Eine Hacktivistengruppe namens „Department of Peace" hat nach eigenen Angaben Daten von mehr als 41.000 Beschäftigten und Auftragnehmern des US-Heimatschutzministeriums erbeutet und publik gemacht – darunter Angaben zu verdeckten Ermittlern, Abhörprogrammen und Überwachungswerkzeugen. Das Ministerium bestätigt einen „potenziellen Datenschutzvorfall" und ermittelt. Der involvierte Identitätsdienstleister Okta weist eine Kompromittierung seiner Systeme zurück.
Die Datenbank heißt „Icepick" und ist durchsuchbar. Am Mittwoch stellte die Transparenzorganisation Distributed Denial of Secrets (DDoSecrets) das Archiv online; nach eigenen Angaben stammt es von einer Hacktivistengruppe, die sich „Department of Peace" nennt 1 6. Enthalten sind Namen, Dienstbezeichnungen, geschäftliche E-Mail-Adressen, Mobilnummern und Büroadressen von mehr als 41.000 aktuellen und früheren Mitarbeitern sowie Auftragnehmern. Ebenso lassen sich Vorgesetzte und die Zugehörigkeit zu internen Berechtigungsgruppen rekonstruieren 2 3.
Nach Angaben der Gruppe wurden die Daten aus einem zentralen Anmeldedienst von Okta entnommen, über den sich Beschäftigte an mehreren DHS-Netzen anmelden. Ein Teil der Datensätze sei zuletzt am 19. August aktualisiert worden, berichtet das Magazin Wired nach Einsicht in die Dateien 3. TechCrunch datiert die tatsächliche Abschöpfung anhand der Zeitstempel auf Mitte August 2. Bis Donnerstagmorgen war die durchsuchbare Website wieder offline 6.
Mehr als ein Fünftel der Belegschaft
Die Verteilung folgt der Größe der einzelnen DHS-Behörden. Mehr als 21.000 Datensätze entfallen auf die Grenzschutzbehörde Customs and Border Protection (CBP), rund 10.000 auf die Einwanderungspolizei ICE und ihre Ermittlungsabteilung Homeland Security Investigations (HSI) 2 3. Hinzu kommen nach der Zählung von Wired etwa 6.200 Beschäftigte der Einwanderungs- und Einbürgerungsbehörde USCIS sowie knapp 1.000 Datensätze der Cybersicherheitsbehörde CISA – dort mehrheitlich Auftragnehmer. Gut 300 Einträge betreffen Führungskräfte der Zentrale, von der Ministeriumsspitze bis zu Referatsleitungen 3.
Wie groß der Anteil an der Gesamtbelegschaft ist, hängt an der Bezugsgröße. Das Ministerium beschäftigt nach offiziellen Angaben rund 220.000 Menschen. TechCrunch und NPR kommen auf etwa ein Fünftel der Belegschaft 2 4, Wired rechnet nach eigener Auswertung mit rund einem Siebtel 3. Die Diskrepanz verweist auf eine offene Frage: Wie viele der erfassten Personen sind noch im Dienst, wie viele längst ausgeschieden? Die Behörde selbst hat sich zur Zahl der Betroffenen bislang nicht geäußert.
Dass die Daten weitgehend authentisch sind, gilt unter Fachjournalisten als belegt. TechCrunch glich mehrere bekannte Namen mit einer Offline-Kopie ab, Nextgov/FCW bestätigte unter anderem eine dienstliche Telefonnummer, die ein Reporter zuvor unabhängig beschafft hatte 2 7. Reuters verglich Angaben von sechs Beschäftigten mit Kreditauskunftei- und Leak-Daten und rief drei von ihnen direkt an; einer erfuhr auf diesem Weg erstmals von dem Vorfall 5.
