Das undichte Gewölbe der Heimatschutzbehörde

Wenn ein Unternehmen, das mit der nationalen Verteidigung beauftragt ist, seinen eigenen digitalen Bereich nicht sichern kann, hat die Öffentlichkeit das Recht zu fragen, was all die öffentlichen Gelder eigentlich bewirken. Eine Hacktivisten-Gruppe, die sich das 'Department of Peace' nennt und in Zusammenarbeit mit der Leak-Verbreitungswebsite DDoSecrets arbeitet, hat kürzlich die persönlichen Daten von über 27.000 Mitarbeitern des Department of Homeland Security online veröffentlicht.

Die kompromittierten Dateien treffen den administrativen Kern der amerikanischen Grenzschutzbehörden. Über 21.000 der offengelegten Datensätze gehören zu Beamten des Zolls und Grenzschutzes, während fast 6.600 Mitarbeiter der Einwanderungs- und Zollbehörde betreffen. Die Panne reichte weit über die Feldagenten hinaus und erfasste Personal von Homeland Security Investigations, dem Federal Protective Service und, mit einer scharfen Ironie, der Cybersecurity and Infrastructure Security Agency selbst.

Anstatt einfacher Personalregister offenbart das Leck die technischen Mechanismen der föderalen Strafverfolgung. Das veröffentlichte Material enthält Dutzende zuvor geheimer Operationsnamen, komplett mit den Namen führender Agenten und Details zu ihren spezialisierten Werkzeugen. Unter den in der Panne identifizierten Anbieterprodukten befinden sich Systeme des Data-Mining-Unternehmens Palantir und des digitalen Forensik-Dienstleisters Cellebrite, die die private Maschinerie offenlegen, die Regierungsmaßnahmen wie Auslieferungen, Überwachung und Abschiebungsprogramme untermauert.

Die Täter stellten ihr Eindringen als gerechte Antwort auf politisches Gehabe dar. Ein Sprecher des Department of Peace zitierte explizit eine Bemerkung vom 17. Juli von Markwayne Mullin, der sich damit gebrüstet hatte, die Maßnahmen zur Durchsetzung zu verschärfen, was darauf hindeutete, dass der Hack eine direkte Gegenreaktion auf ICE war. Währenddessen charakterisierte DDoSecrets-Mitbegründerin Emma Best die Veröffentlichung als Versuch, Anonymität durch Rechenschaftspflicht zu ersetzen, und behauptete, die Daten würden diejenigen hervorheben, die verdeckte Missionen leiten und Regierungslecks jagen. DDoSecrets erlangte zuvor Bekanntheit, nachdem es 2020 die riesige BlueLeaks-Polizeidatenbank veröffentlicht hatte.

Hochtrabende Aktivistenrhetorik über öffentliche Rechenschaftspflicht kann das zugrunde liegende Versagen nicht verschleiern. Der Vorfall offenbart einen ausufernden bürokratischen Apparat, der verschwenderisch für ausgeklügelte kommerzielle Überwachungstechnologie ausgibt, aber dennoch nicht in der Lage ist, die grundlegende Betriebssicherheit für sein eigenes Personal zu gewährleisten.

Verfasst von Thomas Nussbaumer thomas.nussbaumer@alpineweekly.com