Parlamentarische Initiativen von Anke Domscheit-Berg, Petra Sitte, Birke Bull-Bischoff, Doris Achelwilm, Katrin Werner, Norbert Müller, Nicole Gohlke, Petra Pau, Simone Barrientos, Ulla Jelpke, 21. August 2019
21.08.19 – Kleine Anfrage – Drucksache Nr. 19/12456
Anfang Januar wurde bekannt, dass die Daten von knapp 1000 Prominenten, darunter viele Politiker*innen, im Netz veröffentlich worden waren. Kurz darauf kündigte BMI Seehofer als Reaktion das IT-Sicherheitsgesetz 2.0 mit konkreten Maßnahmen an. Wir wollen wissen, was über das Vorgehen der Täter*innen inzwischen bekannt ist, ob weitere Fälle bekannt sind und wie die Bundesregierung Betroffene schützt oder in Zukunft schützen will.
Inhalt
Vorbemerkung der Fragesteller:
Vom 1. bis zum 28. Dezember 2018 wurden über die Platform Twiter persönliche Daten von knapp 1.000 Politiker*innen und weiteren Prominenten veröfentlicht. Dieses Vorgehen wurde als ,Adventskalender‘ bekannt, da jeden Tag neue Informationen veröfentlicht wurden (https:/www.heise.de/newsticker/meldung/Politiker-und- Promi-Hack-Ehemaliges-Twitter-Konto-eines-YouTubers-missbraucht-4265608.html). Die Daten wurden darüber hinaus auf zahlreichen Spiegelservern abgelegt, was die Löschung erheblich erschwerte (https://twitter.com/thegrugq/status/1081191019993915392).
Durch einen Tweet des selbst betrofenen YouTubers Unge und einen Bericht des Senders RBB am 4. Januar 2019 wurden die auch als ,Doxing‘ bezeichneten Veröffentlichungen von persönlichen Daten einer breiten Öffentlichkeit bekannt. Zwei Tage später wurde ein Verdächtiger ermittelt und festgenommen.
In vielen Fälen waren öfentlich bereits verfügbare Informationen wie Büro-Adressen, Telefonnummern oder Mailadressen zusammengetragen worden, in anderen wurden aber auch tatsächlich private Informationen wie Wohnadressen, Fotos oder Inhalte von Chats veröfentlicht.
Bereits vor Dezember 2018, nämlich mindestens seit dem Juli 2017, wurden über den Twiter-Account des Täters persönliche Daten veröfentlicht, u. a. die des Satirikers Jan Böhmermann (https://www.donaukurier.de/nachrichten/topnews/inland/art388865,4037598).
Der Bundesregierung und den Sicherheitsbehörden waren die Doxingfäle nach eigener Aussage vor Januar 2019 nicht bekannt.
Vorbemerkung der Bundesregierung:
Dem Ermitlungsverfahren der Generalstaatsanwaltschaft Frankfurt a. M., Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT), Az. 60 Js 17/19, gegen den Beschuldigten wegen des Verdachts des Ausspähens von Daten, Verstoßes gegen das Bundesdatenschutzgesetz und andere Delikte, liegt die im Rahmen eines sogenannten „Adventskalenders“ im Dezember 2018 erfolgte Veröffentlichung persönlicher Daten von Personen des öffentlichen Lebens (Prominente, Politikerinnen und Politiker) zugrunde. Das Ermittlungsverfahren ist noch nicht beendet.
