© victor zastolskiy, 123RF

Nach der Aufklärung des Angriffs auf die Daten von Prominenten und Politikern will die deutsche Bundesregierung ähnliche Vorfälle künftig möglichst verhindern. Dazu soll eine bessere Aufklärung der Verbraucher vor den Gefahren im Netz gehören – und ein “IT-Sicherheitskennzeichen”.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll künftig mit einem System zur Früherkennung systematischer Cyberangriffe gravierenden Datenleaks besser vorbeugen. Das sagten Bundesinnenminister Horst Seehofer (CSU) und BSI-Präsident Arne Schönbohm nach dem massenhaften Missbrauch und der Veröffentlichung persönlicher Daten aus Politik und Prominenz Anfang Januar in Berlin.

Bei dem umfangreichen Datenleak waren die Sicherheitsbehörden zwar über Einzelfälle informiert [1], hatten jedoch keinen Zusammenhang zwischen den Hacks erkannt und damit auch die Veröffentlichung der abgegriffenen Daten nicht verhindern können. Ein 20-Jähriger aus der Nähe von Marburg hat die Taten schließlich gestanden.

Minister Seehofer nannte als Aufgabe des Systems unter anderem die “Sperrung eines Twitter-Accounts, der illegal Daten Dritter verbreitet”. Einzelheiten gaben der Innenminister und der Behördenchef jedoch nicht bekannt.

Das BSI sei gerade “in der Phase der Prüfung”, daher wolle er “ungern jetzt hier ins Detail gehen, wie dieses Frühwarnsystem im Detail aussieht”, sagte Schönbohm. Nach Ansicht von Minister Seehofer muss ein solches System in der Lage sein, im Falle mehrerer Hackerangriffe auf unterschiedliche Personen mögliche Zusammenhänge zu erkennen.

Kontohacking als “Massenphänomen”

Er widersprach dabei dem Chef des deutschen Bundeskriminalamts (BKA), Holger Münch, der sagte: “Die Einzelfälle, die vorher bekannt gewesen sind, waren nicht so gravierend, (…) dass daraus abzuleiten gewesen wäre, hier bereitet jemand eine größere Datenverbindung vor.” Für Seehofer sollte dieser Rückschluss künftig besser möglich sein. Münch antwortete daraufhin umgehend: “Wir müssen uns überlegen, wie kann man früher Muster erkennen.” Allerdings sei das Hacking von Konten ein “Massenphänomen”, das vor allem auf schwache Passwörter zurückzuführen sei.

Kaum möglich ist es dagegen laut Schönbohm, eine Veröffentlichung gehackter Daten automatisch im Netz zu erkennen. So hätten die Tweets des Verdächtigen auf Twitter (Abbildung 1) keine Schlüsselwörter enthalten, nach denen sich hätte suchen lassen.

Abbildung 1: Im Dezember 2018 wurden die ausspionierten Daten per Twitter auf dem Account »0rbit« verlinkt.

Entsprechende Suchkriterien gebe es bereits bei der Bundesverwaltung, um Schwachstellen zu identifizieren. “Wir prüfen gerade gemeinsam, wie man das weiter ausbauen und so eben auch eher und schneller erkennen kann, wann dort wo wie was erfolgreich ist”, sagte der BSI-Präsident.

Seehofer, der nach eigenen Angaben “seit den 80er Jahren” im Internet unterwegs ist, erläuterte dies mit Blick auf den Tweet zu den geleakten SPD-Daten mit den Worten: “Wenn er zum Beispiel am 23. Dezember auf SPD geklickt hätte, das hätte ihn nicht weitergebracht, außer Millionen von Antworten.”

Zertifizierung von Geräten

Doch nach Ansicht Seehofers reicht ein solches System allein nicht aus, um ähnliche Angriffe künftig zu verhindern. Zusätzlich solle “eine verstärkte Sensibilisierung der Bevölkerung für die Gefährdung im Netz” für mehr Sicherheit sorgen. Das so genannte IT-Sicherheitsgesetz 2.0 solle noch im ersten Halbjahr 2019 vom Bundeskabinett beschlossen werden. Die Erkenntnisse aus dem aktuellen Vorfall sollten noch in den Gesetzesentwurf einfließen. Laut Seehofer soll der Verbraucherschutz zusätzlich als Aufgabe des BSI gesetzlich festgeschrieben werden.

Ein “ganz wesentlicher Teil des Gesetzes” sei demnach eine Zertifizierung von Geräten. Als Beispiel nannte er Heimrouter, “die dann, wenn sie zertifiziert sind, für die Bevölkerung auch die Information geben: Hier handelt es sich um ein Gerät, das die höchstmögliche Sicherheit gewährleistet”.

