Ein Archiv mit den Daten von mehr als 41.000 Beschäftigten und Auftragnehmern des US-Heimatschutzministeriums (DHS) ist am Mittwoch öffentlich geworden. Es enthält Namen, Arbeitsadressen, Telefonnummern, E-Mail-Adressen, Bürostandorte und Beschreibungen der jeweiligen Tätigkeit – darunter Tausende Mitarbeiter der Einwanderungs- und Zollbehörde ICE und der Grenzschutzbehörde CBP, die landesweit Razzien durchführen.
Veröffentlicht wurde die Datenbank mit dem Namen „Icepick“ von einer Gruppe, die sich Department of Peace nennt, gemeinsam mit der Sicherheitsforscherin maia arson crimew, gehostet von der Nichtregierungsorganisation Distributed Denial of Secrets (DDoSecrets). Nach Angaben von DDoSecrets soll das Material nicht jede einzelne DHS-Kraft auflisten, sondern Anonymität durch Rechenschaft ersetzen: Es benennt laut Mitgründerin Emma Best die Verantwortlichen für verdeckte Operationen, für die Jagd auf Leaks und für die gescheiterten BlueLeaks-Ermittlungen sowie Schlüsselpersonal in den Abschiebeprogrammen.
Der wichtigere Teil des Leaks
Neben Personendaten enthält der Datensatz Zuordnungen von DHS-Einheiten zu Überwachungswerkzeugen – darunter die Gesichtserkennungs-App Mobile Fortify und PenLink, eine Software zur Auswertung von Telefon- und Onlinedaten. Diese Zuordnung ist der strategisch heikelste Teil: Sie sagt nicht nur, wer beim DHS arbeitet, sondern welche Gruppen Zugriff auf welche Überwachungsfähigkeiten haben.
Das Ministerium hat in den vergangenen Monaten erheblich damit verbracht, die Identität von CBP- und ICE-Kräften zu verschleiern – viele treten bei Einsätzen maskiert und ohne Namensschild auf, weil sie nach eigenen Angaben Anfeindungen fürchten. Zugleich hat die Behörde Online-Kritiker verfolgt. „Sie haben unsere Informationen, also ist es nur fair, dass wir ihre haben“, sagte eine Person, die als „Department of Peace“ auftritt, laut TechCrunch.
Wie die Daten herausgingen
Die Gruppe erklärt, sie habe die Profile über den Single-Sign-on-Dienst Okta erreicht. Okta wies die Darstellung zurück: Man nehme die Behauptungen zur Kenntnis, aber „Okta ist sicher, und wir haben keine Hinweise darauf, dass unsere Daten oder Systeme kompromittiert wurden“. Wie die Daten dann tatsächlich abflossen, ist damit ungeklärt – ein gekapertes Konto, eine Fehlkonfiguration beim Kunden oder ein kompromittierter Zulieferer würden alle zu derselben Aussage passen.
Der Fall ist der dritte innerhalb weniger Wochen. Im September traf es das FBI; die Gruppe ShinyHunters erbeutete Daten Tausender Mitarbeiter und Bewerber. In den Tagen danach ging die Federal Election Commission nach einem mutmaßlichen Angriff offline. Drei Behörden, drei unterschiedliche Angriffsflächen – und ein Muster, das weniger nach gezielter Kampagne als nach breit gestreuter Suche nach schwachen Identitätsinfrastrukturen aussieht.
Was jetzt zu klären ist
Das DHS äußerte sich zunächst nicht. Offen sind die Fragen, die bei jedem Leak dieser Art zählen: Wie alt sind die Datensätze, wie vollständig sind sie, und sind die Betroffenen informiert? Für die betroffenen Beschäftigten ist das praktisch bedeutsam – Arbeitsadressen und Telefonnummern von Grenzschützern sind in den USA ein reales Sicherheitsrisiko, nicht nur ein Datenschutzvorfall.
Für alle anderen ist die Lehre unangenehmer. Ein Single-Sign-on-System ist ein bequemer Einstiegspunkt, weil es genau das tut, was es soll: Hunderte Anwendungen mit einem Konto verbinden. Wer dort steht, steht überall. Genau deshalb ist die Frage, ob Okta kompromittiert wurde oder ein Kunde, nicht bloß eine PR-Schlacht – sie entscheidet, wie viele der 41.000 Datensätze in den kommenden Wochen noch dazukommen.