Trotz der grundsätzlichen verfassungsrechtlichen Pflicht der Bundesregierung, Informationsansprüche des Deutschen Bundestages zu erfüllen, tritt hier nach konkreter Abwägung der betroffenen Belange das Informationsinteresse des Parlaments hinter den berechtigten Geheimhaltungsinteressen zurück. Das Interesse der Allgemeinheit an der Gewährleistung einer funktionstüchtigen Strafrechtspflege leitet sich aus dem Rechtsstaatsprinzip ab und hat damit ebenfalls Verfassungsrang. Die gewünschte Auskunft würde weitergehende Ermittlungsmaßnahmen erschweren oder gar vereiteln, weshalb aus dem Prinzip der Rechtsstaatlichkeit folgt, dass vorliegend das betroffene Interesse der Allgemeinheit an der Gewährleistung einer funktionstüchtigen Strafrechtspflege und Strafverfolgung (vgl. dazu BVerfGE 51, 324 (343 f.) Vorang vor dem Informationsinteresse hat.
Im Übrigen wird auf die gemeinsame Pressekonferenz von ZIT und BKA vom 8. Januar 2019 verwiesen.
1.
Wie viele Personen waren nach Kenntnis der Bundesregierung insgesamt von diesen Doxing-Fällen betroffen?
2.
Wie viele Personen waren direkt und wie viele waren mittelbar betroffen?
3.
Fanden im Rahmen der Ermittlungen nach Kenntnis der Bundesregierung Durchsuchungen statt? (Bitte unter Nennung von Daten, beteiligter Behörden und ggf. sichergestellten Asservaten beantworten.)
4.
Wurden nach Kenntnis der Bundesregierung im Rahmen der Ermittlungen nachrichtendienstliche Mittel angewandt und wenn ja, welche, in welchem Zeitraum und von welchen Behörden? (Bite jeweils detailiert ausführen.)
5.
Verfügt die Bundesregierung über Erkenntnisse über politische Neigungen oder politische Motive des Täters oder der Täter*innen? (Bite jeweils detailiert ausführen.)
6.
Wie ist der Täter oder sind die Täter*innen nach Kenntnis der Bundesregierung vorgegangen, um die dann veröffentlichten Daten zu erhalten? (Bitte Methoden und Häufigkeit je einzeln aufschlüsseln.)
7.
Sind dabei nach Kenntnis der Bundesregierung Methoden des Social Engineering angewandt worden und wenn ja, welche und wie häufig? (Bitte einzeln aufschlüsseln.)
8.
In wie viele Accounts von wie vielen Personen wurde nach Kenntnis der Bundesregierung von den Täter*innen eingebrochen, also in wie vielen Fällen wurden Accounts tatsächlich gehackt?
9.
Wie viele Ermittlungsverfahren gegen wie viele Personen wurden nach Kenntnis der Bundesregierung in der Folge eingeleitet? (Bite nach Straftatbeständen und ermittelnder Behörde aufschlüsseln.)
10.
Wurde das Bundesamt für Verfassungsschutz zu irgendeinem Zeitpunkt in die Ermittlungen einbezogen oder spielte sonst irgendeine Role in der Bewertung oder Ermittlung? Wenn ja, welche?
Zu 1 bis 10:
Die Fragen 1 bis 10 werden gemeinsam beantwortet.
Es wird auf die Vorbemerkung der Bundesregierung verwiesen.
11.
Welche weiteren Fälle von Doxing sind der Bundesregierung bekannt?
a) Wie viele Fälle von Politiker*innen oder anderen in der Öffentlichkeit stehenden Personen sind darunter?
b) Wie viele Fälle sind der Bundesregierung bekannt, in denen Gruppen von Menschen oder sonst jeweils größere Zahlen von Menschen betroffen waren?
Zu 11:
Die Bundesregierung hält keine Daten vor, die eine Beantwortung im Sinne der Fragestellung ermöglichen.
12.
Ist der Bundesregierung der Fall von 200 Namen und Adressen bekannt, die Anfang Januar 2019 bei Indymedia veröfentlicht wurden, darunter Journalisten, Politiker und Künstler und hat es hierzu nach Kenntnis der Bundesregierung insbesondere strafrechtliche Ermitlungen gegeben, wenn ja, mit welchem Ergebnis? (https:/www.neues-deutschland.delartike1/1109331.indymedia-rechte-drohliste-auf- linkes-portal-geschmuggelt.html)
Zu 12:
Der Bundesregierung ist die im Januar 2019 bei Indymedia unter dem Begriff „#WirKriegenEuchAllee“ (Fehler im Original) veröffentlichte Datensammlung bekannt. Inzwischen sind die Beiträge nicht mehr abrufbar.
