Hack und Veröffentlichung privater Daten deutscher Politiker und Prominenter 2018/2019

Beim Hack und der Veröffentlichung privater Daten deutscher Politiker und Prominenter 2018/2019 wurden durch sogenanntes Doxing private Daten von 994 Personen im Internet veröffentlicht, bei 50 sogar in größerem Umfang. Darunter befinden sich Politiker aller im Deutschen Bundestag vertretenen Parteien außer der AfD sowie weitere Personen des öffentlichen Lebens. Die Daten wurden zwischen dem 1. und 28. Dezember 2018 parallel über eine Reihe verschiedener Online-Plattformen, unter anderem den Blogging-Dienst Twitter, in Form eines „Adventskalenders“ publiziert.

Es wurden Ermittlungen durch die Nachrichtendienste des Bundes, das Bundeskriminalamt und das Nationale Cyber-Abwehrzentrum lanciert. Nachdem die gestohlenen Informationen bereits seit Wochen im Netz gestanden hatten, berichtete der Sender RBB am 4. Januar 2019 ausführlich über die Veröffentlichungen und Ermittlungen. In der Folge gingen eindeutige Hinweise durch einen Zeugen ein, welche die Identifizierung eines 20-jährigen polizeilich bekannten Verdächtigten im Raum Mittelhessen erlaubten. Nach zwei Tagen wurde der Verdächtige verhaftet und gestand, die Daten veröffentlicht zu haben. Als Motiv gab er „Verärgerung über Politiker“ an. Der Täter war in rechten bis rechtsextremen Online-Kanälen radikalisiert worden.

Im Verlauf der Ermittlungen zeigte sich, dass der unter verschiedenen Accountnamen wie „_0rbit“ oder „Nullr0uter“ auftretende 20-jährige bereits seit mehreren Jahren durch Doxing und die Übernahme von fremden YouTube-Kanälen und Accounts in Erscheinung getreten war.

Der Fall löste eine breite Diskussion über die Sicherheit privater und öffentlicher Daten im Internet und Forderungen nach konkreten Maßnahmen aus.

Veröffentlichungen Betroffene Insgesamt waren fast 1000 Personen des öffentlichen Lebens, Politiker und Prominente, von dem Hackerangriff betroffen.Bürgermeisterin zum Hackerangriff: „Es gibt einen gewissen Stolz, dass es jemand war, der von hier kommt“, Spiegel Online, 9. Januar 2019

Die Veröffentlichungen (Doxing) begannen im Juli 2017 mit privaten Daten von Jan Böhmermann.Massiver Hackerangriff auf Hunderte Politiker und Prominente, Donaukurier, 4. Januar 2019 Zwischen August 2017 und August 2018 wurde nichts veröffentlicht. Es folgten ab dem 1. Dezember 2018 täglich Datenveröffentlichungen wie in einem Adventskalender über rund 100 Personen wie Moderatoren, Journalisten von ARD und ZDF, YouTuber, Schauspieler, Rapper und Bands; betroffen waren unter anderem Christian Ehring, Til Schweiger, LeFloid, Rayk Anders und Sido.

Ab dem 20. Dezember 2018 waren auch Hunderte von Personen des öffentlichen Lebens, darunter Politiker der Parteien FDP, Linke, Grüne, SPD, CDU sowie der CSU betroffen, aber keine Politiker der AfD-Bundestagsfraktion. Zu den Ausgespähten gehörten Abgeordnete aus dem Bundestag, dem Europaparlament und Landtagen sowie Kommunalpolitiker. Aus Brandenburg wurden Datensätze fast der gesamten CDU-Fraktion sowie einzelner Politiker von Linke, SPD und Grünen veröffentlicht, inklusive des Ministerpräsidenten Dietmar Woidke. Weitere Betroffene waren etwa die SPD-Vorsitzende Andrea Nahles, der Bündnis-90/Die-Grünen-Parteivorsitzende Robert Habeck und Bundeskanzlerin Angela Merkel.Hackers published personal data from Angela Merkel and hundreds of German public figures online, cnbc.com, 4. Januar 2019

Datenquellen und Authentizität Die gesammelten Daten entstammen vielen, zum Teil öffentlich einsehbaren Quellen. Einige der Daten galten zum Zeitpunkt der Veröffentlichung als aktuell und sind authentisch, andere sind laut Aussage der betroffenen Politiker weder aktuell noch wahrheitsgemäß.

Bundesinnenminister Horst Seehofer (CSU) sagte, die Daten stammten von gehackten E-Mail-Accounts, Social-Media-Konten und Cloud-Anwendungen. Keine der Daten würden aus dem Intranet des Bundestages oder den Regierungsnetzen (dazu zählt der Informationsverbund der Bundesverwaltung) stammen.

