BERLIN. Bei einem großen Online-Angriff sind persönliche Daten von Hunderten Personen des öffentlichen Lebens im Internet veröffentlicht worden.
Die Attacke trifft unter anderem Politiker, Schauspieler und Fernsehmoderatoren. Einige Informationen wurden schon 2017 ins Netz gestellt, in großem Umfang wurden Daten dann im Dezember 2018 veröffentlicht. Doch erst Donnerstagabend wurde ein größerer Kreis darauf aufmerksam: Das Kanzleramt erfuhr erst kurz vor Mitternacht davon, die Bundestagsverwaltung in der Nacht zum Freitag.
»Die Bundesregierung nimmt diesen Vorfall sehr ernst. Das Cyber-Abwehrzentrum hat sich heute bereits mit dem Vorgang befasst«, sagte die stellvertretende Regierungssprecherin Martina Fietz am Freitag in Berlin. Bei den Politikern seien »alle Ebenen« betroffen, Abgeordnete aus dem Bundestag, dem Europaparlament und den Landtagen bis hin zu Kommunalpolitikern. Fietz warnte, es könnten auch gefälschte Daten in das Material eingeschleust worden sein.
Unter den via Twitter veröffentlichten Daten finden sich Telefonnummern, die öffentlich zugänglich sind, aber auch berufliche E-Mails, Handynummern, Kopien von Personalausweisen und Mietverträgen, Privatadressen, außerdem ganze Chatverläufe, Rechnungen und Briefe. Sogar private Chats und Sprachnachrichten von Ehepartnern und Kindern sowie Skype-Namen von Kindern der Betroffenen wurden veröffentlicht.
Betroffen ist auch Kanzlerin Angela Merkel (CDU). Aus dem Kanzleramt selbst seien jedoch keine sensiblen Daten infolge des Datenlecks abgeflossen, sagte Fietz. Das gelte auch für den Bereich von Kanzlerin Angela Merkel. Justizministerin Katarina Barley (SPD) wertete die Attacke als »schwerwiegenden Angriff«: »Die Urheber wollen Vertrauen in unsere Demokratie und ihre Institutionen beschädigen.«
Wer für den Angriff verantwortlich ist, war am Freitag noch völlig unklar. Die Bundesregierung wusste auch noch nicht, ob die Daten durch einen Hackerangriff abgefischt wurden. Auf welche Art und Weise die Daten abgeflossen seien, »lässt sich noch nicht mit Sicherheit feststellen«, sagte ein Sprecher des Bundesinnenministeriums. Die Sicherheitsbehörden hätten festgestellt, dass es sich sowohl um »relativ aktuelle als auch um ältere Datenpakete handelt«.
Das Bundeskriminalamt, der Verfassungsschutz und zahlreiche andere Behörden sind mit dem Fall beschäftigt, darunter auch Landesbehörden. Die Koordinierung liegt beim Nationalen Cyber-Abwehrzentrum. Auch der Generalbundesanwalt schaltete sich in die Prüfung ein. Dazu sei in der Behörde in Karlsruhe ein sogenannter Beobachtungsvorgang angelegt worden, sagte eine Sprecherin des Justizministeriums.
Wie die Deutsche Presse-Agentur aus dem Bundestag erfuhr, geht das Bundesamt für Sicherheit in der Informationstechnik (BSI) gegenwärtig davon aus, dass die Daten aus öffentlichen Bereichen des Internets wie Sozialen Medien oder Webauftritten stammen sowie teilweise aus privaten »Clouddaten«.
Auf dem Twitter-Account waren Listen von Betroffenen veröffentlicht worden, die nach Parteimitgliedschaft geordnet waren. Mit Abstand die meisten Einträge gab es auf der CDU-Liste. Die AfD-Fraktion ist die einzige im Bundestag, zu der keine eigene Liste veröffentlicht wurde.
Am Freitag wurde der Twitter-Account gesperrt. Twitter verwies darauf, dass die unerlaubte Veröffentlichung privater Informationen gegen die Regeln des Dienstes verstößt.
Zu den Opfern des Datenklaus gehören neben anderen auch der Schauspieler und Regisseur Til Schweiger, der Bundesbeauftragte für die Ost-Länder Christian Hirte (CDU) und mehrere Fernsehmoderatoren.