Das BKA führt diesbezüglich keine Ermitlungen. Über Ermitlungen der Länder liegen der Bundesregierung keine Informationen vor.
13.
Welche konkreten Maßnahmen zum Schutz von betrofenen Politiker*innen, Prominenten und anderen Nutzer*innen hat die Bundesregierung seit dem Bekanntwerden der Vorfälle im Januar ergriffen?
Zu 13:
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist für die Abwehr von Gefahren für die Sicherheit der Informationstechnik des Bundes zuständig (§ 3 Absatz 1 Satz 2 Nummer 1 des BSI-Gesetzes – BSIG). Im genannten „Doxing“-Vorfall waren Informationstechnik und Daten außerhalb der Regierungsnetze betroffen.
Das BSI kann in solchen Fällen Anwender in Fragen der Sicherheit in der Informationstechnik unter Berücksichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvorkehrungen beraten (§ 3 Absatz 1 Satz 2 Nummer 14 BSIG).
Entsprechende Beratungen hat das BSI mit großem personellen Einsatz durchgeführt.
Über das Informations- und Beratungsangebot BSI für Bürger“ (www.bsi-fuer-buerger.de), das als Zielgruppe Privatanwenderinnen und -anwender hat, richtete das BSI nach dem „Doxing“-Vorfall ein Angebot zur Kontaktaufnahme an alle Betroffenen des Vorfalls, sodass die Inanspruchnahme einer Beratung durch das BSI für alle betroffenen Personen möglich war. Zudem wurden auf dieser Webseite Handlungsempfehlungen für Betroffene veröffentlicht, die unter anderem eine Anleitung zum Vorgehen beim Zurücksetzen von Passwörtern und Hinweise zu weiteren Maßnahmen zum Schutz persönlicher Daten enthielten (htps:/www.bsi-fuer-buer- ger.de/BSIFB/DE/Risiken/ID-Diebstahl/Hilfe/Hilfe Betrofene node.html). In den folgenden Wochen und Monaten nach Bekanntwerden des „Doxing“-Vorfalls wurden weitere Sensibilisierungsmaßnahmen für Bürgerinnen und Bürger ergriffen, wie z. B. der Versand eines themenbezogenen Sonder-Newsletetrs, Sensibilisierungsmaßnahmen in sozialen Medien (u. a. Bereitstellung von Videos, Grafiken und Hinweise zu den Themen „Passwort“ und „Zwei-Faktor-Authentisierung“) und eine Beilage in einer überregionalen Zeitung. Weitere Sensibilisierungsmaßnahmen sind geplant. So wird das BSI z.B. den europäischen Aktionsmonat zur Cyber-Sicherheit (European Cyber Security Month – ECSM) im Oktober 2019 zur Bürgersensibilisierung nutzen.
Im Mittelpunkt wird dabei das Thema „Hilfe zur Selbsthilfe“ stehen, wobei sich die vorgestellten Maßnahmen unter anderem auf das Thema „Doxing“ beziehen werden. Für betrofene Mitglieder des Deutschen Bundestages fanden unter anderem Einzelberatungen vor Ort gemeinsam mit BSI und BKA statt. Auch für diese Zielgruppe hat das BSI Handlungsempfehlungen erarbeitet und zur Verfügung gestellt. Seit Anfang Mai 2019 versendet das BSI auch Warnmeldungen an die Fraktionen des Deutschen Bundestags.
