerkzeuge und technische Schwierigkeiten bei der Installation von Antivirensoftware auf bestimmten Forschungsgeräten. Als Reaktion sollen gemeinsame Kriterien festgelegt werden, anhand derer entschieden wird, welche Server zuerst geprüft werden. Lee Hoon-ki, Abgeordneter der Demokratischen Partei im Ausschuss für Wissenschaft und Technologie des Parlaments, forderte stattdessen eine sofortige Prüfung sämtlicher Server.

Die größten Serverbetreiber haben die geringste Prüfungsabdeckung

Das Korea Institute of Science and Technology Information, kurz KISTI, wählte 267 seiner 11.132 Server für Prüfungen aus. Das Electronics and Telecommunications Research Institute, kurz ETRI, wählte 100 von 3.747 aus.

Zusammen betrieben die beiden Institute 14.879 Server, rund 78,1 Prozent der Gesamtzahl aller 23 Institute. Für eine Prüfung wählten sie lediglich 367 Server aus, etwa 2,5 Prozent ihres gemeinsamen Bestands. Aufgrund ihrer Größe sind ihre Prüfentscheidungen für das Gesamtbild auf nationaler Ebene besonders wichtig.

Bei KISTI war auf 0,6 Prozent der Server Antivirensoftware installiert, bei ETRI auf 8,4 Prozent. Zu ihren Aufgaben gehören die Bereitstellung von Recheninfrastruktur und die Entwicklung von Kommunikationstechnologie. Der Schutz ihrer Systeme ist daher für den Forschungsbetrieb besonders relevant.

Die Prüfungszahlen geben an, welche Server im Berichtszeitraum für Kontrollen ausgewählt wurden. Um den Umfang der bereits geleisteten Arbeit zu verstehen, braucht es weiterhin eine vollständige Aufstellung der durchgeführten Prüfungen, behobenen Schwachstellen und Schutzmaßnahmen für Server, die nicht in die Auswahl einbezogen wurden.

Seit vier Jahren bleibt der Prüfungsumfang begrenzt

Die Daten des Ministeriums zeigen ein dauerhaftes Muster und keine kurze Unterbrechung der Prüfungen. Bei allen 23 Instituten lag der Anteil der Server außerhalb des Prüfungsumfangs 2023 bei 84,2 Prozent, 2024 ebenfalls bei 84,2 Prozent, 2025 bei 83,7 Prozent und 2026 bei 84,1 Prozent.

Die Prüfungsabdeckung blieb damit vier Jahre lang bei etwa einem von sechs Servern. Die leichte Verbesserung im Jahr 2025 wurde 2026 weitgehend wieder zunichtegemacht.

Bei ETRI fiel die Veränderung stärker aus. Der Anteil der nicht geprüften Server stieg dort von 61,1 Prozent im Jahr 2025 auf 97,3 Prozent im Jahr 2026. Bei KISTI lag der Anteil der ausgeschlossenen Server in jedem untersuchten Jahr bei über 96 Prozent und erreichte 2026 97,6 Prozent.

Das Korea Electrotechnology Research Institute ließ in allen vier Jahren 94,8 Prozent seiner Server ungeprüft. Beim National Security Research Institute sank der Anteil von 90,9 Prozent in den Jahren 2023 und 2024 auf 71,8 Prozent im Jahr 2025 und 67,3 Prozent im Jahr 2026. Trotz dieser Verbesserung blieb etwa zwei Drittel des Bestands außerhalb des ausgewählten Prüfungsumfangs.

Was die Prüfungsregeln vorschreiben

Artikel 53 Absatz 2 der Nationalen Cybersicherheits-Grundrichtlinien verpflichtet Serveradministratoren, ihre Sicherheitsmaßnahmen zu überprüfen sowie Schwachstellen mindestens einmal jährlich zu prüfen und zu beheben. Zu den abgedeckten Risiken gehören der Diebstahl gespeicherter Informationen und unbefugte Änderungen an Servereinstellungen oder Daten.

Eine Änderung, die am 1. Mai in Kraft trat, schreibt zudem die regelmäßige Prüfung auf Schwachstellen in Betriebssystemen und Software sowie die Aktualisierung dieser Systeme vor. Eine Schwachstelle ist ein Sicherheitsmangel, etwa eine unsichere Einstellung oder veraltete Software, der jemandem den Zugriff auf ein System oder die Störung seines Betriebs ermöglichen könnte.