Der Fraktionschef der Linken im Bundestag, Dietmar Bartsch, nannte die Veröffentlichung der Daten einen »Anschlag auf die Demokratie«. »Besonders verwerflich« finde er, dass auch Familienangehörige und Kinder betroffen seien, etwa über die Veröffentlichung von Chatverläufen. »Das geht überhaupt nicht.«
Die FDP im Bundestag leitete juristische Schritte ein. Zentrale Systeme seien nach derzeitigem Stand aber nicht betroffen, sagte ein Sprecher der Fraktion am Freitag der Deutschen Presse-Agentur in Berlin.
Aus den Ländern melden mehrere Parteien, Opfer des Datenklaus geworden zu sein. In Niedersachsen traf es neben mehreren Mitgliedern des Kabinetts auch Ministerpräsident Stephan Weil (SPD). Es seien Privatadressen und alte Telefonnummern veröffentlicht worden, teilten Staatskanzlei und die Ministerien mit. »Das ist ärgerlich, aber noch nicht problematisch«, sagte ein Sprecher der Staatskanzlei.
Nach Ansicht des renommierten Karlsruher IT-Sicherheitsexperten Christoph Fischer stammen die Daten nicht aus einer einzigen Quelle. »Da hat jemand offenbar mit viel Fleißarbeit versucht, Mail-Accounts zu öffnen«, sagte Fischer der dpa. Es handele sich um ein Potpourri an Material aus verschiedenen Hacks. Fischer geht davon aus, dass die Betroffenen schlechte Passwörter sowie Webmail-Accounts statt der offiziellen Mailadresse für die Kommunikation genutzt haben.
Der Angriff ist aus Sicht des Chaos Computer Clubs für jeden Computernutzer ein Weckruf. »Die Attacke zeigt, was passiert, wenn sich jemand wirklich dahinterklemmt und versucht, systematisch Unsicherheiten und Schlampigkeit auszunutzen, die wir alle im Alltag mit unseren Geräten und Informationen betreiben«, sagte CCC-Sprecher Frank Rieger am Freitag der Deutschen Presse-Agentur. (dpa)
Gegen Bloßstellung im Netz - So schützt man persönliche Daten
- Absolute Sicherheit gibt es nicht - ein Grundsatz, der auch und vor allem die Daten von Internetnutzern betrifft. Jeder kann jederzeit Opfer eines Hackerangriffs oder eines Datenlecks werden, auf das er selbst keinen Einfluss hat. Auf der anderen Seite kann man viel tun, um die eigene Datensicherheit zu verbessern und das Risiko zu verringern, dass persönliche Daten im Netz auftauchen. Die wichtigsten Tipps im Überblick:
- Datensparsamkeit: Wer allzu freizügig mit seinen Daten umgeht, muss nicht nur damit rechnen, dass sie im Netz an unerwünschter Stelle auftauchen. Ihm droht insbesondere auch Identitätsdiebstahl. Um einer anderen Person die Identität zu stehlen und zu missbrauchen, etwa beim Onlineshopping, bedarf es oft nur weniger Informationen, warnt das Urheberrechtsportal »iRights.info«. Allein Geburtsdatum, Name und Adresse einer Person öffneten Missbrauch häufig bereits Tür und Tor.
Deshalb sollte man nach dem Prinzip der Datensparsamkeit verfahren: Daten, die gar nicht erst an- oder herausgegeben worden sind, können auch nicht gestohlen oder missbraucht werden. Wer etwa trotz allem in sozialen Netzwerken sein korrektes Geburtsdatum angeben möchte, sollte diese Information nicht öffentlich teilen. Wer beispielsweise etwas organisiert, sollte Teilnehmerlisten mit personenbezogenen Daten nie offen ins Netz stellen. Und: Bevor man auf Internetseiten sensible Angaben macht, sollte man prüfen, wie seriös etwa die Plattform, die Organisation oder das Unternehmen ist.
- Datenkontrolle: Um möglichen Missbrauch im Fall der Fälle schnell eindämmen zu können, ist ständige Kontrolle und ein Überblick wichtig: Dazu gehört etwa das regelmäßige Prüfen der Kontoauszüge ebenso wie die regelmäßige Recherche im Internet, welche Informationen über die eigene Person dort auffindbar sind, erklärt »iRights.info«. Am besten befragt man unterschiedliche Suchmaschinen.
- Gute Passwörter: Ein starkes Passwort hat mindestens acht, besser zwölf oder mehr Stellen, rät das BSI. Es besteht aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Namen von Familienmitgliedern, Stars, Geburtsdaten oder simple Wörter sind tabu. Am besten taucht das Passwort nicht im Wörterbuch auf. Ein schwaches Passwort kann auch nicht durch das Anhängen von Zahlen oder Sonderzeichen sicher gemacht werden.
