Datenaffäre bei schülerVZ "Kooperation oder Krieg?"

Gab es im Fall schülerVZ wirklich eine Erpressung? Oder wollte Matthias L. mit dem Hackerangriff nur das eigene Ego pflegen? Nach dem Selbstmord des 20-Jährigen zeigt sich: Der Fall wirft weiterhin viele offene Fragen auf. Das Web-Unternehmen und die Justiz geraten in Erklärungsnot.

Von und

Web-Seite schülerVZ: "Also, was ist Sache?"
dpa

Web-Seite schülerVZ: "Also, was ist Sache?"


Für seine Bekannten war Matthias L. einfach nur Matze, der unscheinbare Hauptschulabsolvent, der zwei Ausbildungen abgebrochen hatte und von Hartz IV lebte. Er war erst 20, hatte aber schon eine laufende Bewährungstrafe wegen diverser Betrugsdelikte und hauste in einer "Verfügungswohnung" der Stadt Erlangen. Von dort tauchte er täglich für bis zu zehn Stunden in seine eigentliche Lebenswelt ein, in der er sich nicht als Verlierer fühlte, sondern als Teil der digitalen Untergrund-Elite: ins Internet.

Dort versuchte Matthias L. sich als Exit einen Namen zu machen. Er knackte etwa eine Datenbank zum Rollenspiel "World of Warcraft" und experimentierte damit, Sendesignale wie das von ProSieben live ins Internet zu leiten, jedenfalls erzählte er davon in seinem Blog namens "3x1t" - was für Exit steht. Seinen scheinbar größten Coup landete er aber mit einem simplen kleinen Datensammelprogramm, Crawler genannt, das er offenbar einst für seine geplante Abschlussarbeit als Fachinformatiker entwickelte. Damit griff er Datensätze bei der zum Holtzbrinck-Verlag gehörenden Berliner VZnet Netzwerke ab, die schülerVZ, studiVZ und meinVZ betreiben.

Es war kein Hacker-Angriff im eigentlichen Sinne, denn Exit knackte diesmal nicht die Datenbank, sein Hilfsprogramm sammelte nur die Profildaten ein, die VZ-Nutzer eingegeben hatten und die im Netz frei abrufbar waren. 2,7 Millionen Datensätze, prahlte Exit, habe er so gesammelt: Name, Alter, Schule und sogar Fotos. Ob das alleine strafbar ist, ist rechtlich umstritten - immerhin konnte jeder VZ-Nutzer die Informationen abrufen. Dem Unternehmen zufolge ist das automatisierte "Crawlen unter Umgehung von Zugangssperren illegal". Das sieht L.s Verteidiger Ulrich Dost anders: Sein Mandant habe nämlich gar keine Sperren überwinden müssen.

Mit seinem Scoop hielt Exit nicht hinter dem Berg: Schon im Mai veröffentlichte er ein Video bei YouTube, das sein Programm beim Saugen der Daten zeigte.

Verheerendes "just4fun-Projekt"

Es hätte nun so laufen können, wie bei den jüngsten Datenlecks bei Libri oder beim Sparkassen-Shop, wo Unbefugte sogar Online-Zugriff auf Hunderttausende Rechnungen hätten nehmen können: Die Firma schließt die Lücke und verspricht, besser auf den Schutz der Daten zu achten.

Im Fall von Matthias L. lief es dramatisch anders. Der Datenfischzug begann wie ein Krimi und endete in einer Tragödie - mit dem Selbstmord des Erlangers in der Berliner Untersuchungshaft am vorvergangenen Wochenende.

Die Geschichte wirft viele Fragen auf, nicht nur nach seinem Fehlverhalten, sondern auch nach dem Umgang des Unternehmens und der Justiz mit dem Fall. Sie hat sich wie ein Lauffeuer im Internet verbreitet, wo sich schon nach kurzer Zeit wilde Verschwörungstheorien um das Schicksal des Matthias L. zu ranken begannen, das am Vormittag des 17. Oktober seinen Lauf nahm.

An jenem Samstag, um 11.12 Uhr, nahm der Technikchef der VZ-Gruppe, Jodok B., via Internetchat Kontakt zu Exit auf. B. stand unter Stress. Am Tag zuvor hatte das renommierte Blog Netzpolitik.org berichtet, dass die VZ-Gruppe ein Sicherheitsleck habe, ausgerechnet im besonders sensiblen Schülerbereich. Für das Unternehmen zeichnete sich ein Imagedesaster ab.

