Hacker Angriff auf die Telekom

Der erste Adventsonntag im vergangenen Jahr, als rund 1,25 Mio. Kunden der Deutschen Telekom ihre Arbeit einstellten - kein Handy, kein Internetzugang und kein Fernseher in den vielen Privathaushalten, die ihre Fernsehprogramme und Video-Dienste gestreamt haben. Nicht nur die privaten Haushalte fühlen sich abhängig, sondern auch Firmen, Ämter und Versorgungsunternehmen. Selbst die Kanzlerin sprach sich aus und verknüpfte den Zwischenfall in einer frühzeitigen Erklärung mit Hacker-Angriffen aus Russland.

Eine Lektion über die Nebeneffekte der völligen Verflechtung unseres täglichen Lebens und den damit verbundenen Kontrollverlust - denn die Telekom-Kunden waren nicht das Angriffsziel. Der Weg führt nach Zypern, Israel, Großbritannien - und nach Afrika. Es wird aufgeklärt, wie sich Firmen online mit rechtswidrigen Mitteln gegenseitig angreifen - und wem sie solche explosiven Aufgaben anvertrauen.

Es handelt sich um eine Industrie, die illegal Dienste über das Netzwerk anbietet: Er bewirbt schädigende Firmen, indem er ihre Offerten unterbricht oder gar zum Stillstand führt. "Angriff für Miete" ist der Dienst, Attacken, die man ausleihen kann. Es handelte sich um den wettbewerbsintensiven Mobilkommunikationsmarkt im Westafrika.

Die beiden Marktleader Cellcom und Lonestar stehen dort in einem intensiven Konkurrenzkampf um neue Abnehmer. Eines Tages erinnert sich ein bekannter Cellcom-Mann namens Alte, der mit unkonventionellen Mitteln im Wettstreit um neue Kundschaft helfen konnte. Als der delikate Befehl aus Liberia bei ihm eintraf, hatte Daniel K. gerade große Ziele, er und seine Braut Catherine wollten unbedingt verheiratet werden, sagte er zumindest den Forschern in Deutschland.

Anstelle eines Studiums machte sich K. selbständig, berät Firmen in Fragen der IT-Sicherheit und untersucht ihre Netzwerke auf Schwachpunkte, d.h. eventuelle Eingriffe für Hacker. Die Geldmenge war eng, so dass er und seine Verlobte 2012 nach Großbritannien zurückkehrten. Für den Sabotageeinsatz in Afrika hat er sich die nötigen Werkzeuge mit modernster digitaler Waffentechnologie selbst beschafft.

Ein so genanntes Botnet wurde von Daniel K. eingerichtet. Dazu hat er tausende von Geräten, die weltweit mit dem Netz verbunden sind, mit einem bösartigen Code infiltriert, mit dem er sie von da an aus. Seinem " Command and Control " Server musste er nur ein einziges Reiseziel geben, wie die Netzwerkadressen des libyschen Telekommunikationsproviders, um dort massenhaft parallel Abfragen anzustoßen - eine digitale Dauerbombardierung, die im Netzwerkjargon "Distributed Denial of Service" (DDoS) heißt.

Dabei hat er Netzwerküberwachungskameras und vor allem Routers, also Endgeräte aus dem so genannten ³eInternet der Dinge³c, infiltriert. Sein Heer wächst auf mehr als 400.000 Einheiten, die zusammen eine Angriffsladung und Schusskraft erzeugen, die bald in Liberia wirksam werden. IT-Experten verzeichneten anfangs November 2016 heftige Angriffe, die nicht nur zu einem Ausfall des angestrebten Telekommunikationsanbieters geführt haben, sondern auch die komplette Internet-Infrastruktur des west-afrikanischen Staates vorübergehend lahmgelegt haben.

Man nannte K.'s "Super Botnet" nach der kostenlosen Malware, mit der er es erstellt hatte: "Mirai#14". Anders als in Liberia war das Scheitern der Telekom-Kunden nicht auf einen Konkurrenten zurückzuführen, sondern auf das Bestreben von K.s, sein Mirai-Botnetz noch leistungsfähiger und leistungsfähiger zu machen. Dazu suchte er automatisch nach Router mit einer speziellen Ausstattung; das Modell "Speedport" eines taiwanesischen Anbieters der Deutschen Telekom hat sich als empfindlich erwiesen.

K. hat jedoch sein Bestreben, den bösartigen Code auf den Telekom-Routern zu installieren und ihre Nutzer in sein Botnet zu integrieren - wo ihre Endgeräte unbeabsichtigt und unfreiwillig an den von ihm kontrollierten Cyber-Angriffen beteiligt gewesen wären - nicht erreicht. Vielmehr befanden sich die Endgeräte "in einem undefinierten Zustand", wie die Deutsche Telekom es nannte.

In der Tat ist nach einer strafrechtlichen Klage der Telekom ein international besetztes Team von Ermittlern in seine Fußstapfen getreten und hat nach den von ihm hinterlassenen Digitalspuren gesucht. Die Beamten des Bundeskriminalamtes arbeiteten mit Kolleginnen und Kollegen aus Großbritannien und Zypern zusammen, und auch IT-Sicherheitsexperten waren auf der Suche nach dem Kopf hinter der neuen elektronischen Wunderwaffe.

Das Mirai#14 Botnet griff mehrere Tage lang englische Kreditinstitute wie Lloyds, Barclays und die Bank of Scotland an - viele ihrer Kundschaft hatten Schwierigkeiten beim Zugriff auf ihre Online-Konten. Im Fall des Engländers hatten die Koelner Justizbeamten Ende Februar eine " erhöhte kriminelle Kraft " erkannt, der Mann, der am ersten Weihnachtsfeiertag in mehr als einer Millionen deutscher Apartments das Netz abgeschaltet hatte, wurde von englischen Behörden auf dem Luton-Airport in London verhaftet - anscheinend kurz nachdem das Geld übergeben worden war.

K. gab nach seiner Ausweisung nach Köln wenigstens den Angriff auf die Telekom-Router noch in Haft zu. Er gab zu, dass es sein Bestreben war, den Liberianer zu schlagen, er wollte der Deutschen Telekom und ihren Kundinnen und Kunden nichts anhaben. Das Gericht erkannte "eine erhöhte kriminelle Energie", die bei der Deutschen Telekom zu einem Sachschaden von rund einer Millionen EUR und einem "gewissen Imageverlust" führte.

Im Hauptverfahren, zu dem seine Braut und seine Frau gereist waren, hat er sich bei den betreffenden Telekom-Kunden entschuldigt. Sein Beutegeld von zwei Mal $10.000 und die beschlagnahmte Ausrüstung wurden behalten. Neben den erpresserischen Versuchen gegen die englischen Kreditinstitute beschuldigen sie ihn auch der Angriffe auf das libysche Unter-nehmen.

Im Gegensatz zur Klage gegen Liberia und deren Folgen für die lokalen Telekom-Kunden hat K. über seinen Rechtsanwalt im Auslieferungsprozess bestritten, dass er hinter der Erpressung der Bank stehe. Fachleute von Netlab berichten über eine neue Mirai-Variante, die wie bei der Telekom-Veranstaltung vor einem Jahr Endgeräte aus dem Netz der Dinge ins Botnet einbinden will.