- Passwortsicherheit: Mit einem sicheren Passwort ist es nicht getan. Denn jedes Online-Konto braucht ein eigenes sicheres Passwort. Ansonsten stehen Angreifern sämtliche Konten offen, wenn nur ein Passwort geknackt oder bekannt wird. Passwortmanager helfen dabei, den Überblick zu bewahren und starke Passwörter zu erzeugen. Noch einmal: niemals dasselbe Passwort für mehr als ein Konto benutzen.
- Zweifaktor-Authentifizierung: Ein sicheres Passwort ist gut, ein zweiter Sicherheitscode ist besser. Genau das macht die Zweifaktor-Authentifizierung (2FA), die von immer mehr Anbietern - darunter auch Riesen wie Google, Facebook, Amazon und anderen - bereitgestellt wird. Ist sie aktiviert, wird nach Eingabe des Passworts noch ein zweiter Code abgefragt. Dieser kann per SMS übertragen oder über eine App (Google Authenticator, Microsoft Authenticator, Authy oder Lastpass) oder einen Codegenerator erzeugt werden. Ein dritter Weg sind Sicherheitsschlüssel auf USB-Sticks, die beim Anmelden an den Computer angesteckt sein müssen. Eine Übersicht über Dienste im Netz, die 2FA anbieten, gibt die Website »twofactorauth.org«. Experten raten dazu, wann immer möglich die Zweifaktor-Authentifizierung zu nutzen.
- Onlinespeicher: Cloud-Dienste sind praktisch, bergen aber ein Datendiebstahl-Risiko. Vor allem sensible Daten sollten Nutzer deshalb nicht unverschlüsselt in einem Onlinespeicher ablegen, rät das Bundesamt für Sicherheit in der Informationstechnik (BSI). Zudem empfehle es sich, vor der Nutzung die Datenschutzbestimmungen des Anbieters zu prüfen und auch darauf zu achten, dass die Daten verschlüsselt zum Server übertragen werden.
- Einfallstor E-Mail: HTML-Code und eingebundene Anhänge von Fotos machen E-Mails hübsch anzusehen, können aber auch missbraucht werden. Frank Rieger, Sprecher des Chaos Computer Clubs (CCC), rät dazu, beide Funktionen in den Einstellungen seines Mail-Programms abzuschalten. Mails können dann immer noch als Reintext angezeigt werden, die Privatsphäre bleibt aber geschützt. Vorsicht gilt auch bei Dateianhängen. Sie sollten mit Misstrauen behandelt und nicht leichtfertig geöffnet werden.
- Phishing: Eine vermeintliche Rechnung von Amazon, ein »Problem« mit dem PayPal-Konto, eine »Sperrung« des Facebookzugangs - und das alles per Mail ins Postfach? In den allermeisten Fällen handelt es sich dabei um Betrugsversuche, die nur darauf abzielen, an persönliche Daten wie Benutzernamen, Passwörter oder Bankdaten zu kommen. Empfänger werden dazu auf täuschend echt nachgebaute Internetseiten gelockt, auf denen sie Formulare ausfüllen sollen. Auch die Absenderadressen können gefälscht sein und auf den ersten Blick echt aussehen.
Bei solchen Mails ist Vorsicht angesagt. Das Landeskriminalamt Niedersachsen rät dazu, sich im Zweifelsfall beim Absender zu vergewissern, ob ein Schreiben echt ist. Dafür wählt man aber keine Kontaktmöglichkeit aus dem Schreiben, sondern recherchiert den Kontakt auf anderem Weg. Bei angeblichen Kontosperrungen prüft man erst einmal, ob das Konto wirklich gesperrt ist. Auch hier gilt: nicht auf Links in der verdächtigen E-Mail klicken, sondern beispielsweise die Adresse der Bank von Hand in die Adresszeile eingeben oder per Suchmaschine suchen.
- Updates: Aktualisierungen für das Betriebssystem sowie für alle Programme sollten Anwender immer so schnell wie möglich installieren. Sonst können Angreifer im schlimmsten Fall Sicherheitslücken ausnutzen, um Daten vom Rechner abzugreifen. Für den Grundschutz vor Attacken und schnüffelnden Schadprogrammen sind zudem eine Firewall und ein stets aktuell gehaltener Virenscanner unerlässlich.