Ein geleakter Auszug aus dem Okta-Anmeldesystem des US-Heimatschutzministeriums (DHS) liegt seit Mittwoch öffentlich vor und beschreibt mehr als 41.000 Beschäftigte und Auftragnehmer – darunter verdeckte Ermittler, Vollzugsbeamte und Mitglieder von Berechtigungsgruppen, deren Namen auf Abhör- und Überwachungsprogramme verweisen. Die Nichtregierungsorganisation Distributed Denial of Secrets (DDoSecrets) und die Sicherheitsforscherin und Journalistin maia arson crimew stellten das Archiv unter dem Namen „Icepick“ vor und veröffentlichten es; crimew hat eine durchsuchbare Oberfläche dafür gebaut.
Die Datensätze umfassen E-Mail-Adressen, Telefonnummern, Büroadressen und Standorte von Dienststellen und reichen nach Angaben von WIRED über das Ministerium selbst und sieben nachgeordnete Behörden. Sie tragen Zeitstempel bis zum 19. August 2026. Ein Akteur, der sich „Department of Peace“ nennt, will sie aus dem Okta-System bezogen haben, über das Beschäftigte und Auftragnehmer sich in das zentrale Netz einloggen. Der beigefügten Notiz zufolge lautet die Begründung: „Sie haben unsere Informationen, also ist es nur fair, dass wir ihre haben.“
Okta bestreitet eine Kompromittierung. „Uns ist dieser Bericht bekannt. Okta ist sicher, und wir haben keine Hinweise darauf, dass unsere Daten oder Systeme kompromittiert wurden“, sagte ein Sprecher. Wie die Daten das Identitätssystem verlassen konnten, ist damit ungeklärt – möglich sind eine missbrauchte Integration, ein übernommenes Konto mit lesenden Rechten oder ein Abfluss aus einer nachgelagerten Anwendung, die auf Okta aufsetzt.
Die Verteilung ist ein Lagebild der Behörde. Nach der Auswertung von WIRED entfallen mehr als die Hälfte der Datensätze auf die Grenzschutz- und Zollbehörde CBP, rund 10.000 auf die Einwanderungs- und Zollbehörde ICE – etwa ein Drittel davon bei der Ermittlungsabteilung Homeland Security Investigations (HSI) –, rund 6.200 auf die Einwanderungsbehörde USCIS und knapp 1.000 auf die Cyber-Sicherheitsbehörde CISA, zur Hälfte Auftragnehmer. TechCrunch beziffert die Zahl der CBP-Datensätze auf rund 21.000. Zusammen entspricht das etwa einem Fünftel der rund 220.000 Beschäftigten.
Brisant sind weniger die Visitenkartendaten als die Gruppenzugehörigkeiten. HSI führt 39 Beschäftigte in über einem Dutzend Außenstellen in Gruppen mit der Kennung „CUC“, die laut Gerichtsakten für „certified undercover operation“ steht. Eine Gruppe aus dem Raum St. Paul, Minnesota, verweist auf „Keyhole“ – laut Bundesgerichtsunterlagen eine zertifizierte verdeckte Operation, die in diesem Jahr die verdeckte Überwachung von Protestgruppen in Minneapolis finanzierte. Weitere Gruppen nennen ein „Communications Intercept Center TechOps (CICTO) Program“, ein „Title III Intercept Program“ für Telefonüberwachung und ein „Illicit Sensor Intercept Program (ISIP)“. Insgesamt listet das Archiv mehr als 55.000 solcher Berechtigungsgruppen.
Die Namen verraten auch die Werkzeuge. Genannt werden Palantirs Ermittlungsplattform Falcon und PenLink, das Telefon- und Social-Media-Daten auswertet. Mehr als 700 Konten hängen an einer Gruppe, die offenbar Signal referenziert und fast ausschließlich CBP-Personal umfasst. Rund 200 CBP-Konten gehören zu einer Gruppe für Mobile Fortify, die Gesichtserkennungs-App, mit der Beamte Personen identifizieren; darunter Feldaufsichten, Spezialkräfte sowie taktische und nachrichtendienstliche Kräfte, etwa die Hälfte in Texas, Kalifornien und Arizona. Zwei Gruppen mit den Namen „Executive Leadership“ und „AI Access“ enthalten dieselben 13 Personen mit Ausnahmerechten für den Webfilter der Behörde, darunter die frühere Ministerin Kristi Noem, der zu Anduril zurückgekehrte Ex-CIO Antoine McCord, Philip Hegseth als Seniorberater des Ministers und der politische Berater Jayce Krachenfels. Weitere Gruppen verweisen auf ChatGPT, Google Gemini, Microsoft Copilot und Grok.com.
Die Daten zeigen auch das Tempo der Behördenexpansion: Rund 1.300 Konten der ICE-Vollzugsabteilung wurden seit dem 4. Juli 2025 angelegt, dem Tag, an dem Präsident Trump mit dem „One Big Beautiful Bill Act“ die Einstellung von 10.000 zusätzlichen Enforcement-and-Removal-Beauftragten finanzierte.
Sicherheitsfachleute sind alarmiert. „Wenn authentisch und aktuell, ist dies eine außerordentlich wertvolle nachrichtendienstliche Ressource für jene, die das DHS durchdringen wollen“, sagte Alexander Leslie von Recorded Future. Korreliert mit früheren Leaks, kommerziellen Daten und anderen Sammlungen lasse sich daraus monatelang Nutzen ziehen – für glaubwürdige Identitätsdiebstähle oder die Kompromittierung laufender Ermittlungen.
Der Kontext ist eine Serie. Im Frühjahr hatten Angreifer der Gruppe ShinyHunters nach eigenen Angaben Daten nahezu aller FBI-Beschäftigten und ihrer Familien entwendet; mehrere Verdächtige wurden festgenommen. Es ist zudem der zweite Vorfall beim DHS in diesem Jahr – derselbe Akteur will bereits Tausende Verträge mit Verteidigungs- und Überwachungsfirmen erbeutet haben. Das Ministerium und das Justizministerium äußerten sich zunächst nicht.
Politisch heikel ist die Veröffentlichung, weil das DHS zuletzt aggressiv gegen seine Kritiker vorging: Es versuchte, anonyme Nutzer zu enttarnen und Kundendaten über Demonstranten zu erlangen, und weitete den Begriff „Doxing“ auf Namen und Titel öffentlicher Bediensteter aus. Der Bürgerrechtsanwalt Adam Steinbaugh von der Organisation FIRE hält das für unhaltbar: „Das sind Informationen, die auf einer Visitenkarte stehen. Das kann die Regierung nicht kriminalisieren.“ Die Urheber sehen im Archiv denn auch kein Doxing, sondern ein Rechenschaftswerkzeug.