Um die Situation Betroffener besser nachvollziehen zu können und möglichen weiteren Handlungsbedarf zu eruieren, fanden losgelöst vom konkreten Vorfall im Dezember 2018 im Bundesministerium der Justiz und für Verbraucherschutz Gespräche mit Personen statt, die Opfer von „Doxing“ wurden oder über Erfahrungen mit „Doxing-Fällen“ berichten können.
Maßnahmen der allgemeinen Gefahrenabwehr zum Schutz von Politikerinnen und Politikern, Prominenten und anderen Nutzerinnen und Nutzern fallen nach der Kompetenzordnung des Grundgesetzes grundsätzlich in die Zuständigkeit der Bundesländer und richten sich nach den jeweiligen Polizeigesetzen.
Durch die Abteilung Sicherungsgruppe des BKA wurden alle von der Adventskalender-Veröffentlichung betroffenen „§ 6-BKAG-Personen“ (Mitglieder der Verfassungsorgane des Bundes) über die Tatsache der Nennung ihrer Namen und den Umfang der zu ihrer Person veröffentlichten Daten in Kenntnis gesetzt. Darüber hinaus erfolgten eine individuelle Gefährdungsanalyse sowie das Angebot eines Sicherheitsgespräches (insbesondere in Bezug auf Gefahren in Zusammenhang mit der Nutzung informationstechnischer Systeme) an diesen Personenkreis.
14.
In welcher Weise beschäftigt sich das BSI mit dem Thema „Doxing“ und wurden seit den Vorfällen im Januar neue oder ergänzende Maßnahmen festgelegt oder geplant, gegebenenfalls welche? (Bite jeweils detailiert ausführen.)
Zu 14:
Das BSI beschäftigt sich mit dem Thema Doxing im Rahmen seiner Zuständigkeit für Beratungen und Warnungen in Fragen der Sicherheit in der Informationstechnik unter Berücksichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvorkehrungen. In diesem Zusammenhang werden fortlaufend umfangreiche Handlungsempfehlungen und Informationen für Anwenderinnen und Anwender u. a. zur sicheren Nutzung von Social-Media- und E-Mail-Accounts erarbeitet und der Öffentlichkeit zur Verfügung gestellt.
Zudem wird von BSI und BMI gemeinsam eine nationale Informations- und Sensibilisierungskampagne geplant und beginnend ab 2020 umgesetzt.
Im Übrigen wird auf die Antwort zu Frage 13 verwiesen.
15:
Fokussieren sich die genannten Maßnahmen zum „Doxing“ auf im weitesten Sinne Personen des öffentlichen Lebens, und wie wird der Schutz weniger prominenter Nutzer*innen dabei berücksichtigt?
Zu 15:
Die Maßnahmen des BSI im Zusammenhang mit dem Phänomen Doxing richten sich grundsätzlich an alle Betroffenen. Das Informations- und Beratungsangebot „BSI für Bürger“ hat dabei insbesondere Privatanwenderinnen und -anwender als Zielgruppe definiert.
16:
Definiert die Bundesregierung Doxing als Cybercrime bzw. unter welchen Umständen definiert sie Doxing als Cybercrime?
Zu 16:
Nach der auch vom Bundeskriminalamt verwendeten Definition handelt es sich bei Cybercrime um Straftaten, die sich gegen das Internet, Datennetze, informationstechnische Systeme oder deren Daten richten (Cybercrime im engeren Sinne) oder die mittels dieser Informationstechnik begangen werden.
Unter Cybercrime im engeren Sinne fällt „Doxing“, wenn die unberechtigt öffentlich zugänglich gemachten Daten durch Taten erlangt werden, welche sich gegen das Internet, Datennetze, informationstechnische Systeme oder deren Daten richten, wie beispielsweise durch das Ausspähen von Daten nach §202a des Strafgesetzbuchs (StGB), durch Datenhehlerei (§ 202d StGB), durch Datenveränderung (§ 303a StGB) oder durch Computersabotage (§ 303b StGB).