Wenn Zugangsdaten zum Sicherheitsrisiko werden
Brisant ist weniger die Kontaktliste als die Struktur dahinter. Die Daten zeigen, wer in welchen internen Gruppen organisiert ist – nach Darstellung von Wired über 55.000 solcher Berechtigungsgruppen 3. Für HSI listet das Archiv 39 Beschäftigte in Gruppen mit der Bezeichnung „CUC", die in Gerichtsunterlagen für „certified undercover operation", also eine genehmigte verdeckte Ermittlung, steht. Weitere Gruppen verweisen auf Abhörprogramme („Title III Intercept", „Communications Intercept Center"), auf die Analyseplattform Falcon von Palantir und auf die Telefon- und Social-Media-Auswertungssoftware PenLink. Rund 200 CBP-Konten gehören zu Nutzern der Gesichtserkennungs-App Mobile Fortify, etwa 700 zu einer Gruppe, die auf den Messenger Signal verweist 3.
Auch Alltagssoftware und Werkzeuge der Ermittlungsarbeit tauchen auf: Microsoft 365, Adobe Acrobat, Citrix, Gruppen für ChatGPT, Gemini und Copilot – und auffällig viele Bezüge zu den Abwehrbemühungen gegen die mutmaßlich staatlich gesteuerten Hackergruppen Salt Typhoon und Volt Typhoon 2 3. Ein Datenbestand, der eigentlich der Zugangssteuerung dient, wird so zu einer Karte der Behörde: wer mit wem arbeitet, wer Zugriff auf was hat, wo welche Einheit sitzt.
Für Okta ist das heikel. „Okta ist sicher, und wir haben keine Hinweise darauf, dass unsere Daten oder Systeme kompromittiert wurden", sagte ein Unternehmenssprecher 2 5. Die Gruppe beharrt auf ihrer Darstellung. Ob die Schwachstelle, über die die Daten das Netz verließen, inzwischen geschlossen ist, ist öffentlich nicht geklärt 2.
Die Cyberschutzbehörde sitzt im eigenen Haus
CISA gehört zum Heimatschutzministerium. Jene Behörde also, die normalerweise andere Bundesbehörden bei Angriffen berät und unterstützt, ist selbst betroffen – mit fast 1.000 Datensätzen, überwiegend von Fremdfirmen, die für sie arbeiten 3. Ob CISA die laufende Untersuchung ihres eigenen Hauses unterstützt, ist öffentlich nicht bestätigt; in den Berichten der vergangenen Tage taucht keine Stellungnahme der Behörde auf.
Das Ministerium hat bei der Erkennung von Eindringlingen zuletzt keine gute Figur gemacht. Wie Nextgov/FCW berichtete, hatten DHS-Mitarbeiter in diesem Jahr zweimal Hinweise auf Angreifer im Homeland Security Information Network als Fehlalarm eingestuft, bevor ein Einbruch bestätigt wurde 7. Die Liste der Vorfälle ist lang: 2014 musste das Ministerium rund 390.000 Betroffene informieren, 2018 noch einmal etwa 250.000 6. Im März dieses Jahres reklamierte dieselbe Gruppierung bereits die Veröffentlichung von Vertragsunterlagen des Ministeriums für sich 2 5.
Ein Ministerium ringt um Schadensbegrenzung
Öffentlich hält sich das DHS bedeckt. „Das DHS ist sich eines potenziellen Datenschutzvorfalls bewusst und arbeitet aktiv daran, die Situation zügig und wirksam zu klären", teilte ein Sprecher mit. Man nehme „alle Sicherheitsbedrohungen gegen unsere Beschäftigten und Beamten ernst" und werde die Öffentlichkeit informieren, sobald weitere Erkenntnisse vorliegen 1 3. Intern verwies das Ministerium die Belegschaft laut einem von CNN eingesehenen Memo darauf, Ausmaß und Gefährdungslage zu prüfen und Schutzmaßnahmen zu identifizieren; in einem früheren Schreiben waren bereits Hilfen zum Entfernen persönlicher Daten aus dem Netz empfohlen worden 1.
