Hacker leaken US-Behördendaten

Hacker haben mal wieder in den USA zugeschlagen und den Datenbestand der Homeland Security-Mitarbeiter veröffentlicht. Weitere Daten sollen folgen. Hier ein paar Infos und zusätzliche Gedanken.

Neue Ware Daten und die Sorglosigkeit der Amis

Es passt so schön zum Safer Internet Day, daher nehme ich es mal in den Blog mit rein. Als US-Amerikaner lebst Du datenschutzmäßig äußerst bescheiden. Täglich kann man einen Hack von irgend einem Unternehmen lesen, wo die kompletten Benutzerdaten, oft auch Kreditkartendaten, abhanden kommen (einfach mal im Blog nach Themen wie Sicherheit suchen lassen). Denn da drüben wird gesammelt, auf Teufel komm raus. Und die Sicherheitsmaßnahmen sind (teilweise) so was von grottig, dass dir schlecht wird.

Lässt sich der Bundestagshack toppen? Ja, von US-Behörden

Die Site CSO Online berichtet in diesem Artikel, dass Hacker wohl die komplette Datenbank (die sprechen von Staff Directory, also dem Mitarbeiterverzeichnis) des Department of Homeland Security (DHS) geleaket haben. Das hat natürlich schon was, denn der Laden ist ja für die innere Sicherheit der USA zuständig – und die Jungs und Mädels treten ja martialisch in der Öffentlichkeit auf.

Sonntag wurde über ein Twitter-Konto der Hack veröffentlicht – es wurden 9.000 Datensätze der DHS geleakt. Mittlerweise geht das Ganze hier auf Twitter auf und ab. Es geht von Mitarbeitern im Ingenieurskorps über Programmanalysten oder IT- und Sicherheitsleuten bis hinauf bis zum Management. Nebst Adresse und Telefonnummer – falls mal jemand eine Frage zu einem Windows-Problem hat, könnte er direkt bei den Spezialisten der dortigen IT anrufen .

Man glaubt es kaum: Laut motherboard.com, die die Veröffentlichung am Sonntag ankündigten (ein Hacker hatten denen das gesteckt) und die DHS telefonisch vorab kontaktierten, um die Quelleninfo zu bestätigen, kristallisierte sich folgendes heraus.

• Die Quellen von motherboard.com waren wohl korrekt, denn Stichproben ergaben, dass die Daten stimmig waren.
• Das Department of Homeland Security hatte bis dahin keinen Schimmer, dass seine Daten "weggefunden worden waren".

Auch der Angriffsweg entbehrt nicht einer gewissen Süffisanz – hier mal die Infos, die ich meine, herausgelesen zu haben.

• Es soll wohl eine Spear Phishing-E-Mail an einen Mitarbeiter gereicht haben, um dessen E-Mail-Konto zu kompromittieren.
• Anschließend wollte sich der Hacker im Webportal der Behörde einloggen, kam aber nicht weiter.
• Also rief er die zuständige IT-Abteilung an und gab sich als neuer Mitarbeiter aus, der Unterstützung beim Einloggen brauche. Es wurde gefragt, ob er einen "Token Code habe" als er das verneinte, gab man ihm einen.
• Dann konnte er wohl im Netzwerk auf einen als virtuelle Maschine laufenden PC zugreifen. Dort war wohl ein Netzwerkzugriff (ich tippe: per RDP) möglich.
• Mittels der E-Mail-Zugangsdaten des gehackten Mail-Accounts erhielt er Zugriff auf weitere drei Computer. Einer war der Rechner der gehackten Person.
• Nach einer Anmeldung an diesem PC erhielt er vollen Zugriff und konnte nicht nur auf Dokumente sondern auch auf das Intranet zugreifen, um so 200 GByte an Daten zuzugreifen (1 Terabyte war vom Zugriff ausgenommen).

Mit bei den kopierten Daten dabei waren dann wohl dann die Mitarbeiterdaten – wenn ich alles richtig interpretiert habe. Nach der Veröffentlichung des Artikels hat ein Twitter-Account einer Pro-Palastina-Organisation gestern die Daten von 9.000 DHS-Angestellten geleakt. Es wurde angekündigt, dass 20.000 Datensätze von FBI-Mitarbeitern und weitere Datensätze von DOJ-Mitarbeitern folgen würden. DOJ ist das Justizministerium (Department of Justice).

Offizielle Stellungnahmen

In der Washington Post wird nun berichtet, dass die DHS und das DOJ die Hacks bestätigt haben. Allerdings wird der Vorgang heruntergespielt – in den Daten seien ja Personen, die längst nicht mehr bei den Behörden arbeiten. Statement eines Sprechers:

"We are looking into the reports of purported disclosure of DHS employee contact information. We take these reports very seriously, however, there is no indication at this time that there is any breach of sensitive or personally identifiable information."

