Daten-Leak bei Politikern und Prominenten Sechs Mythen über den "Hackerangriff"

Private Daten Hunderter Politiker, Prominenter und Webstars stehen im Netz: Der Donnerstagabend bekannt gewordene Daten-Leak sorgt weiter für Wirbel. Doch nicht alles, was man dazu hört, ergibt Sinn.

imago/ photothek

Von , und


Mythos 1: Es handelt sich um einen besonders spektakulären Hackerangriff.

"Mega-Cyber-Angriff", "Mega-Hack", "der größte Hackerangriff Deutschlands": Viele Medien überbieten sich mit aufregenden Formulierungen rund um den Daten-Leak, der vor allem Politiker sowie Fernseh- und YouTube-Stars betrifft. Was die mediale Resonanz angeht, ist der Vorfall für deutsche Verhältnisse einzigartig, zum eigentlichen Geschehen jedoch passen solche Überhöhungen nur bedingt:

  • So stammen die Daten nach allem, was bisher bekannt ist, aus verschiedenen Quellen, manches Material ist mehrere Jahre alt. Die Daten scheinen teils kuratiert erneut veröffentlicht worden zu sein, sie dürften aus einem Mix aus recherche-artiger Datensammlung und einzelnen Hackerangriffen stammen.

    Von "einem Hackerangriff" zu sprechen (wie es anfangs auch SPIEGEL ONLINE tat), ergibt daher nur bedingt Sinn, denn weder stammen die Daten aus nur einem einzigen großen Angriff, noch aus einer Quelle, noch ist die Veröffentlichung an sich ein klassischer Hackerangriff.

  • Der treffendere Begriff, für das was geschehen ist, lautet "Doxing". Doxing steht für das Öffentlichmachen von Daten über Personen - meist mit dem Ziel, ihnen zu schaden oder sie angreifbar zu machen. Doxing geschieht auch in anderen Kontexten, etwa, wenn sich jemand nach einer gescheiterten Beziehung an einem Ex-Partner rächen will und Material über diesen ins Netz stellt. Auch in der Gaming- und YouTube-Szene ist Doxing ein altbekanntes Problem, ebenso im Kontext des politischen Meinungskampfes.

    Was in solchen Bereichen passiert, macht allerdings selten über die jeweiligen Szenen hinaus Schlagzeilen. Über jenen Twitteraccount, der den Daten-Adventskalender ausgespielt hat, etwa und über weitere, ähnliche Konten waren zuvor schon mehrfach erbeutete Daten zu Webstars verbreitet worden.

  • Auch was die Größe und Bedeutung des Vorfalls angeht, ist Einordnung wichtig: Mit mehr als tausend betroffenen Politikern und Stars plus weiteren erwähnten Kontakten dürfte es sich um den größten bekannt gewordenen Doxing-Fall handeln, der deutsche Bekanntheiten betrifft. Es gab aber allein in der jüngeren Vergangenheit schon viel größere, tatsächliche Hackerangriffe, bei denen auch viele Deutsche betroffen waren - darunter vermutlich auch Politiker und Prominente: Dazu zählen Datenlecks bei Yahoo, Facebook und Marriott.

Mythos 2: Es sind so viele Daten erbeutet worden - der oder die Täter müssen doch Profi-Hacker sein.

Ein Journalist der "Bild" mutmaßte früh, der Leak deute auf eine Gruppe mit hoher Professionalität hin. Der YouTuber Tomasz Niemiec dagegen glaubt, dass ein Einzelner hinter der Datenveröffentlichung steht - er meint auch zu wissen, wer. In einem Interview mit Süddeutsche.de kommentiert Niemiec auch die Aktualität der Daten, und betont, dass die Handynummer von Martin Schulz bisher nicht bekannt gewesen sei: "Das ist echt eine Leistung, davor habe ich schon Respekt."

Von der Anbiederung abgesehen, bleibt unklar, wie schwierig es wirklich ist, Martin Schulz' Telefonnummer herauszufinden, die hier beispielhaft für Informationen aus dem Datensatz steht. Denn wer sie finden will, muss dafür nicht unbedingt den SPD-Spitzenpolitiker persönlich hacken. Im Grunde reicht es an die Kontaktliste von jemandem zu kommen, der Schulz eingespeichert hat - so hat es im konkreten Fall wohl auch funktioniert, denn zu Schulz findet sich im Datensatz sonst kaum etwas.