Die Institute legten unterschiedliche Kriterien für die Auswahl ihrer Prüfziele zugrunde. Einige schlossen Server aus, die im Vorjahr geprüft worden waren, andere solche, deren Stilllegung bevorstand. Das Ministerium hatte die Entscheidung den einzelnen Einrichtungen überlassen.

Die wichtigsten Entwicklungen im Überblick:

• 2023 bis 2026: Der Anteil der Server der Institute außerhalb des Prüfungsumfangs lag jedes Jahr bei über 83 Prozent.
• 1. Mai: Eine Änderung führte die Pflicht zu regelmäßigen Prüfungen auf Softwareschwachstellen und Aktualisierungen ein.
• Juli: Der Rechnungshof forderte eine Priorisierung der Prüfungen für den Fall, dass die Institute nicht alle Server eingehend untersuchen können.
• September 2026: Auf 1.654 der 19.041 Server der 23 Institute war Antivirensoftware installiert.
• 16. Oktober: Der Berichtszeitraum für Schwachstellenprüfungen endete mit 34.536 Befunden.
• 20. Oktober: Abgeordnete kritisierten das Sicherheitsmanagement des Ministeriums bei der parlamentarischen Prüfung der Forschungsinstitute.

Tausende Schwachstellen müssen noch behoben werden

Das Korea Institute of Science and Technology, kurz KIST, verzeichnete mit 7.079 Schwachstellen die höchste Zahl unter den Instituten. Es folgten das Korea Institute of Machinery and Materials mit 6.472, das Korea Institute of Geoscience and Mineral Resources mit 4.290 und KISTI mit 3.944. Das Korea Research Institute of Bioscience and Biotechnology meldete weitere 2.693.

Beim Maschinenbauinstitut entfielen 6.472 Befunde auf 89 Server, durchschnittlich etwa 73 pro Server. Ein einzelner Rechner kann zahlreiche Schwachstellen aufweisen, weil Betriebssystem, Anwendungen und Sicherheitseinstellungen jeweils Aufmerksamkeit erfordern können.

Die Institute stuften die Behebung der Befunde als noch laufend ein. Dazu kann es nötig sein, eine Aktualisierung zu installieren, eine Einstellung zu ändern, unnötige Software zu entfernen oder den Zugriff einzuschränken. Die Zahlen geben die Zahl der erkannten Schwachstellen wieder; der tatsächliche Arbeitsaufwand hängt von deren Schwere und den erforderlichen Änderungen ab.

Für Forschungsteams müssen die Behebungsarbeiten zudem mit den von ihnen genutzten Systemen abgestimmt werden. Server können Berechnungen unterstützen, Versuchsergebnisse speichern oder Geräte steuern. Der vom Ministerium angeführte Personalmangel verweist auf den Bedarf an Fachkräften, die Schwachstellen bewerten und beheben können, ohne diese Funktionen zu beeinträchtigen.

Lücken beim Virenschutz betreffen auch öffentliche Internetdienste

Nur auf 1.654 der 19.041 Server der Institute war Antivirensoftware installiert. Das entspricht einer Installationsquote von 8,7 Prozent. In der Ministeriumszentrale lag der entsprechende Wert bei 92,6 Prozent, ein Unterschied von 83,9 Prozentpunkten.

Bei Servern mit Internetverbindung war die Abdeckung besser als beim Gesamtbestand der Institute, doch fast die Hälfte war weiterhin nicht mit der Software ausgestattet: 372 von 766 Servern oder 48,6 Prozent. Diese Rechner sind direkt aus dem öffentlichen Internet erreichbar. Angreifer können so versuchen, ihre Dienste auf Schwachstellen zu untersuchen.

Antivirensoftware und Schwachstellenprüfungen erfüllen unterschiedliche Aufgaben. Antivirenprogramme suchen nach Schadsoftware oder verdächtigen Aktivitäten. Bei einer Schwachstellenprüfung werden Sicherheitsmängel ermittelt, die behoben werden müssen. Die Institute müssen sowohl den Zustand ihrer Software im Blick behalten als auch auf Anzeichen für Schadprogramme achten.

Kang Sang-wook, Leiter der Planungs- und Koordinierungsabteilung des Ministeriums, räumte bei der Befragung zur Abdeckung mit Antivirensoftware technische Grenzen ein:

Bei einigen Geräten in den Forschungsinstituten ist es technisch schwierig, Antivirensoftware zu installieren, daher lässt sich eine Abdeckung von 100 Prozent nicht ohne Weiteres erreichen“, sagte er. „Ich denke aber, dass es noch viel Verbesserungspotenzial gibt.

