Der Sado-Maso-Cyberangriff

Aktuelles aus der IT-Sicherheit.

Machen wir zur Abwechslung mal wieder was Hautberufliches.

report24.news berichtet aus Österreich: Enthüllt: Sado‑Maso‑Blog eines hohen Beamten öffnete Tür für Cyberangriff auf Ministerium

Deren Quelle war exxtra24.at: Sado-Maso-Skandal in Brüssel: Spur führt zu Cyber-Angriff auf das Außenministerium in Wien

Die aber wiederum als Quelle auf eine Seite namens „Fass ohne Boden“ verweisen. Das ist wohl dieser Artikel: Sadomaso im Außenministerium

Schauen wir also direkt ins Fass ohne Boden:

Jahrelang betrieb ein Spitzenbeamter des österreichischen Außenministeriums einen anonymen Blog mit sexuell expliziten, sadomasochistischen Inhalten. Die Domains lauteten „themaresexile.wordpress.com“, „nightsmare.wordpress.com“ und „https://the-night-mare.com.“ Die Beiträge waren kunstvoll inszeniert, teils sadomasochistisch und enthielten Hinweise auf bewusste Ästhetik und Planung. Das gewählte Vokabular hingegen spiegelt Abgründe.

Naja, mit Disney’s Wortarsenal wird man im Sado-Maso-Bereich nicht weit kommen.

Dieser Beamte ist kein Unbekannter in den höchsten Kreisen der österreichischen Politik (Name der Redaktion bekannt).

Das Übliche. Grüße von Epstein und Dutroux.

„The Night Mare“ ist kein einfacher Erotikblog. Es ist ein stilisierter Abgrund aus Dominanz, psychologischer Kontrolle und literarisch aufgeladenem Sadomasochismus. Die Bilder zeigen eine Frau in Posen zwischen Kunstinstallation und provokanter Zurschaustellung. Die Texte sprechen von „totaler Hingabe“, von „Rape-Fantasien“ und „geistiger Disziplinierung“.

Hier ein Auszug an ausgewählten Textstellen des ranghohen Beamten und Familienvaters:

• „bist du in berlin? könnten für die party noch ne frau gebrauchen. interesse?“
• „Ein Unbekannter hatte mich auf der Straße angesprochen. Afrikaner, etwas älter, ein bisschen nachlässiges Aussehen. […] ‚Du bist Caro, nicht wahr?‘, fragte er in nicht besonders gutem Deutsch. […] Ihr habt sie blutig gefickt. Warum konntet ihr nicht Acht geben? Sie ist noch jung.”
• „Wir waren Fleisch, nicht mehr. Frauen. Gefäße für den Samen der Männer.“
• „Zeig mal, gibt dein Euter Milch? Du wartest wohl darauf, dass dich wieder jemand schwängert, du Hure?“
• „Er schob mir alles in den Mund.“
• „Ein dicker, heißer Strahl. Wir saßen stumm da mit hängenden Köpfen und Haaren.“
• […]

Berliner Straßenslang eben.

Da stellt sich die Frage: Ist diese Sprache Teil der Diplomatenausbildung? Der Leser soll sich selbst eine Meinung bilden.

Ein Cyberangriff?

Nachdem das Privatleben des hohen Beamten beleuchtet wurde, stellt sich die Frage nach dem Zusammenhang mit dem Cyberangriff.

Die digitalen Spuren des Blogs sind beunruhigend eindeutig. Technische Metadaten zeigen Uploads über ein iPhone, verbunden mit einem Account unter der E-Mail-Adresse „caro-n@hotmail.de“. Interne Informationen und Bilder belegen, dass am Arbeitsplatz des Beamten die Aktivitäten erfolgten.

Einige der Bilddateien, die der Redaktion vorliegen, sind sogar mit dem Standort „Leopold-Figl-Gasse, Wien„ verknüpft und führen direkt zum Außenministerium. Ein zentrales Bild mit dem Namen „img_8423.jpg“ wurde am 26. September 2022 hochgeladen und ist mit exakten Geokoordinaten versehen, die einen Konnex zum Arbeitsplatz des Beamten ausweisen. Screenshots dokumentieren WordPress-Backends, Kontoübersichten und Upload-Zeiten, die eine eindeutige Verbindung zum BMEIA herstellen.

Das ist natürlich Missbrauch von Diensteinrichtungen und Arbeitszeit – aber noch kein Cyberangriff, auch wenn es schon danach riecht.

Die Bilder wurden offenbar von einer Frau fotografiert, die sich Zugang zum Handy des ranghohen Beamten verschafft hatte. Die „Fotografin“ war ebenfalls Mitarbeiterin im Kabinett und fertigte diverse Bilder an, und zwar mehrmals und zu unterschiedlichen Zeitpunkten. Kontoaktivitäten, Login-Zeiten und Blog-Inhalte sowie pornografische Fotodarstellungen aus der Perspektive des Administrators.