Ähnliches gilt für andere Teile des Hacks, etwa Promikontakte. Wer ein Promi-Adressbuch hat, hat damit wohl gleich diverse Nummern. Und hat man erstmal neue Informationen, lassen sich damit oft gleich die nächsten gewinnen.

Wer ausreichend kriminelle Energie, Zeit und Kenntnis mitbringt, hat bei vielen Zielpersonen durch klassische Hackerattacken, aber eben teils auch durch Netzrecherche die Chance, an bislang unbekanntes Material zu kommen. Dabei hilft, dass zum Beispiel auch im Darknet oder in weniger versteckten Webforen immer wieder Passwortlisten oder Links zu von Dritten gehackten Daten auftauchen. Und auch legale Onlinewerkzeuge wie Personensuchmaschinen können Anhaltspunkte für gezielte Attacken liefern. Letztlich könnten hinter einer solchen Veröffentlichung also auch Nicht-Profis stecken, die technisch kundig sind, vor allem aber fleißig.

SPIEGEL ONLINE

Mythos 3: So schlimm ist Doxing für die Betroffenen ja auch nicht.

Doxing kann drastische Folgen haben. Durch den Daten-Leak zirkulieren Privatadressen, Telefonnummern, E-Mails, Chats, aber auch Informationen zu Familienmitgliedern sowie persönliche Dokumente von Politikern und Stars im Netz. Selbst wenn der Hacker selbst die geleakten Daten nicht weiter verwerten sollte, können Dritte die Informationen missbrauchen, um die Betroffenen online oder auch offline zu belästigen oder in ihrem Namen Unruhe zu stiften - einfach, weil sich jetzt eine Gelegenheit dafür bietet.

Rechte etwa stellen immer wieder Privatadressen ins Internet und rufen zu Gewalt gegen Kritiker und Personen auf, die sich gegen Rechtsextremismus engagieren. Vergangenen Samstag hatten Unbekannte dem "Neuen Deutschland" zufolge eine Liste mit mehr als 200 Namen von Politikern, Journalisten, Künstlern und Aktivisten, die sich für Flüchtlinge einsetzen oder linksgerichtet sind, auf dem linken Portal Indymedia veröffentlicht. "Wir kriegen euch alle", wurde dazu gedroht. Ob der Onlinepranger auf Basis von Adressen aus dem aktuellen Leak zusammengestellt wurde, ist unklar.

Je nachdem, wie weit die Angreifer gehen, fühlen sich Doxing-Zielpersonen oft in ihrer Sicherheit bedroht - und fürchten auch um ihre Partner oder ihre Familie. "Man fühlt sich wehrlos und schutzlos", sagte der vom Daten-Leak betroffene SPD-Bundestagsabgeordnete Helge Lindh dem SPIEGEL. Bereits im März 2018 hatten Angreifer sein Facebook- und Twitterprofil übernommen, rassistische Nachrichten verbreitet und bei Amazon "Korane, Hundekotattrappen und weitere Überraschungen" bestellt. "Mir ging immer wieder ein Gedanke durch den Kopf", so Lindh: "Wer weiß, was die noch alles unternehmen? Ich hatte Angst um meine Familie und um meine Mitarbeiter."

Im Extremfall kann Doxing das Leben der Betroffenen zerstören, zumindest zeitweise. Die vom Gamergate-Skandal betroffene YouTuberin Anita Sarkeesian und die feministische Autorin Laurie Penny etwa erhielten Vergewaltigungs- und Morddrohungen und flüchteten aus ihren Wohnungen. Und Gamer schicken ihren Rivalen manchmal beim "Swatting" sogar Sondereinsatzkommandos nach Hause, etwa durch fabrizierte Morddrohungen - mitunter mit tödlichen Folgen.

Mythos 4: "Das BSI hätte..."

Richtig gut sieht das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Zuge des Daten-Leaks nicht aus. Erst teilte BSI-Präsident Arne Schönbohm mit, das Amt sei bereits im Dezember informiert gewesen, dann ergänzte er tags darauf, dabei habe es sich lediglich um einen einzigen Fall gehandelt, in dem ein Bundestagsabgeordneter verdächtige Aktivitäten rund um seine privaten E-Mail- und Social-Media-Konten entdeckt hatte. Souverän wirkte die Informationspolitik von Schönbohm nicht.