Dazu zähle “ein einheitliches IT-Sicherheitskennzeichen, welches erstmals die IT-Sicherheit der Produkte für Bürgerinnen und Bürger sichtbar macht”. Das sei derzeit noch nicht der Fall. Das BSI hatte dazu Mitte November 2018 eine technische Richtlinie [2] zu Heimroutern vorgelegt, die unter anderem der Chaos Computer Club scharf kritisiert hat.

Details zum Stopp des Datenleaks

Schon kurz nach Bekanntwerden des Twitter-Leak hatte das Innenministerium verlauten lassen, das so genannte Cyberabwehrzentrum verbessern zu wollen. Laut Seehofer soll die Cyberabwehr ähnlich der Terrorabwehr aufgestellt werden. Bislang wird das Cyberabwehrzentrum nur bei Bedarf aktiv, künftig könnte es stattdessen permanent besetzt sein.

In Zusammenarbeit mit den Bundesländern gelte es zu überlegen, “wie wir rund um die Uhr eine einsatzfähige Crew haben”, sagte Seehofer. Aber selbst dann könne die Regierung “keine absolute, totale Sicherheit versprechen”. Es gehe in diesem Fall nur um ein höchstmögliches Maß an Sicherheit.

Seehofer und die Behördenchefs erläuterten zudem weitere Details zu dem aktuellen Vorfall. Demnach wurde das BKA damals am späten Donnerstagabend aus dem Büro der SPD-Parteivorsitzenden Andrea Nahles über ein Problem mit geleakten Mobiltelefondaten informiert. In der Nacht seien die Daten bereits gesichtet, schon um 2:12 Uhr am Freitag erste Lösch-Ersuchen gestellt worden, darunter beim URL-Verkürzer Bitly. Bei Twitter sei hingegen erst um 7:35 Uhr angefragt worden, den Account des Verdächtigen zu sperren. Gut anderthalb Stunden später, um 11:03 Uhr, sei die Sperrung erfolgt.

“Ernsthafter Warnschuss”

Laut Schönbohm hatte der 20 Jahre alte Schüler die 8,3 GByte an sichergestellten Daten auf 50 Hostingplattformen verteilt. Viele davon hätten sich kooperativ gezeigt und die Daten bereits gelöscht, jedoch gebe es dazu bei ausländischen Anbietern keine rechtliche Handhabe. Die Daten wären daher vermutlich nicht dauerhaft zu löschen.

Insgesamt seien 994 aktive und ehemalige Politiker betroffen gewesen, indem der Täter etwa private Chatprotokolle von Facebook-Konten öffentlich gemacht habe. Von 160 Personen seien auch Dokumente veröffentlicht worden.

Schönbohm zufolge war das Datenleck im Vergleich zu anderen Hacks “ein relativ kleiner Vorfall”. Dennoch sprach Seehofer von einem “ernsthaften Warnschuss”, der die Politik veranlassen sollte, genauer hinzuschauen, wo die Sicherheit erhöht werden könne.

Nach Ansicht von Münch sind so genannte Kinderzimmertäter kein neues Phänomen. Ähnliche Täter seien bereits aus dem Darknet bekannt, wo jemand aus dem Kinderzimmer heraus Drogen verkauft habe. “Wir müssen einfach auch sehen, dass wir hier eine Generation haben, die heranwächst, die anders mit Technik umgeht”, sagte Münch: “Wenn jemand vereinsamt in seinem Kinderzimmer vor dem Schirm sitzt, heißt das nicht immer, dass er nur spielt.”

Zwei-Faktor-Muffel

Im Zuge der Nachbearbeitung des Vorfalls kam auch ans Licht: Nur die wenigsten Bundestagsabgeordneten sichern ihren Facebook-Zugang mit einem zusätzlichen Sicherheitsfaktor ab. Das sagte nach Angaben der Abgeordneten Anke Domscheit-Berg (parteilos) ein Facebook-Vertreter in einer Sitzung des Ausschusses Digitale Agenda Mitte Januar in Berlin. Obwohl das Unternehmen bereits vor der Bundestagswahl 2017 allen Kandidatinnen und Kandidaten persönlich eine Zwei-Faktor-Authentifizierung empfohlen habe, hätten dann nur 2,1 Prozent davon Gebrauch gemacht. “Das ist erschütternd wenig”, kommentierte Domscheit-Berg.

Dass die Abgeordneten trotz entsprechender Warnungen und Empfehlungen keine Zwei-Faktor-Authentifizierung (2FA) nutzen, dürfte neben der Bequemlichkeit vor allem auch praktische Gründe haben. Da die Zugänge zu den sozialen Medien wie Facebook oder Twitter in der Regel von mehreren Mitarbeitern der Büros genutzt werden, ist das Login mit einem zweiten Faktor wie einem SMS-Code meist unpraktikabel.