FBI-Datenleck: Was ShinyHunters behauptet – und was geprüft wurde

Die Hackergruppe ShinyHunters behauptet, nach einem Zugriff auf FBIjobs.gov und weitere Systeme sensible Unterlagen über aktuelle und frühere Beschäftigte des FBI sowie Bewerber gestohlen zu haben. Reuters prüfte Beispiele aus psychiatrischen, medizinischen und personellen Akten und konnte einige Dateien teilweise authentifizieren. Daraus lässt sich aber weder die behauptete Gesamtmenge noch das volle Ausmaß des Zugriffs ableiten. 451

Welche Daten sollen betroffen sein?

ShinyHunters erklärte, Daten zu nahezu allen FBI-Agenten und zu Menschen zu besitzen, die sich beim FBI beworben hätten. Die Gruppe bezifferte ihre Beute auf zwei bis drei Terabyte an Daten mit Bezug zum FBI und zum US-Justizministerium. Diese Angaben stammen von den Hackern und sind keine unabhängig geprüfte Bestandsaufnahme. 41011

Reuters sichtete sensible psychiatrische und medizinische Beurteilungen und konnte einige der Dateien teilweise authentifizieren. Eine separate Tabelle mit rund 5.000 Zeilen enthielt Angaben zu den Aufgaben von Beschäftigten, darunter Arbeit zu chinesischen Spionen, russischen Nachrichtendiensten und Drogenkartellen. Die BBC berichtete außerdem, Beispielunterlagen zu medizinischen Eignungsuntersuchungen gesehen zu haben, darunter Blut- und Urinwerte sowie ärztliche Notizen. 516

Die geprüften Beispiele belegen nicht, dass ShinyHunters tatsächlich zwei bis drei Terabyte besitzt oder Daten zu nahezu allen genannten Personen erbeutet hat. Auch ist damit kein Zugriff auf weitere FBI-Systeme über die gemeldeten Vorgänge rund um das Karriereportal hinaus nachgewiesen. ShinyHunters behauptete, eine Schwachstelle in Oracle PeopleSoft ausgenutzt zu haben; Reuters konnte diese Darstellung zum Zugriffsweg nicht bestätigen. 513

Was sagen FBI und Hackergruppe?

Das FBI erklärte, es untersuche Berichte über unbefugte Aktivitäten im Zusammenhang mit FBIjobs.gov. Später bezeichnete die Behörde ihre Ermittlungen als umfassend beziehungsweise aggressiv. Den vollständigen Bericht der Hackergruppe bestätigte sie nicht. ShinyHunters wiederum erklärte öffentlich, in FBI-Systeme eingedrungen zu sein und sensible Daten von Beschäftigten und Bewerbern zu besitzen. 4511

Warum die Daten ein Sicherheitsrisiko sein könnten

Detaillierte Angaben zu Zuständigkeiten könnten offenlegen, wer an sensiblen Ermittlungen arbeitet. In Verbindung mit persönlichen und medizinischen Informationen könnten solche Daten außerdem dazu genutzt werden, Personen gezielt anzusprechen, unter Druck zu setzen oder sich als sie auszugeben. Das sind mögliche Folgen des beschriebenen Materials – kein Beleg dafür, dass es bereits zu einer solchen Nutzung gekommen ist. 15