Vor kurzem gingen einige Nachrichten durch die Medien, dass innerhalb der Berliner Piratenpartie etliche Mitglieder erpresst wurden. Als Täter wurde ein Jugendlicher ausgemacht, der auch vielen innerhalb der Drupal-Community bekannt sein dürfte.
Ich bekam eine Mail weitergeleitet, da wir vor einem Jahr selbst auch unangenehme Erfahrungen mit dieser Person gemacht haben. Diese Mail enthielt einen Link zu einem Blog, in dem jemand die Anschuldigungen gegen die Person in anonymisierter Form aufgezählt hat. Glaubt man dem Bericht, hat sich diese Person auf unerlaubte Weise Zugriff auf vertrauliche Daten diverser Personen und Firmen verschafft um diese mit kompromittierenden Informationen zu erpressen.
Laut dem Autor des Blogposts herrscht in Berlin eine Atmosphäre der Panik. Viele haben schlichtweg Angst, dass Daten über sie veröffentlicht würden. Mit seinem Beitrag wollte der Autor des Blogposts erreichen, dass sich die Opfer nicht länger als Einzelfall wahrnehmen und sich gemeinsam gegen die Person zur Wehr setzen.
Zynischerweise hat diese Person die Pseudo-Maßeinheit des "Kompromats" eingeführt: ein Kunstbegriff, der das Drohpotential bzw. den potentiellen Schaden für die betreffenden Personen beschreiben soll.
Anstiftung zu einer Straftat auf dem Chaos Computer Club Ende 2010
Auf dem Chaos Communication Congress 27C3 des CCC Ende 2010 in Berlin hat ein Mitarbeiter von comm-press eine ähnlich unschöne Erfahrung mit der Person gemacht. Der Mitarbeiter kannte die Person aus der Drupal Community und ließ sich von ihr dazu überreden, eine Software aus dem Netz auf sein comm-press Firmen-Notebook herunterzuladen und dort auszuführen. Mit der Software ließ sich das Netzwerk des CCC angreifen. Dabei wusste der Mitarbeiter nicht, was diese Malware bewirkt und hat sich leichtgläubig zu dieser Unsinns-Aktion beschwatzen lassen.
Die verantwortlichen Admins haben diesen Angriff recht schnell bemerkt und die beiden zur Rechenschaft gezogen. Die Person war dem CCC bereits von vorherigen Aktionen einschlägig bekannt.
Da wir uns nicht sicher sein konnten, was die Software noch so alles bewirkt, haben wir die Notebook-Konfiguration komplett gelöscht und wieder neu aufgesetzt. Darüber hinaus haben wir uns anwaltlich beraten lassen, inwieweit wir die Person strafrechtlich belangen können. Da es sich "nur" um die Anstiftung zu einer Straftat gehandelt hat, die wir nicht mit Hilfe von Zeugen belegen konnten, haben wir von einer weiteren strafrechtlichen Verfolgung Abstand genommen. Unsere Mitarbeiter haben wir über ihre Verantwortung in Kenntnis gesetzt, und lassen uns seither von jedem eine Vereinbarung unterschreiben, wie mit Firmen-Geräten zu verfahren ist, die auch privat in der Freizeit genutzt werden dürfen.
Zu der Person habe ich meine sozialen Netzwerk-Beziehungen gekappt. Sie hat mich auf einem Drupal-Event einige Monate später darauf angesprochen da ihr dies offenbar nicht entgangen ist. Als spontane Antwort auf mögliche strafrechtliche Folgen hat sie mir nur geantwortet, ich könne ihr nichts, da sie durch ihren Vater als Diplomatenangehörige strafrechtliche Immunität genießt. Von Einsicht oder Verantwortung über das eigene Verhalten habe ich nichts feststellen können.