Kang sagte, das Ministerium werde die Installation beschleunigen und die Aufsicht verstärken, damit die Institutsleitungen dem Thema mehr Aufmerksamkeit schenkten. Für Geräte, die keine herkömmliche Antivirensoftware unterstützen, forderte Lee die Überprüfung gleichwertiger Schutzmaßnahmen. Dazu können eine strikte Zugangsbeschränkung, die Trennung von Netzwerken und andere Methoden zur Erkennung schädlicher Aktivitäten gehören.

Schadsoftwarefunde stellen positive Sicherheitsbewertungen infrage

Bei einer früheren Prüfung des Rechnungshofs wurden fünf Forschungsinstitute mit insgesamt 17.073 Servern untersucht. Nur auf 374 Servern oder 2,2 Prozent war Antivirensoftware installiert. Diese Prüfung bezog sich auf eine andere Gruppe und einen anderen Zeitraum als die Erhebung im September, die alle 23 Institute umfasste.

Die Prüfer untersuchten 251 Server ohne Antivirensoftware und entdeckten auf 21 Servern in vier Instituten 38 Arten von Schadsoftware. Rund 8,4 Prozent der untersuchten Rechner waren infiziert. Dieser Anteil bezieht sich auf die für die Prüfung ausgewählten Rechner.

Der Rechnungshof stellte außerdem verspätete Sicherheitsaktualisierungen auf wichtigen Servern und unzureichende Kontrollen von Programmen fest, die den Zugriff von außen auf interne Netzwerke ermöglichten. Diese Befunde ergänzen die Zahlen zur Installation von Antivirensoftware um konkrete Aspekte des Betriebsalltags.

Trotz dieser Schwachstellen bewertete das Ministerium das Informationssicherheitsmanagement der Institute jährlich als sehr gut. Seo Cheon-ho, Abgeordneter der People Power Party, fragte, ob diese Bewertungen die tatsächliche Lage in den Einrichtungen widerspiegelten.

Der Abgeordnete Kim Nam-guk von der Demokratischen Partei wies auf eine weitere Lücke bei der Aufsicht hin. Von 19 Sicherheitsempfehlungen und Richtlinien, die den Forschungsinstituten seit 2023 übermittelt worden waren, wurde die Einhaltung nur einer einzigen überprüft. Das Ministerium habe zudem nicht kontrolliert, ob die Vorgaben zu einer Schwachstelle umgesetzt worden seien, die in einem internationalen Bewertungssystem für Schwachstellen der höchsten Risikokategorie zugeordnet worden war, sagte er.

Zusammengenommen zeigen die Befunde zwei Aufgaben für das Ministerium auf: Es muss prüfen, ob seine Vorgaben eingehalten werden, und sicherstellen, dass seine Bewertungen auch Schwachstellen erfassen, die bei eingehenderen Untersuchungen festgestellt werden.

Steigende Budgets rücken Ausgabenentscheidungen in den Fokus

Sechs Institute gaben an, Antivirensoftware nach und nach installieren zu wollen, sobald sie dafür Mittel erhalten hätten. Ihre gemeinsamen Budgets für Informationssicherheit stiegen jedoch von 2,47 Milliarden Won auf 3,62 Milliarden Won, also um 1,15 Milliarden Won oder 46,3 Prozent.

Zu den sechs Instituten gehörten das National Institute of Green Technology, das Korea Institute of Oriental Medicine, das Korea Institute of Industrial Technology, das Korea Institute of Machinery and Materials, das Korea Institute of Energy Research und das Korea Electrotechnology Research Institute. Alle 23 Institute erhielten die beantragten Budgets für Informationssicherheit ohne Kürzungen bewilligt.

Das National Institute of Green Technology und das Korea Institute of Oriental Medicine hatten 2025 wie 2026 keinen eigenen Haushaltsposten für die Anschaffung oder Wartung von Antivirensoftware für Server. Beim Institut für Orientalische Medizin war die Software auf lediglich zwei von 141 Servern installiert.

Das Institut veranschlagte Kosten von 500.000 Won pro Server. Damit würde die Ausstattung der übrigen 139 Server 69,5 Millionen Won kosten. Lees Büro stellte diese Summe Ausgaben für Informationssicherheit von 43 Millionen Won für Netzwerkleitungen, 28 Millionen Won für Cloud-Dienste und 22 Millionen Won für Geräte zum Löschen magnetischer Datenträger gegenüber.

