Hack und Veröffentlichung privater Daten deutscher Politiker und Prominenter 2018/2019

Beim Hack und der Veröffentlichung privater Daten deutscher Politiker und Prominenter 2018/2019 wurden durch sogenanntes Doxing private Daten von 994 Personen im Internet veröffentlicht, bei 50 sogar in größerem Umfang. Darunter befinden sich Politiker aller im Deutschen Bundestag vertretenen Parteien außer der AfD sowie weitere Personen des öffentlichen Lebens. Die Daten wurden zwischen dem 1. und 28. Dezember 2018 parallel über eine Reihe verschiedener Online-Plattformen, unter anderem den Blogging-Dienst Twitter, in Form eines „Adventskalenders“ publiziert.

Nachdem die gestohlenen Informationen bereits seit Wochen im Netz gestanden hatten, berichtete der Sender RBB am 4. Januar 2019 ausführlich über die Veröffentlichungen. Am gleichen Tag verdichteten sich die Hinweise auf den Täter, der unter dem Accountnamen „_0rbit“ seit mehreren Jahren YouTube-Kanäle und Accounts von deren Betreibern hackte. Gemeinsam konnten die Nachrichtendienste des Bundes, das Bundeskriminalamt und das Nationale Cyber-Abwehrzentrum innerhalb von zwei Tagen einen 20-jährigen Verdächtigten im Raum Mittelhessen identifizieren, der gestand, die Daten veröffentlicht zu haben. Als Motiv gab er „Verärgerung über Politiker“ an. Der Täter war in rechten bis rechtsextremen Online-Kanälen radikalisiert worden.

Der Fall löste eine breite Diskussion über die Sicherheit privater und öffentlicher Daten im Internet und Forderungen nach konkreten Maßnahmen aus.

Veröffentlichungen

Betroffene

Insgesamt waren fast 1000 Personen des öffentlichen Lebens, Politiker und Prominente, von dem Hackerangriff betroffen.

Die Veröffentlichungen (Doxing) begannen im Juli 2017 mit privaten Daten von Jan Böhmermann. Zwischen August 2017 und August 2018 wurde nichts veröffentlicht. Es folgten ab dem 1. Dezember 2018 täglich Datenveröffentlichungen wie in einem Adventskalender über rund 100 Personen wie Moderatoren, Journalisten von ARD und ZDF, YouTuber, Schauspieler, Rapper und Bands; betroffen waren unter anderem Christian Ehring, Til Schweiger, LeFloid, Rayk Anders und Sido.

Ab dem 20. Dezember 2018 waren auch Hunderte von Personen des öffentlichen Lebens, darunter Politiker der Parteien FDP, Linke, Grüne, SPD, CDU sowie der CSU betroffen, aber keine Politiker der AfD-Bundestagsfraktion. Zu den Ausgespähten gehörten Abgeordnete aus dem Bundestag, dem Europaparlament und Landtagen sowie Kommunalpolitiker. Aus Brandenburg wurden Datensätze fast der gesamten CDU-Fraktion sowie einzelner Politiker von Linke, SPD und Grünen veröffentlicht, inklusive des Ministerpräsidenten Dietmar Woidke. sowie die SPD-Vorsitzende Andrea Nahles Bündnis-90/Die-Grünen-Parteivorsitzender Robert Habeck und Bundeskanzlerin Angela Merkel.

Datenquellen und Authentizität

Die gesammelten Daten entstammen vielen, zum Teil öffentlich einsehbaren Quellen. Einige der Daten gelten als aktuell und sind authentisch, andere sind laut Aussage der betroffenen Politiker weder aktuell noch wahrheitsgemäß.

Bundesinnenminister Horst Seehofer (CSU) sagte, die Daten stammten von gehackten E-Mail-Accounts, Socialmedia-Accounts und Cloud-Anwendungen. Keine der Daten würden aus dem Intranet des Bundestages oder den Regierungsnetzen (dazu zählt der Informationsverbund der Bundesverwaltung) stammen.

In mindestens einem Fall wurden die Daten nachweislich durch Social Engineering, also soziale Manipulation, abgegriffen. Der Hacker hatte sich Zugang zum Skype-Account eines Opfers verschafft, dessen Kontakte angeschrieben und darum gebeten, dass diese ihm ihre Handynummern schicken sollten.

Veröffentlichungen

In fast allen Fällen wurden private E-Mail-Adressen und Handynummern der Betroffenen verbreitet, von vielen auch Bankdaten, Wohnadressen und Ausweisdokumente. In mehreren Fällen wurden private Chats mit Familienmitgliedern, welche über den Facebook-Messenger verschickt wurden, verbreitet. Auch wurden Briefe und Urlaubsfotos der Betroffenen zusammengetragen. Die jüngsten Angaben stammten vom Oktober 2018. Die sehr unterschiedlichen Daten wurden geordnet und für die Veröffentlichung zu thematischen Blocks zusammengefasst. Weiterführende Dokumente, beispielsweise Bilder, sind verlinkt.