Doch wenn im Dezember nichts auf eine breit angelegte Kampagne hinwies, kann man dem BSI keinen Vorwurf machen. Zwar befand zum Beispiel die Grünen-Bundestagsabgeordnete Tabea Rößner, es sei "unerklärlich und verantwortungslos, dass das BSI erst so spät tätig wurde".

Aber das BSI ist nicht für die Bewachung privater Social-Media-Konten von Politikern zuständig, sondern in erster Linie für den operativen Schutz der Regierungsnetze: "Für die Absicherung parteilicher oder privater Kommunikation von Mandatsträgern kann das BSI nur beratend und auf Anfrage unterstützend tätig werden", erinnerte die Behörde diejenigen, die ihr nun Versäumnisse vorwerfen.

Mythos 5: Für genau solche Fälle fehlt das Recht zum digitalen Gegenschlag.

Thorsten Frei, stellvertretender Vorsitzender der Unionsfraktion im Bundestag, war der erste, der die alte Forderung nach dem sogenannten Hackback vorbrachte. Der "Stuttgarter Zeitung" sagte er: "Dabei geht es dann nicht mehr nur um defensive Datenabwehr, sondern um die Möglichkeit zu einem aktiven Gegenangriff, der auch dazu führen kann, Server im Ausland, die die abgegriffenen Daten speichern, aktiv zu zerstören."

Die Bundesregierung prüft die rechtlichen und technischen Bedingungen dafür schon lange. Aber in Fällen wie diesem hätte ein Hackback keine Erfolgsaussichten. Der oder die Täter hatten die Datensätze dutzendfach auf verschiedene Server und bei vielen verschiedenen Anbietern verteilt. Und selbst wenn man die Kollateralschäden eines Angriffs auf alle Server in Kauf nähme, wäre man niemals schnell genug: Irgendjemand hätte die Daten längst gesichert und könnte sie woanders erneut hochladen. Bei dem oder den Tätern selbst liegen sie ja ohnehin auch lokal gespeichert. Kurz: Angriff ist manchmal die unsinnigste Verteidigung.

Mythos 6: Die Sicherheitsbehörden werden daran scheitern, den Täter zu finden.

Auf Twitter zeigen sich einige Nutzer aus der YouTube- und Gaming-Szene skeptisch, dass die Behörden dem oder den Tätern auf die Spur kommen. Diese scheinen sich technisch zumindest so gut geschützt zu haben, dass sie nicht sofort aufgeflogen sind. Doch es gibt für die Spurensuche der Ermittler verschiedene Ansatzpunkte. Dazu zählt etwa, dass der Daten-Adventskalender offenbar nur der neueste von diversen Doxing-Vorfällen gewesen ist.

Nicht klar ist, ob der oder die Täter bei älteren Attacken, bei denen nicht mal unter Optimalbedingungen mit einer solchen Aufmerksamkeit zu rechnen war, ähnlich abgezockt vorgegangen sind. Vielleicht ist es am Ende gar nicht der jüngste Vorfall, der zu einem Fahndungserfolg führen wird.

Eine weitere Schwachstelle ist der Geltungsdrang und das Mitteilungsbedürfnis auf Täterseite. Der YouTuber Thomas Hackner alias "HerrNewstime" geht von einem Einzeltäter aus und glaubt, dass dieser noch aktiv im Netz ist. "Er ist nicht untergetaucht, sondern hat sich auf den Teamspeak-Servern von unterschiedlichen YouTubern herumgetrieben, und ändert auch sein Avatarbild ab", sagt Hackner dem SPIEGEL. "Ich glaube, er fühlt sich sicher, in dem was er tut, und er sucht die Aufmerksamkeit."

Zuvor hatten schon sowohl der YouTuber Niemiec als auch eine weitere Person berichtet, in den letzten Tagen mit dem aus ihrer Sicht Verantwortlichen digital kommuniziert zu haben.

Auch dabei könnten Fehler gemacht worden sein - und ebenso könnten die Nachrichten, die vor und zum Daten-Leak erschienen, noch entscheidende Rückschlüsse auf das Täter-Lebensumfeld liefern. So heißt es im Begleittext zum Leak zum Beispiel, dass zu einem bestimmten Webvideomacher angeblich "aus Respekt" nichts öffentlich gemacht werde.