In mindestens einem Fall wurden die Daten nachweislich durch Social Engineering, also soziale Manipulation, abgegriffen. Der Hacker hatte sich Zugang zum Skype-Account eines Opfers verschafft, dessen Kontakte angeschrieben und darum gebeten, dass diese ihm ihre Handynummern schicken sollten.

Veröffentlichungen In fast allen Fällen wurden private E-Mail-Adressen und Handynummern der Betroffenen verbreitet, von vielen auch Bankdaten, Wohnadressen und Ausweisdokumente. In mehreren Fällen wurden private Chats mit Familienmitgliedern, welche über den Facebook-Messenger verschickt wurden, verbreitet. Auch wurden Briefe und Urlaubsfotos der Betroffenen zusammengetragen. Die jüngsten Angaben stammten vom Oktober 2018. Die sehr unterschiedlichen Daten wurden geordnet und für die Veröffentlichung zu thematischen Blocks zusammengefasst. Weiterführende Dokumente, beispielsweise Bilder, sind verlinkt.

Verbreitung der Daten Zentraler Veröffentlichungskanal war der seit 2015 aktive Twitter-Benutzerkonto „@_0rbit“ mit am Ende mehr als 17.000 Followern, der ursprünglich dem YouTuber Dezztroyz gehörte und im Mai 2016 von einem Hacker gekapert worden war.Politiker- und Promi-Hack: Ehemaliges Twitter-Konto eines YouTubers missbraucht, heise.de, 4. Januar 2019 Der Vorgang erhielt erst mediale Aufmerksamkeit, als der Hacker am 3. Januar 2019 den Twitteraccount des Webvideoproduzenten Simon Unge übernahm, über den er die privaten Daten seines Besitzers an dessen zwei Millionen Follower weiterleitete. Erst ab diesem Zeitpunkt wurde das „Cyberabwehrzentrum“ des Bundesministeriums des Innern aufmerksam.

Der Hacker hinterlegte die Daten auf mehreren Servern und Plattformen. Er erstellte und veröffentlichte Videos der Dokumente auf mehreren Websites. Nach der Löschung des Twitter-Benutzerkontos und des zugehörigen Blogs durch die jeweiligen Betreiber waren diverse Kopien der Daten auf unterschiedlichen Servern weiterhin abrufbar. Tauschplattformen waren unter anderem PrivateBin oder Blogspot, die einen anonymen Austausch möglich machen, sodass die Daten schwer zu löschen waren.

Ab dem 28. Dezember 2018 wurden keine weiteren Daten mehr veröffentlicht. Das verwendete Twitter-Benutzerkonto wurde am 4. Januar 2019 gesperrt.

Ermittlungen Seit März 2018 Mindestens fünf Politiker zeigten ab März 2018 den Hack ihrer Daten bei der Polizei und beim Bundesamt für Sicherheit in der Informationstechnik (BSI) an, darunter der Bundestagsabgeordnete Helge Lindh (SPD): sein Facebook- und sein Twitter-Konto sowie seine AOL-Mailadresse wurden übernommen. Private Unterlagen von Lindh finden sich in dem nun veröffentlichten Konvolut. Lindh geht davon aus, dass die Dokumente aus seinen Mails herauskopiert wurden. Die Behörden sahen keinen Zusammenhang zwischen den Fällen und konnte in den Ermittlungen keine Ergebnisse erzielen.

Nach den Medienberichten am 4. Januar 2019 Ein Auszubildender aus Bad Oldesloe fand auf Twitter die Telefonnummer des ehemaligen Kanzlerkandidaten Martin Schulz (SPD) und informierte ihn darüber. Daraufhin begann das Bundesamt für Sicherheit in der Informationstechnik (BSI) seine Ermittlungen.

Die Ermittlungen werden im Nationalen Cyberabwehrzentrum koordiniert; die Bundesanwaltschaft prüft den Fall. Die Zentralstelle zur Bekämpfung der Internet- und Computerkriminalität, eine Sondereinheit der Generalstaatsanwaltschaft Frankfurt am Main, hat Ermittlungen aufgenommen. T-Online ist in einer eigenen Recherche der für das Leck verantwortlichen Person näher gekommen, die „ein alter Bekannter“ aus der YouTube-Szene sei.

Der YouTuber Tomasz N. nahm Kontakt mit dem Hacker auf, forderte ihn auf, den Account von Unge wieder freizugeben, und erhielt den Zugang schließlich zurück. Der Hacker soll angedeutet haben, dass er über einen Fehler in der Zwei-Faktor-Authentifizierung den Zugang zum Unge-Account gefunden habe.