Verbreitung der Daten

Zentraler Veröffentlichungskanal war der seit 2015 aktive Twitter-Benutzerkonto „@_0rbit“ mit am Ende mehr als 17.000 Followern, der ursprünglich dem YouTuber Dezztroyz gehörte und im Mai 2016 von einem Hacker gekapert worden war. Der Vorgang erhielt erst mediale Aufmerksamkeit, als der Hacker am 3. Januar 2019 den Twitteraccount des Webvideoproduzenten Simon Unge übernahm, über den er die privaten Daten seines Besitzers an dessen zwei Millionen Follower weiterleitete. Erst ab diesem Zeitpunkt wurde das „Cyberabwehrzentrum“ des Bundesministeriums des Innern aufmerksam.

Der Hacker hinterlegte die Daten auf mehreren Servern und Plattformen. Er erstellte und veröffentlichte Videos der Dokumente auf mehreren Websites. Nach der Löschung des Twitter-Benutzerkontos und des zugehörigen Blogs durch die jeweiligen Betreiber waren diverse Kopien der Daten auf unterschiedlichen Servern weiterhin abrufbar. Tauschplattformen waren unter anderem PrivateBin oder Blogspot, die einen anonymen Austausch möglich machen, sodass die Daten schwer zu löschen waren.

Ab dem 28. Dezember 2018 wurden keine weiteren Daten mehr veröffentlicht. Das verwendete Twitter-Benutzerkonto wurde am 4. Januar 2019 gesperrt.

Ermittlungen

Seit März 2018

Mindestens fünf Politiker zeigten ab März 2018 den Hack ihrer Daten bei der Polizei und beim Bundesamt für Sicherheit in der Informationstechnik (BSI) an, darunter der Bundestagsabgeordnete Helge Lindh (SPD): sein Facebook- und sein Twitter-Konto sowie seine AOL-Mailadresse wurden übernommen. Private Unterlagen von Lindh finden sich in dem nun veröffentlichten Konvolut. Lindh geht davon aus, dass die Dokumente aus seinen Mails herauskopiert wurden. Die Behörden sahen keinen Zusammenhang zwischen den Fällen und konnte in den Ermittlungen keine Ergebnisse erzielen.

Nach den Medienberichten am 4. Januar 2019

Ein Auszubildender aus Bad Oldesloe fand auf Twitter die Telefonnummer des ehemaligen Kanzlerkandidaten Martin Schulz (SPD) und informierte ihn darüber. Daraufhin begann das Bundesamt für Sicherheit in der Informationstechnik (BSI) seine Ermittlungen.

Die Ermittlungen werden im Nationalen Cyberabwehrzentrum koordiniert; die Bundesanwaltschaft prüft den Fall. Die Zentralstelle zur Bekämpfung der Internet- und Computerkriminalität, eine Sondereinheit der Generalstaatsanwaltschaft Frankfurt am Main, hat Ermittlungen aufgenommen. T-Online ist in einer eigenen Recherche der für das Leck verantwortlichen Person näher gekommen, die „ein alter Bekannter“ aus der YouTube-Szene sei.

Der YouTuber Tomasz N. nahm Kontakt mit dem Hacker auf, forderte ihn auf, den Account von Unge wieder freizugeben, und erhielt den Zugang schließlich zurück. Der Hacker soll angedeutet haben, dass er über einen Fehler in der Zwei-Faktor-Authentifizierung den Zugang zum Unge-Account gefunden habe.

Der Account, der bis dahin mehr als 18.000 Follower hatte, wurde am 4. Januar 2019 gesperrt. Er war als „security researching“ und „satire and irony“ kategorisiert und hatte als Standort Hamburg angegeben. Die Hansestadt Hamburg arbeitete mit der irischen Datenschutzbehörde (Office of the Data Protection Commissioner) zusammen, um die dort ansässige Europazentrale der Firma Twitter zu erreichen, die aber nicht reagierte.

Der Bundesvorsitzende der Grünen Robert Habeck und sein Parteikollege Konstantin von Notz erstatteten wegen der Veröffentlichung ihrer und anderer Daten Strafanzeige.

Hauptzeuge

Am 6. Januar 2019 durchsuchten Beamte des BKA die Wohnung eines 19-Jährigen in Heilbronn mit Kontakt zu „0rbit“, beschlagnahmten seinen Rechner und befragten ihn als Zeugen. Der im IT-Bereich Tätige war zunächst selbst verdächtigt worden, die Informationen veröffentlicht zu haben. Der Screenshot einer Unterhaltung mit dem Täter zeige, dass „0rbit“ beabsichtigt, seine Rechner und weiteres technisches Equipment zu zerstören. Seinen Account beim Messenger-Dienst Telegram hätte dieser mittlerweile gelöscht, über den er bis dahin verschlüsselt kommuniziert hatte.