Diese drei Ausgabenkategorien beliefen sich zusammen auf 93 Millionen Won. Der Vergleich lenkt den Blick darauf, wofür die Sicherheitsbudgets ausgegeben werden, und darauf, wie viel Geld die Einrichtungen erhalten. Einige Installationen von Antivirensoftware waren erst für 2027 oder 2028 vorgesehen, weshalb Lee eine frühere Umsetzung forderte.

Forschungsdateien lagen auch auf einer Festplatte

Der Rechnungshof stellte beim Korea Aerospace Research Institute einen physischen Sicherheitsverstoß fest. Ein Forscher, der zu einer anderen Einrichtung wechselte, entfernte ohne Genehmigung eine Festplatte. Darauf befanden sich 60.956 Forschungsdateien, darunter Material zu vier Projekten der nationalen Sicherheit.

Der Vorfall rückt Speichermedien neben Servern in den Mittelpunkt der Debatte. Zum Schutz von Forschungsdaten braucht es auch Regeln dazu, wer ein Laufwerk entfernen darf, wer dies genehmigt und wie der Vorgang dokumentiert wird.

Mehrere Fragen sind noch offen: Es gibt keine bestätigte Offenlegung von Forschungsdaten aufgrund der Schadsoftwarefunde oder des Entfernens der Festplatte, keine abgeschlossene Untersuchung dieser Vorfälle und keinen verbindlichen Termin für den Abschluss aller Schwachstellenbehebungen. Die nächsten angekündigten Meilensteine betreffen die Prüfkriterien des Ministeriums und die von den Abgeordneten geforderte Überprüfung.

Für das Ministerium läuft eine Frist zur Festlegung von Prüfprioritäten

Das Ministerium plant, bis Ende 2026 gemeinsame Priorisierungskriterien festzulegen und sie ab 2027 anzuwenden. Es hat außerdem angekündigt, die bestehenden Kriterien der Institute zusammenzutragen und im Laufe des Jahres 2026 wesentliche Prioritäten zu berücksichtigen. Das wäre ein erster Schritt, bevor der umfassendere Rahmen in Kraft tritt.

Anhand der Priorisierungsregeln soll festgelegt werden, welche Rechner zuerst geprüft werden, wenn Personal und Werkzeuge knapp sind. Lee argumentierte, dass eine Reihenfolge für die Prüfungen die jährliche Pflicht, Schwachstellen auf allen Servern zu untersuchen und zu beheben, nicht aushebeln dürfe.

Lee forderte außerdem eine vollständige Sicherheitsprüfung aller Server noch vor Jahresende. Zur Verantwortung des Ministeriums für Geräte, die keine Antivirensoftware unterstützen, sagte er:

„Das Ministerium muss auch überprüfen, ob auf Servern, auf denen keine Antivirensoftware installiert werden kann, gleichwertige alternative Schutzmaßnahmen vorhanden sind. Außerdem muss es seiner Aufsichtspflicht stärker nachkommen, damit die Institutsleitungen die Informationssicherheit direkt verantworten“, sagte er.

Die Befunde bringen die Prüfungsabdeckung, die Behebung von Schwachstellen, den Schutz vor Schadsoftware und die Verantwortung der Leitung gemeinsam auf die Tagesordnung. Entscheidend ist für die Institute, ob für jeden Server ein Prüfplan vorliegt, erkannte Schwachstellen behoben werden und spezialisierte Geräte ihrem Betrieb entsprechend geschützt sind.

Die wichtigsten Punkte

• Die 23 Forschungsinstitute wählten 2026 3.025 ihrer 19.041 Server für Schwachstellenprüfungen aus. Das entspricht einer Quote von 15,9 Prozent.
• Bis zum 16. Oktober verzeichneten sie 34.536 Schwachstellen; die Behebung war noch im Gange.
• Auf 17.387 Servern fehlte Antivirensoftware, darunter auf 372 Servern mit direkter Internetverbindung.
• Bei einer früheren Prüfung wurden auf 21 von 251 untersuchten Servern 38 Arten von Schadsoftware entdeckt.
• Sechs Institute, die auf Finanzierungsschwierigkeiten verwiesen, hatten zusammen eine Erhöhung ihres Sicherheitsbudgets um 46,3 Prozent erhalten.
• Das Ministerium plant, bis Jahresende gemeinsame Prüfprioritäten festzulegen, die ab 2027 gelten sollen. Abgeordnete fordern eine vollständige Prüfung zu einem früheren Zeitpunkt.