SPIEGEL ONLINE berichtet ausführlich über die Hackerangriffe gegen Politiker und Personen des öffentlichen Lebens. Mit Details aus den Datendiebstählen gehen wir allerdings zurückhaltend und vorsichtig um. Privatadressen, Telefonnummern oder weitere Informationen, an denen nach jetzigem Kenntnisstand kein öffentliches Interesse besteht, veröffentlichen wir nicht.

Mehr zum Thema


insgesamt 65 Beiträge
Alle Kommentare öffnen
Seite 1
claude 07.01.2019
1. Freundeskreis
Zuerst mal Gratulation für diesen guten, objektiven Artikel. Ein wichtiger Faktor wird erwähnt, der bisher zu kurz gekommen war: Gerade bei E-Mail Adressen oder Telefonnummern muss absolut kein naives Fehlverhalten von Betroffenen vorangegangen sein. Es reicht völlig aus, dass sich irgendwo im Freundeskreis eine einzige Person befindet, die leichtsinnig gehandelt hat. So fällt dann halt schnell mal ein ganzes Adressbuch mit allen Kontakten in die Hände der Hacker. Hier ist viel Sensibilisierung notwendig, zumal wenn es um Kontakte zu öffentlichen Personen. Sich von den sozialen Medien ganz zurückzuziehen, ist auf Dauer, für Politiker, keine Option. Das hiesse ja vor eventuellen politischen Gegnern kapitulieren. Nein, man kann Leuten, wie etwa Habeck, nur raten, zu lernen und sich näher mit der Materie zu befassen, sich von Fachleuten beraten zu lassen. Sich von Online-Auftritten zurückziehen, hiesse das Kind mit dem Bade auszuschütten.
wi_hartmann@t-online.de 07.01.2019
2. Hackerangriff
Welch ein Entrüstungssturm im Wasserglas. Telefonüberwachung und Kontrolle des Internets gehören doch zum Standard unserer "Freunde" aus Übersee. Augenfällig ist dies in Bayern und bei genauem Hinsehen auch in Berlin. Insofern zeigt sich jetzt das gezeigte Entsetzen als Heuchelei.
desktopper 07.01.2019
3. Nicht nachvollziehbar
Ich kann es wirklich langsam nicht mehr hören! Ständig wird nach solchen Attacken auf die "Politik" eingedroschen, auch wenn es sich, wie in diesem Fall, um "rein private Fehler" handelt (anders als in den sozialen Medien schon wieder verschwörungsspekuliert wird). Es ist nicht nachvollziehbar, wie die über- und unersättlichen Netzuser sich mal wieder billig aus der eigenen Verantwortung stehlen wollen und sie wohlfeil der Politik zuschieben. Jeder, absolut jeder, kann sich durch einfache(!) eigene Maßnahmen besser schützten als es die Politik je kann und können wird! Dazu muss kein einziges Gesetz geändert oder neu geschaffen werden. Dass ein gutes Passwort aus mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen bestehen sollte, kann man einem 8-jährigen Kind in 2 Minuten verständlich erklären. Dass 90% der User diese Maßnahmen nicht ausreichend anwenden, ist reine Bequemlichkeit.
trpaul65 07.01.2019
4. Ich lach mich schon seit der ersten Meldung dazu schlapp ...
... naja , so witzig ist es mittlerweile nicht mehr, wir haben echt andere Sorgen als jetzt daraus den Hype des Jahrzehnts zu machen. Das war absehbar, selbstverschuldet und wird wieder passieren, wir fordern es täglich heraus. Kindergarten. Aber danke für den sachlichen Beitrag dazu.
trpaul65 07.01.2019
5. Hallo Claude ... bezgl 1
... wieso kann ein Politiker sich nicht persönlich von den sozialen Medien zurückziehen. Ich mein ich weiß, heute ist alles anders als vor 30 Jahren, aber damals ging es sogar größtenteils noch ohne Handy. Ich weiß, unvorstellbar für Leute die es nicht erlebt haben. Ein Politiker kann ja einen öffentlichen Account haben, haben die meisten wohl auch .... der wird dann eh von Otto Normal gepflegt ... und es reicht völlig wenn sich dieser Account auf das bezieht was eben im Rahmen seiner Tätigkeit so anfällt. Ne Menge Leute die keine Politiker sind, aber clever, machen das genau so. Aber privat braucht kein Mensch Facebook und Co. Er kann es wollen, aber brauchen ... sorry, no.
Alle Kommentare öffnen
Seite 1

© SPIEGEL ONLINE 2019
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH


TOP
Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.