Matthias L. gab sofort zu, der Urheber des Problems zu sein und die Daten zu besitzen. Auf die Frage, was er damit erreichen wolle, antwortete er: "gar nichts, das war'n just4fun-Projekt".

"Also, was ist Sache?"

Zwischen dem Firmenvertreter und dem Internetfreak entspann sich ein stundenlanger Dialog, in dem B. mal lockte, mal drohte - und in dem die Firma selbst mehrfach das Thema Geld ansprach. Wenn man es schaffe, die Daten zu lokalisieren und zu löschen, so B., dürfe "uns das auch was kosten", so der VZ-Mann. An anderer Stelle schrieb er "du - und andere können bei uns rumhacken, wie sie wollen. Ich bezahl euch sogar gerne dafür!", allerdings nannte er eine Bedingung: "Wenn ich jemanden dafür bezahle, möchte ich, dass das nicht publik wird."

Das Unternehmen bestritt vorige Woche per Pressemitteilung, dass es zuerst die VZ-Seite gewesen sei, die L. Geld für die Daten oder den Crawler in Aussicht gestellt habe. Vom SPIEGEL mit den entsprechenden Chat-Passagen konfrontiert, sagt VZ-Geschäftsführer Markus Berger-de León, er bleibe bei dieser Darstellung: "Zu Einzelheiten nehme ich keine Stellung." Er spricht aber auch von "einer Tragödie in zwei Kapiteln", er sei immer noch "tief geschockt". Alles, was nach dem Eintreffen der Polizei passiert sei, liege aber in der Verantwortung der zuständigen Behörden und des Strafverteidigers.

In jenem langen Chat am 17. Oktober bot der VZ-Mann B. seinem Gegenüber auch an, einen Anwalt zu vermitteln. Erst um 17.22 Uhr verlor er die Geduld: "Also, was ist Sache? Kooperation oder Krieg?" Matthias L. entschied sich scheinbar für Kooperation. Er verriet seinen Namen und seine Anschrift und willigte ein, nach Berlin zu kommen.

Geld oder Ruhm

Am Tag darauf, gegen 22.00 Uhr, erreichte Exit die Geschäftsräume von schülerVZ in Berlin-Mitte, die Taxirechnung von 530 Euro beglich das Unternehmen. In einem Besprechungszimmer verhandelte "Exit" mit vier VZ-Leuten. Über den Inhalt gibt es verschiedene Versionen. Der VZ-Technikchef hat gegenüber der Polizei ausgesagt, L. habe behauptet, ein Kaufangebot für seine Daten über 80.000 Euro erhalten zu haben. Für eine weitere Kooperation verlange er 20.000 Euro und zwar sofort. An diesem Punkt habe man die Polizei verständigt, die L. um 23.35 Uhr in den Firmenräumen festnahm.

Der Erlanger behauptete in seiner Vernehmung hingegen, die VZ-Leute hätten ihn gefragt, ob es ihm um Geld oder Ruhm gehe. Daraufhin habe er spontan die Summe 80.000 Euro genannt. Er habe sich einverstanden erklärt, die "bei mir befindlichen Daten zu löschen", wenn er bis Montag 20.000 Euro erhalte. "Wenn die mir Geld anbieten", so L. zur Kripo, "nehme ich es gerne an."

Ob ein Richter das als Erpressungversuch gewertet hätte, wird nicht mehr zu klären sein. Auch wegen seiner Bewährungsstrafe kam L. in Untersuchungshaft, in eine Einzelzelle - obwohl aktenkundig war, dass er an einer "kombinierten Persönlichkeitsstörung" litt, die sich laut psychiatrischem Gutachten bereits "chronifiziert" hatte. Dort, im Haftraum 228 der Jugendstrafanstalt Berlin-Plötzensee, fanden Beamte ihn am 31. Oktober gegen 6.10 Uhr. Der 20-Jährige hatte sich offenbar mit Hilfe eines Bettlakens am Fenster erhängt.

© SPIEGEL ONLINE 2009
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH


Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.