Medialer Verriss der Piratenpartei statt einer Auseinandersetzung mit dem Problem
Nach Erscheinen des Blogposts habe ich mich mit unseren Erlebnissen an den Autor gewandt und anschließend auch noch mit einer Redakteurin des Focus aus München telefoniert. Obwohl der Vorgang es bis auf die Homepages von Spiegel Online und Focus geschafft hat, scheint dies eher dem Umstand geschuldet zu sein, dass ein solcher Erpressungsskandal in einer jungen Partei, die sich Transparenz auf die Fahnen schreibt, ein gefundenes Fressen für die Presse darstellt. Eine Auseinandersetzung darüber, wie eine Community mit solch destruktiven Impulsen umgehen kann, fand meines Erachtens nicht statt.
Mit dem Autor des Blogposts stehen wir seither in Kontakt und haben ihm die Hälfte seiner Prozesskosten gesponsert.
Unser junger "Freund", von dem wir wissen, dass er aus vermögendem Hause stammt, hat inzwischen einen Medien-Staranwalt mit dem Schutz seiner Interessen beauftragt. Frei nach dem Motto "Angriff ist die beste Verteidigung" schützt der Anwalt die Person, indem er aus vollen Rohren um sich schießt. Der Autor des Blogposts musste einen "Maulkorb" unterschreiben, da sich die betroffene Person aus den Informationen aus dem Blogpost mit etwas Google-Kombinatorik ermitteln lässt. Das Prozesskostenrisiko einer strafrechtlichen Auseinandersetzung liegt für ihn im mittleren fünfstelligen Bereich.
So weit ich informiert bin, beabsichtigen die meisten Betroffenen aus Furcht nicht weiter gegen die Person strafrechtlich vorzugehen. Das finanzielle Risiko sich mit jemandem anzulegen, für den Geld keine Rolle spielt, ist für die meisten enorm hoch.
Wie kann sich die Community schützen?
In der Drupal Community ist die Person hinreichend gut bekannt. Auf einem Drupal-Camp haben mir mehrere Teilnehmer berichtet, die durch andere gewarnt wurden: "Geh sofort aus dem WLAN, xy ist hier..."
Wir haben der Person für unsere Geschäftsräume Hausverbot erteilt und werden auf jedem von uns organisierten Camp von unserem Hausrecht Gebrauch machen und die Person nicht zulassen.
Aufgrund der Unschuldsvermutung muss man der Person immerhin zu Gute halten, dass sie bislang nicht rechtskräftig verurteilt ist. Andererseits ist die schiere Masse an Anschuldigungen gegen die Person dermaßen erdrückend, dass die Gemeinschaft meines Erachtens ein Recht hat, sich davor zu schützen. In diesem Jahr wird in München die DrupalCon statt finden. Mit Ihren Hacking-Ambitionen kann die Person sowohl Einzelpersonen wie auch der Drupal-Community im Ganzen erheblichen Schaden zufügen.
Über die Motive der Person und eine mögliche Koexistenz einer zugegebenerweise hoch ausgeprägten technischen Affinität bei gleichzeitiger infantiler Neigung, sich durch solche Dateneinbrüche Aufmerksamkeit "der Großen" zu verschaffen oder Machtphantasien auszuleben, kann man sich lange Gedanken machen. Die Verteidigung, die Angriffe seien nur möglich gewesen, weil die Zugänge so schlecht geschützt seien, halte ich für unzutreffend. Sicherlich gibt es in vielen Bereichen Nachholbedarf was Sicherheitstechnik angeht. Andererseits übersieht dieses Argument, dass es schlicht und ergreifend strafrechtlich relevant ist in fremde Netze einzubrechen.
Mit diesem Beitrag möchte ich eine Diskussion in Gang bringen, wie damit verfahren werden kann. Mein Wunsch wäre, die Person beispielsweise durch die Drupal Initiative für die Dauer von drei Jahren von sämtlichen Drupal Veranstaltungen auszuschließen.
Um den Staranwalt nicht noch reicher zu machen, habe ich auf Links verzichtet und möchte bei etwaigen Kommentaren darum bitten, keine Namen zu nennen und auch keine Informationen anzugeben, über die sich die Person mittelmäßig leicht identifizieren ließe. Wir behalten uns vor, etwaige Kommentare gegebenenfalls zu ändern oder zu löschen.