Gibt noch weitere, ähnlich klingende Sprechblasen im WP-Artikel. Der britische Daily Telegraph berichtet, dass ein Hacker Brite und ein Ex Lizard Squad-Mitglied sei.

Meine Gedanken: Lasst die Profis in den USA und in der EU nur machen …

Tja, momentan werden in den USA eine Menge Anrufbeantworter scharf geschaltet – man zeigt, dass man reagieren kann. Und ähnlich wie bei Snowden und Assange, werden die Häscher versuchen, der Hacker habhaft zu werden.

Treibt mich zur Wertung des Ganzen: Momentan bekommen wir ja die Software alle drüben aus den USA – da, wo die Profis sitzen, die Spezies im Datensammeln, die ihren eigenen Laden aber nicht absichern können. Da wird jede beliebige Dumpfbacke angeheuert – bekommt eine Schulung und dann ein Certificate "Specialist of …".

Ok, das ist billiges Bashing, aber ich bin nicht ganz neutral. Ich war mal jung, enthusiastisch und musste zur Bundeswehr. Da durfte ich in einem Pershing-Geschwader an Power Stations als Operator rummachen. Mit dabei auch US-Militärs. Die konntest Du teilweise nicht mal als Kanonenfutter oder zu Klo putzen verwenden. Aber durch ein Zertifikate waren die die dollsten Spezialisten. Ich glaube, da wurde der Grundstein für meinen Sarkasmus gegenüber Entwicklungen aus Amerika gelegt – obwohl: Ich bin neben einem US-Militärflughafen aufgewachsen. Was die "Bären" (so der interne Titel unter uns Jungs – weil breites Kreutz aber nix im Hirn) so manchen Klopper gebracht haben. Gab natürlich auch einige intellektuell hochstehende Amerikaner aus diesem Umfeld, die das Bild aber nicht wett machen konnten.

Ok, es gibt wohl auch drüben die Cracks, die ihren Job beherrschen. Aber eine Kette ist immer nur so stark wie das schwächste Glied. Kommen wir zum Finale: Gibt es noch eine Bevölkerungsgruppe, die bescheidener als die Amerikaner bzgl. Datenschutz dran ist? Imho ja – wir Europäer. Momentan werden wir von der EU-Kommission ja im Rahmen des EU-US-Privacy Shield-Deals an die Spezialisten aus Amiland verkauft. Ich hatte es im Artikel EU und USA einigen sich auf neuen Safe Harbor-Deal "EU-US-Privacy Shield" ja thematisiert – in der Zeit Online gab es einen wunderbaren Kommentar von Patrick Beuth in Form des Artikels Ein Sieb als Schutzschild gefunden. Zitat des Aufreißers:

Privacy Shield heißt die neue EU-Regelung zum Datentransfer in die USA. Sie beruht auf den schriftlichen Zusagen eines Lügners, die NSA-Überwachung einzuschränken.

Einfach lesenswert – es zeigt, wie die EU-Oberen uns momentan verarschen. Bei heise.de hat man das nun ebenfalls gemerkt und gestern den Artikel "Privacy Shield": Safe-Harbor-Nachfolger bedeutet angeblich EU-Kapitulation publiziert. Also, keine Sorge, ihr seid in guten Händen und dank Vorratsdatenspeicherung sind's eure Daten auch.

Ihr könnt mich jetzt als Aluhut-Träger einsortieren. Aber ich bin irgendwie überzeugt, dass es noch ein Stück schlimmer kommen wird. Vor Snowden hätte ich vieles nicht für möglich gehalten. Heute diskutieren wir über das Botnetz "Windows 10" – vor ein paar Jahren undenkbar – und es gibt immer noch Leute, die das alles heiß verteidigen. Aber egal, warten wir es ab – in ein paar Jahren werden wir sehen, wie es gekommen ist. Solange ich hier meine Griffel auf die Tastatur senken kann, dürften mir die Themen zum Bloggen aus dem Bereich Datenschutz und Sicherheit jedenfalls nicht ausgehen. Happy Safer Internet Day …

Ähnliche Artikel
Süffisant: OneDrive, Google Drive und Safer Internet Day
Hausse bei Spam-Mails in 2015 …
EU und USA einigen sich auf neuen Safe Harbor-Deal "EU-US-Privacy Shield"
Die größten Datenlecks /-hacks 2015 in den USA
Warnung vor "Botnetz" Windows 10 …