Sony-Hacker bekennt sich schuldig

Los Angeles - Cody Kretsinger, Mitglied der Hackergruppe LulzSec, hat sich vor einem US-Bundesgericht im kalifornischen Los Angeles schuldig bekannt. Unter anderem gestand er ein, sich unter dem Spitznamen "Recursion" an einer großangelegten Online-Attacke gegen den Filmkonzern Sony Pictures Entertainment beteiligt zu haben. Der 24-Jährige ebnete damit am Donnerstag den Weg für eine Vereinbarung mit der Staatsanwaltschaft und ein mildes Strafmaß. Als Höchststrafe hätten ihm 15 Jahre Haft gedroht.

LulzSec gilt als radikale Splittergruppe des bekannteren Aktivistenkollektivs Anonymous. Die Gruppe hatte Sicherheitslücken ausgenutzt, um 2011 binnen 50 Tagen eine Vielzahl von Websites zu knacken oder vorübergehend unerreichbar zu machen. Sony und die CIA, Pornoanbieter und der US-Senat - die Liste der LulzSec-Opfer ist lang. Daten wurden veröffentlicht, meist kombiniert mit höhnischen Botschaften.

Ende Juni 2011 stellte die Gruppe ihre Arbeit ein, verabschiedete sich mit einer Nachricht im Netz: "Bon Voyage". In Großbritannien war da schon ein junger Mann verhaftet worden. Der Fahndungsdruck nahm zu, das FBI durchsuchte ein Rechenzentrum - und die britische Polizei setzte weitere mutmaßliche LulzSec-Mitglieder fest. Auch das amerikanische FBI ging erfolgreich gegen Mitglieder der Gruppe vor. Ein Mann, der Online unter dem Namen Sabu bekannt war, hatte den Fahndern wichtige Informationen geliefert, die sie brauchten, um weitere Lulzsec-Anhänger zu ermitteln.

Hunderttausende Dollar Schaden

Im Anschluss an sein Schuldbekenntnis erklärte Kretsinger dem Richter, er habe von der Sony-Website abgegriffene Informationen an andere LulzSec-Mitglieder weitergegeben, damit diese sie über das Web und Twitter weiter verbreiten konnten. Mit Hilfe einer sogenannten SQL-Injection verschaffte sich Kretsinger gemeinsam mit anderen Lulzsec-Aktivisten Zugang zu Sonys Datenbanken und entwendete persönliche Daten Tausender Sony-Kunden.

Der Datendiebstahl sei ein Kinderspiel gewesen, weil die Schutzvorrichtungen von Sony zu schwach seien, lästerten die Hacker damals via Twitter. Hilfreich sei außerdem gewesen, dass Passwörter, E-Mail-Adressen und Wohnadressen von Nutzern der Website nicht verschlüsselt abgespeichert worden waren. In Stichproben erwiesen sich die kopierten Daten als authentisch. Bloggern zufolge wurden 39.000 Kombinationen aus E-Mail-Adresse und Passwort sowie 12.500 mit E-Mail-Adresse, Passwort, Anschrift und Geburtsdatum ins Netz gestellt.

Dem Unternehmen sei durch den Dateineinbruch ein Schaden in Höhe von 600.000 Dollar entstanden, sagte Ankläger Eric Vandevelde.