Es sind nicht nur Bilder illegal vom Handy des ranghohen Beamten angefertigt worden, diese wurden auch noch verteilt. Die Aufnahmen dürften über Wochen und Monate intern zirkuliert haben und gelangten schließlich zu einem Whistleblower.

Auch das ist noch kein Cyberangriff, auch wenn sich deren Gedanke, dass das den Beamten erpressbar macht, natürlich aufdrängt. Aber Erpressung gilt jetzt nicht unbedingt als einer der typischen Angriffsvektoren der IT-Sicherheit, sondern eher das, was der Erpresste tun kann.

Der Fall wirft gravierende Fragen zur nationalen Sicherheit auf. Wenn ein ranghoher Beamter kompromittierbares Material produziert, speichert oder kommuniziert, ist das ein klassischer Fall für Erpressbarkeit und ein Risiko für die nationale Sicherheit.

Die Tatsache, dass die Ermittlungen offenbar nicht forensisch oder sicherheitspolitisch weiterverfolgt wurden, ist aus Sicht der Cybersicherheit und Geheimdienstprävention äußerst bedenklich. Und wir zeigen nun, warum.

Die E-Mail-Adresse „caro-n@hotmail.de“, die dem anonymen SM-Blog zugeordnet ist, tauchte im Mai 2019 in einem globalen Datenleck der Plattform Canva auf. Millionen von Datensätzen, darunter E-Mail-Adressen, Namen und teils entschlüsselte Passwörter, wurden bei diesem Leak veröffentlicht. Die Plattform HaveIBeenPwned listet den Fall öffentlich.

Das Auftauchen dieser mit dem Blog verbundenen E-Mail-Adresse in einem so großen Datenleck ist besonders kritisch, da die betroffenen Zugangsdaten auch für andere Onlinekonten, insbesondere einen Jetpack-Account, verwendet wurden.

Dies wirft die Frage auf, wie tief der Zugriff auf seine Daten wirklich ging und welche potenziellen Sicherheitsrisiken sich daraus ergaben. Das Datenleck war nicht ohne Folgen.

BMEIA: Cyberangriff 2020

Nur acht Monate später, im Januar 2020, wurde das Außenministerium Ziel eines der schwerwiegendsten Hackerangriffe in der Geschichte der Zweiten Republik. Das Außenministerium bestätigte öffentlich, dass es sich um einen hochprofessionellen, vermutlich staatlich gesteuerten Angriff handelte.

Interne E-Mails, vertrauliche Dokumente, Login-Strukturen und Zugriffsdaten könnten betroffen gewesen sein. Das Ministerium schweigt bis heute eisern. Das Verhalten des Spitzenbeamten in Bezug auf IT-Sicherheit ist nicht nur leichtsinnig, sondern sein Umgang gefährdete die nationale Sicherheit. Wie der Zufall so will, findet man auch die dienstliche E-Mail-Adresse des Sadomaso-Beamten in einem weiteren Datenleck.

Diese Affäre ist mehr als ein Skandal um eine Einzelperson. Das ist ein außergewöhnliches Beispiel für strukturelles Systemversagen. Ein ranghoher Beamter mit sensiblem Zugang betreibt einen Blog mit perversen Inhalten von seinem Arbeitsplatz im Ministerium. Die institutionellen Schutzmechanismen greifen nicht. Ein Parteimedium schaute zu und überließ die Aufklärung lieber dem Zufall. Der Whistleblower wurde darüber hinaus eingeschüchtert:

„Ich denke, dass wir das nicht aufgreifen können. BDSM-Fantasien sind Geschmackssache, aber das ist keine Geschichte, mit der man jemanden zur Strecke bringen sollte.“

Viel Skandal, aber letztlich nur Spekulation über einen Zusammenhang mit dem Cyberangriff.

Allerdings, ein Gedanke ist darin schon kritisch: Hat der Beamte dienstlich und sodomasochistisch dasselbe Passwort verwendet, das dann über die Sado-Maso-Seite kompromittiert wurde?

Das wäre natürlich übelste Schlamperei.

Aber:

Wenn ein kompromittiertes Passwort ausreichen würde, ein Ministerium anzugreifen und auseinanderzunehmen, dann würde ich die Verantwortung nur sehr nachrangig bei einem notgeilen Beamten suchen (den man dafür natürlich feuern sollte, der aber nicht als Sündenbock dienen kann), denn dann bestehen erhebliche Mängel in der IT-Struktur des Ministeriums selbst. Es ist altbekannt, dass Passworte schwach sind und als Remote-Authentifikation nicht mehr ausreichen, deshalb 2FA mit Besitz erforderlich ist.