In einen Interview im ARD-Politmagazin Kontraste gab der Hauptzeuge an, dass er durch einen Chat den Zeitpunkt einer früheren Polizeimaßnahme kannte, was zur Identifizierung des mutmaßlichen Täters wesentlich beitrug. Der Hauptzeuge war gleichzeitig technischer Dienstleister für Shlomo Finkelstein, der den YouTube-Kanal Die Vulgäre Analyse betreibt, auf dem sich der Täter mutmaßlich radikalisiert hatte.

Täter

Am 6. Januar 2019 durchsuchte die Polizei die Wohnung des 20-jährigen Schülers Johannes S. aus Homberg (Ohm) in Mittelhessen. Er war schon zwei Jahre zuvor einschlägig polizeilich aufgefallen: Die Staatsanwaltschaft Gießen hatte gegen ihn drei Ermittlungsverfahren eingeleitet, unter anderem wegen des Verdachts des Ausspähens von Daten und der Fälschung beweiserheblicher Daten, ohne dass eine Bestrafung erfolgte. So waren seine IP-Adresse, sein Name und seine Wohnadresse den Behörden bekannt. Die Aussagen eines Zeugen trugen zu seiner schnellen Enttarnung im vorliegenden Fall bei.

Der Verdächtige wurde vorläufig festgenommen und ist in vollem Umfang geständig. Zuvor hatte er noch versucht, die Daten auf Cloudspeichern zu verstecken; er überschrieb seine Festplatte 32fach und entsorgte sie auf einem Recyclinghof, wo sie jedoch geborgen und zur Auswertung beschlagnahmt wurde. Da weder Verdunkelungsgefahr noch Fluchtgefahr angenommen wird und es im Jugendstrafrecht, das wegen seines Alters möglicherweise auf ihn angewendet wird, höhere Hürden für Untersuchungshaft gibt, wurde er nach der Vernehmung auf freien Fuß gesetzt. Bislang gehen die Ermittlungsbehörden – federführend die Generalstaatsanwaltschaft Frankfurt am Main und das Bundeskriminalamt (BKA) – von einem Einzeltäter aus, jedoch wurde die Alleintäterschaft überprüft. weil anhand von Verhören durch das Bundeskriminalamt vermutet wurde, dass der Verdächtige nicht über die für die Tat nötigen Kenntnisse verfüge, dass er nicht in der Lage gewesen sei, eine Zwei-Faktor-Authentifizierung zu umgehen, und die Einzeltäter-These somit fraglich sei. Für die Ermittler ist der Täter weiterhin der Alleinbeschuldigte. Der Täter arbeitet mit den Ermittlern zusammen. Das Ermittlungsverfahren soll voraussichtlich Mitte 2019 abgeschlossen sein. Nach der Verhandlung stellte die Staatsanwaltschaft abschließend fest, dass Johannes S. keine besonderen technischen Kenntnisse hatte und für die Tat anwendete.

Am 23. September 2020 wurde der 22-jährige geständige Täter vom Amtsgericht Alsfeld rechtskräftig zu neun Monaten Jugendstrafe, ausgesetzt für zwei Jahre auf Bewährung, verurteilt.

Rechtes politisches Motiv des Täters

Der Chaos Computer Club (CCC) vermutete früh einen rechten politischen Hintergrund der Aktion wegen Art, Auswahl und Kommentierung der geleakten Datensätze. Der Hauptaccount „@_0rbit“ beteiligte sich an extrem rechten Diskussionen auf Twitter-Kanälen und ist mit rechten Online-Aktivisten vernetzt. Ferner erklärte CCC-Sprecher Linus Neumann, dass der Täter sehr viele Informationen von sich preisgegeben habe. Sein „Vorgehen war einfach sehr unvorsichtig, es wurde mit den Betroffenen gechattet, es wurden Details des Vorgehens preisgegeben“. Der Angreifer habe zudem ein „viel zu großes Geltungsbedürfnis“, da er sich regelmäßig damit gerühmt hatte, bestimmte Personen in Fallen gelockt und ihre Accounts übernommen zu haben.

Ein Kanal, der wesentlich zur Radikalisierung von Johannes S. beitrug, war der YouTube-Kanal Die Vulgäre Analyse, der Teil der rechtsradikalen Subkultur im Netz ist. Der Kanal verbreitete Hassbotschaften, hetzte gegen Personen aus Politik und Medien und stachelte seine Zuschauer an, es ihm gleichzutun. Viele Personen, die von dem Hack betroffen waren, setzten sich zuvor kritisch mit dem rechten YouTube-Kanal auseinander oder waren Ziel seiner Hetze geworden.

