Wie ein Datendiebstahl die Republik in Aufruhr versetzt

Berlin (dpa) - Wer private Daten von sich plötzlich online und öffentlich einsehbar findet, erlebt einen Schock wie bei einem Einbruch. Genau so erging es in den vergangenen Tagen nicht nur Hunderten von Politikern, sondern auch mehreren Prominenten aus dem Musik- und Fernsehgeschäft.

Ihre Handynummern und manchmal auch ihre Familienfotos, Kontodaten und Chats waren über ein Twitterkonto veröffentlicht worden.

Wie wurden die Daten veröffentlicht?

Über das inzwischen gesperrte Twitter-Konto @_0rbit hat ein Unbekannter im Dezember 2018 eine Art Adventskalender veröffentlicht. An jedem Tag stellte er einen Link zu einem neuen Daten-Fundus online, anfangs zu prominenten Künstlern wie Til Schweiger und Jan Böhmermann, ab dem 20. Dezember dann zu einzelnen Parteien. Manche Daten machte er auch schon vorher öffentlich. Die geklauten Daten und Inhalte wurden auf verschiedenen Online-Plattformen hochgeladen - wahrscheinlich wollte der Täter damit verhindern, dass alles mit einem Mal gelöscht werden kann.

Was weiß man über den Täter?

Die Generalstaatsanwaltschaft Frankfurt am Main, deren Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) die Ermittlungen führt, will sich derzeit aus taktischen Gründen nicht äußern. Auch das BKA weiß nach eigenen Angaben noch nicht, wer der Täter ist und aus welchen Motiven er gehandelt hat. Weil die Daten keinen politischen Skandal zutage gefördert haben, gehen manche Experten davon aus, dass der Täter sich vor allem wichtig machen wollte. Auffallend ist, dass die AfD nach bisherigen Erkenntnissen nicht betroffen ist und unter den Prominenten vor allem Satiriker und Musiker sind, die sich schon öfter gegen rechte Hetze geäußert haben. Unklar ist, ob daraus auf die politische Gesinnung des Täters geschlossen werden kann.

Wie wurde die Veröffentlichung den Behörden bekannt?

Am Donnerstagabend erhielt der ehemalige SPD-Kanzlerkandidat Martin Schulz mehrere Nachrichten und Anrufe, darunter die Whatsapp-Nachricht eines ihm Unbekannten. Da die Handynummer des SPD-Politikers nicht öffentlich zugänglich ist, verständigte ein Mitarbeiter von ihm die Polizei. Das rbb-Inforadio berichtete als Erstes über die Veröffentlichungen auf Twitter.

Was weiß man über die Opfer des Angriffs?

Nach bisherigem Stand sind laut Sicherheitskreisen 994 Personen betroffen, vor allem aktive und ehemalige Mandatsträger. Etwa 50 Fälle seien schwerwiegender, weil hier größere Datenpakete wie Privatdaten, Fotos und Korrespondenz veröffentlicht wurden. Vom Bundespräsidenten über Landesminister bis hin zu Fernsehmoderatoren sind Politiker und Prominente betroffen. Bei knapp der Hälfte handelt es sich um CDU- und CSU-Politiker, darunter Kanzlerin Angela Merkel. Auf der SPD-Liste stehen 230 Namen, etwa Parteichefin Andrea Nahles, bei den Grünen und den Linken je etwa 100, bei der FDP 28. Die AfD ist die einzige Partei, die nach derzeitigem Stand nicht von dem Online-Angriff betroffen ist.

Um welche Daten handelt es sich genau?

Die Bandbreite ist groß: Von den allermeisten, laut Sicherheitskreisen etwa 940, werden nur Kontaktdaten genannt. Rund 50 Fälle sind schwerwiegender. Von diesen Betroffenen wurden auch sehr private Informationen veröffentlicht, darunter Chats mit Familienmitgliedern. Unklar ist, wie viel davon authentisch ist.

Viele dieser Daten sind vertraulich, andere wären ohnehin öffentlich zugänglich. Einige sind auch veraltet. Im Eintrag zu Heiko Maas (SPD) findet man zum Beispiel die offizielle Nummer des Justizministeriums - nur arbeitet der heutige Außenminister Maas dort schon seit März 2018 nicht mehr. Auch bei dem ebenfalls betroffenen Moderator Jan Böhmermann handelt es sich nicht um aktuelle Daten. Böhmermanns derzeitige Adresse sei nicht dabei, sagte sein Manager.

Wie kam der Täter an die Daten heran?

Ganz sicher ist das noch nicht. Datendiebstähle werden häufig über Angriffe auf Mail-Konten ausgeführt. Die Täter könnten etwa versuchen, schwache Passwörter zu erraten oder den Opfern über mit Schadsoftware infizierte E-Mails die Zugangsdaten abzuluchsen. Haben die Täter dann einen Zugang zu dem E-Mail-Konto, stehen Tür und Tor offen. So kann man dadurch oft auch Passwörter von sozialen Netzwerken neu vergeben.

Die veröffentlichten Daten stammen allerdings aus vielen Quellen. Einige geistern sie schon seit Monaten durch das Internet, bei anderen handelt es sich um Bestände, die erst vor kurzer Zeit erbeutet wurden. Ob der Nutzer des Twitter-Accounts, über den die Links verbreitet wurden, selbst an den verschiedenen Online-Angriffen beteiligt war, ist derzeit noch nicht klar. Er könnte auch mit viel Aufwand Datenbestände zusammengeführt haben, die bereits zuvor im Netz standen.

Wie haben die Betroffenen reagiert?

Unter anderem die Grünen-Politiker Robert Habeck und Konstantin von Notz, zwei der Hauptbetroffenen, haben Strafanzeige gegen unbekannt erstattet. Auch Schauspieler Til Schweiger lasse diese Angelegenheit rechtlich prüfen, sagte seine Sprecherin der dpa.

Wie kann man in einem solchen Fall den Täter identifizieren?

Die Ermittler werden sich unter anderem mit dem Twitter-Konto beschäftigen. Der Account wurde bereits 2015 eingerichtet und hat nach Informationen des Fachportals heise.de ursprünglich dem Youtuber Yannick Kromer gehört, auch bekannt als Dezztroyz. Später habe aber jemand anderes das Konto übernommen. Ermittler versuchen nun herauszufinden, wer zuletzt das Konto kontrolliert hat. Ob der aktuelle Nutzer ermittelt werden kann, hängt auch davon ab, wie viel Mühe sich der Täter bei der Verschleierung seiner Tat gemacht hat.

Andere Ermittlungsarbeiten werden sich auf die erbeuteten Daten fokussieren. Wann und wie ist es den Angreifern beispielsweise gelungen, das Material aus den Konten der Grünen-Politiker Habeck und von Notz zu stehlen? Diese Täter müssen wiederum nicht unbedingt etwas mit dem Inhaber des Twitter-Kontos zu tun haben.

Wie können Datendiebe strafrechtlich belangt werden?

Laut dem sogenannten Hackerparagrafen im Strafgesetzbuch (§ 202a) ist es illegal, wenn sich jemand Zugang zu Daten verschafft, «die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind». Das StGB sieht dafür eine Geldstrafe oder bis zu drei Jahre Haft vor. Strafbar macht sich auch, wer Daten abfängt, entsprechende Computerprogramme herstellt oder verbreitet oder mit ausgespähten Daten handelt.