Der Account, der bis dahin mehr als 18.000 Follower hatte, wurde am 4. Januar 2019 gesperrt. Er war als „security researching“ und „satire and irony“ kategorisiert und hatte als Standort Hamburg angegeben. Die Hansestadt Hamburg arbeitete mit der irischen Datenschutzbehörde (Office of the Data Protection Commissioner) zusammen, um die dort ansässige Europazentrale der Firma Twitter zu erreichen, die aber nicht reagierte.

Der Bundesvorsitzende der Grünen Robert Habeck und sein Parteikollege Konstantin von Notz erstatteten wegen der Veröffentlichung ihrer und anderer Daten Strafanzeige.

Hauptzeuge Am 6. Januar 2019 durchsuchten Beamte des BKA die Wohnung eines 19-Jährigen in Heilbronn mit Kontakt zu „0rbit“, beschlagnahmten seinen Rechner und befragten ihn als Zeugen. Der im IT-Bereich Tätige war zunächst selbst verdächtigt worden, die Informationen veröffentlicht zu haben. Der Screenshot einer Unterhaltung mit dem Täter zeige, dass „0rbit“ beabsichtigt, seine Rechner und weiteres technisches Equipment zu zerstören. Seinen Account beim Messenger-Dienst Telegram hätte dieser mittlerweile gelöscht, über den er bis dahin verschlüsselt kommuniziert hatte.

In einem Interview im ARD-Politmagazin Kontraste gab der Hauptzeuge an, dass er durch einen Chat den Zeitpunkt einer früheren Polizeimaßnahme kannte, was zur Identifizierung des mutmaßlichen Täters wesentlich beitrug.Gesprächsprotokoll in Kontraste des rbb vom 10. Januar 2019; abgerufen am 17. Januar 2019 Der Hauptzeuge war gleichzeitig technischer Dienstleister für Shlomo Finkelstein, der den YouTube-Kanal Die Vulgäre Analyse betreibt, auf dem sich der Täter mutmaßlich radikalisiert hatte.

Täter Am 6. Januar 2019 durchsuchte die Polizei die Wohnung des 20-jährigen Schülers Johannes S. aus Homberg (Ohm) in Mittelhessen. Er war schon zwei Jahre zuvor einschlägig polizeilich aufgefallen: Die Staatsanwaltschaft Gießen hatte gegen ihn drei Ermittlungsverfahren eingeleitet, unter anderem wegen des Verdachts des Ausspähens von Daten und der Fälschung beweiserheblicher Daten, ohne dass eine Bestrafung erfolgte. So waren seine IP-Adresse, sein Name und seine Wohnadresse den Behörden bekannt. Die Aussagen eines Zeugen trugen zu seiner schnellen Enttarnung im vorliegenden Fall bei.

Der Verdächtige wurde vorläufig festgenommen und ist in vollem Umfang geständig. Zuvor hatte er noch versucht, die Daten auf Cloudspeichern zu verstecken; er überschrieb seine Festplatte 32fach und entsorgte sie auf einem Recyclinghof, wo sie jedoch geborgen und zur Auswertung beschlagnahmt wurde.Festplatte 32 Mal gelöscht: Junger Hacker wollte Spuren verwischen, n-tv, 10. Januar 2019 Da weder Verdunkelungsgefahr noch Fluchtgefahr angenommen wird und es im Jugendstrafrecht, das wegen seines Alters möglicherweise auf ihn angewendet wird, höhere Hürden für Untersuchungshaft gibt, wurde er nach der Vernehmung auf freien Fuß gesetzt. Bislang gehen die Ermittlungsbehörden – federführend die Generalstaatsanwaltschaft Frankfurt am Main und das Bundeskriminalamt (BKA) – von einem Einzeltäter aus, jedoch wurde die Alleintäterschaft überprüft. weil anhand von Verhören durch das Bundeskriminalamt vermutet wurde, dass der Verdächtige nicht über die für die Tat nötigen Kenntnisse verfüge, dass er nicht in der Lage gewesen sei, eine Zwei-Faktor-Authentifizierung zu umgehen, und die Einzeltäter-These somit fraglich sei. Für die Ermittler ist der Täter weiterhin der Alleinbeschuldigte.Ermittler werten Daten aus: Hacker-Angriff auf Politiker: Umfassende Analyse soll Motivation des Täters klären, fnp.de, 13. März 2019 Der Täter arbeitet mit den Ermittlern zusammen.Der Hacker von Homberg kooperiert mit Ermittlern, Allgemeine Zeitung, 13. März 2019 Das Ermittlungsverfahren soll voraussichtlich Mitte 2019 abgeschlossen sein. Nach der Verhandlung stellte die Staatsanwaltschaft abschließend fest, dass Johannes S. keine besonderen technischen Kenntnisse hatte und für die Tat anwendete."Hacker zu neun Monaten auf Bewährung verurteilt" Zeit.de vom 23. September 2020