Das FBI verwies Anfragen an das DHS 3. Eine angekündigte Anhörung im Kongress gibt es bislang nicht. Der frühere stellvertretende DHS-Staatssekretär Thomas Warrick fordert sie: Der Leak enthalte „Informationen, mit denen Hacker die Computer und Geräte von DHS-Beschäftigten angreifen können, die in sensiblen Ermittlungen und Sicherheitsaufgaben stehen" 1.
Wie unterschiedlich die Bewertung ausfällt, zeigt der Blick auf die Motive. Die Gruppe begründet den Angriff politisch: „Am 17. Juli sagte Markwayne Mullin, er drehe die Hitze auf. Das passiert mit ICE, wenn man das tut", zitiert NPR einen Sprecher 4. Mullin, heute Minister, hatte seinerzeit eine Verschärfung der Einwanderungsvollstreckung angekündigt 8. DDoSecrets-Mitgründerin Emma Best nennt die Veröffentlichung ein Werkzeug, das Journalismus, Auskunftsersuchen und parlamentarische Kontrolle ermögliche 3 6.
Die Gegenposition formulierte Sarah Pierce vom Thinktank Third Way, früher selbst im DHS tätig: Der Angriff habe „Tausende gewöhnliche Beamte ins Visier anonymer Internettrolle gerückt"; viele dienten seit Jahrzehnten unter wechselnden Regierungen und hätten diese Politik nicht entworfen 1.
Ein Datenleck mit Signalwirkung
Der DHS-Vorfall ist Teil einer Serie. Im September traf es das FBI: Die Gruppe ShinyHunters reklamierte Daten von annähernd allen FBI-Beschäftigten und ihren Angehörigen, inklusive Angaben zu sensiblen Einheiten mit China- und Russland-Bezug 1 3. Wenige Wochen später wurde bekannt, dass Angreifer monatelang unbemerkt auf ein Dateiaustauschsystem des Verteidigungsministeriums zugriffen und Daten von rund drei Millionen Militärangehörigen und Veteranen erbeuteten 7. Beim FBI wiederum führte ein versäumter Sicherheitspatch bei einem externen Dienstleister zum Einbruch; die Behörde trennte sich von dem Auftragnehmer 7.
Drei Muster wiederholen sich: Angriffe zielen auf Personal- und Identitätsdaten statt auf operative Systeme; der Weg führt über Dienstleister und zentrale Anmeldedienste; und die Entdeckung dauert Wochen bis Monate. „Wenn authentisch und aktuell, ist das eine außerordentlich wertvolle Aufklärungsressource für jeden, der ins DHS eindringen will", sagt Alexander Leslie vom Bedrohungsanalyseunternehmen Recorded Future. Die Daten würden vor allem im Verbund mit früher kompromittierten Informationen wertvoll: „Ein Gegner könnte Monate damit verbringen, diese Beziehungen auszunutzen, um gefährdete Personen zu identifizieren, überzeugende Identitätstäuschungen zu entwickeln oder laufende Ermittlungen zu kompromittieren" 3.
In der Debatte stehen sich zwei Rechtsgüter gegenüber. Der Jurist Adam Steinbaugh von der Bürgerrechtsorganisation FIRE hält die veröffentlichten Angaben für Geschäftskarten-Niveau: „Das ist nichts, was die Regierung unter Strafe stellen kann" 3. Auf der anderen Seite steht das Sicherheitsinteresse einer Behörde, deren Mitarbeiter teils verdeckt arbeiten – und die nach Einschätzung von Sicherheitsfachleuten nun mit gezieltem Phishing und Anrufen bei Angehörigen rechnen muss 1.
Ob das Ministerium nachvollziehen kann, wie die Daten sein Netz verließen, ist offen. Ebenso offen ist, ob der Kongress die Aufklärung an sich zieht – und wer sie führt, wenn die zuständige Cybersicherheitsbehörde zum Betroffenen gehört.
Ähnliche Artikel