Veröffentlicht wurden unter anderem 3 Gigabyte Daten des Satirikers Christian Ehring, mutmaßlich, da er 2018 ein Verfahren gegen Alice Weidel (AfD) wegen einer umstrittenen Aussage über deren politischen Sprachgebrauch gewonnen hatte. Jan Böhmermann und Rayk Anders standen schon in den Monaten zuvor im Visier von Rechtsradikalen. Sie hatten über rechtsradikale Trolle und das geheime Propaganda-Netzwerk „Reconquista Germanica“ im Netz berichtet. Der Hauptzeuge ging ebenfalls von einem rechtsorientierten Motiv des Täters aus. So äußerte er etwa den Verdacht, die AfD sei wegen ihrer rechtspopulistische Aussagen nicht von dem Hack betroffen gewesen. Die AfD wies diese These zurück.

Reaktionen

Kritik am Vorgehen der Behörden

Das Bundeskriminalamt wurde nach eigener Darstellung erst am 4. Januar 2019 auf den Leak aufmerksam gemacht. Der Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Arne Schönbohm, sagte am 4. Januar 2019, sein Amt habe schon im Dezember 2018 mit einzelnen Abgeordneten gesprochen und Gegenmaßnahmen durchgeführt. Zudem sei damals bereits ein sogenanntes „Mobile Incident Response Team“ des BSI losgeschickt worden, „um bestimmte Personen zu warnen“. Schönbohm rechtfertigte das Vorgehen damit, dass die Veröffentlichung des gestohlenen Materials keine Gefahr für die Bundesregierung darstelle, da keine vertraulichen Daten dabei gewesen seien. Die betroffenen Nutzer sollten bei ihren privaten Daten selbst mehr auf ihre Sicherheitsregeln achten.

Politiker der FDP und der Linken äußerten sich verärgert über die Informationspolitik des BSI. André Hahn (Linke) sagte, ihn ärgere, dass er von den Vorfällen „zum wiederholten Male aus den Medien“ erfahre, obwohl er Mitglied im Parlamentarischen Kontrollgremium und im Innenausschuss des Bundestages sei. „Die Informationspflicht der Bundesregierung gegenüber dem Parlament gilt auch zwischen Weihnachten und Neujahr.“ Sowohl der Koalitionspartner SPD als auch die Opposition forderten Innenminister Horst Seehofer auf, sich um den Fall zu kümmern, und verlangten eine bessere Aufklärungsleistung des Ministeriums.

Verfolgung

Thorsten Frei (CDU), stellvertretender Vorsitzender der Unionsfraktion im Deutschen Bundestag, sagte, der Staat solle „zurückhacken“. „Dabei geht es dann nicht mehr nur um defensive Datenabwehr, sondern um die Möglichkeit zu einem aktiven Gegenangriff, der auch dazu führen kann, Server im Ausland, die die abgegriffenen Daten speichern, aktiv zu zerstören.“ Markus Reuter von Netzpolitik.org überschrieb Freis Aussagen als die „unbrauchbarsten Reaktionen aus der Politik.“ Die Regierung kündigte an, die Cyberabwehr künftig verstärken zu wollen. Ein „Cyber-Abwehrzentrum plus“ solle in Aktion treten, sagte der parlamentarische Innen-Staatssekretär Stephan Mayer (CSU).

Der Vorsitzende der Unionsfraktion Ralph Brinkhaus forderte strengere Strafen und kritisierte, dass das Strafmaß bei „Datendiebstahl“ geringer liegt als bei einfachem Diebstahl. Außerdem gebe es bei den Cyberdelikten offenbar Strafbarkeitslücken. Der Abgeordnete des Bündnis 90/Die Grünen, Konstantin von Notz, nannte den Vorfall einen „Angriff auf die Demokratie“, weshalb es sich lohne, „darüber nachzudenken, [...] auf solche Angriffe mit besonderer Strenge zu reagieren.“ Bundesjustizministerin Katarina Barley schlug eine Verbandsklage von Betroffenen als Musterfeststellungsklage gegen Unternehmen wie Twitter oder Facebook vor. Auch ein Leiter der Sicherheitsabteilung der Deutschen Telekom kritisiert die bisherige Rechtsprechung und Gerichtspraxis. Innenminister Horst Seehofer kündigte Mitte Januar 2019 an, dem BSI mehr Kompetenzen zu übertragen, um Inhalte auf Plattformen wie Facebook löschen zu lassen. Die CSU sprach sich Mitte Februar 2019 für eine erhebliche Verschärfung der Strafen für Hackerangriffe aus.

Siehe auch

• Liste von Datendiebstählen
• Hackerangriffe auf den Deutschen Bundestag