Hacker stahl 9 Millionen österreichische Meldedaten

Im Mai 2020 wurde bekannt, dass ein Datendiebstahl im Umfeld der GIS (Gebühren Info Service GmbH) stattgefunden hat. Doch wie jetzt bekannt wurde, fand im November 2022 eine Verhaftung in den Niederlanden statt: Das Bundeskriminalamt teile Journalisten am Mittwoch mit, dass ein „ganz dicker Fisch“ festgenommen wurde – Der mutmaßliche Hacker.

Daten nahezu aller Österreicher betroffen

In Österreich wohnen zum jetzigen Zeitpunkt rund 9,08 Millionen Menschen, der Hacker kam an 9 Millionen Daten – also praktisch an die Daten aller Österreicher. Eine Panne bei einer Wiener IT-Firma, welche damit beauftragt war, die Datenbank der GIS neu zu strukturieren, ermöglichte dem Hacker den Zugriff.

Diese Neustrukturierung der Datenbank durch Subunternehmen, eine Vorgangsweise, die laut BK-Experten durchaus üblich ist, diente dazu, mögliche Vermeider der Rundfunkgebühren-Zahlungen aufzuspüren. In der Datenbank befanden sich die Namen, Geburtsdaten und Meldeadressen aller Bürger Österreichs.

„Hack“ mit einer Suchmaschine

Kurios ist, wie der niederländische Hacker die Datenbank fand: Zwar nicht durch Google (das wäre dann doch zu einfach), doch durch eine spezielle Suchmaschine, die anscheinend auch Deepweb-Daten erfasst (also Daten, die normalerweise nicht durch Suchmaschinen erfasst werden).

Eine Mitarbeiterin oder ein Mitarbeiter des Subunternehmens hat nämlich augenscheinlich für eine Teststellung die echten Daten der GIS verwendet und diese ohne Zugangssicherung ins Internet gestellt, wo sie schätzungsweise für eine Woche verfügbar war.

In einem bekannten Hackerforum, welches mittlerweile vom Netz genommen wurde, bot dann „DataBox“, so das Pseudonym des Hackers, die Daten an. Die neuseeländischen Behörden, die darauf aufmerksam wurden, kooperierten daraufhin mit dem Bundeskriminalamt, kauften mittels verdeckten Fahndern die Daten für einen vierstelligen Betrag und brachten dadurch die aufwändigen Ermittlungen ins Rollen.

Auch Überweisungen mit Kryptowährungen können nachvollzogen werden!

Der 25-jährige Niederländer wähnte sich wahrscheinlich auf der sicheren Seite, da er sich das Geld für die Daten mittels einer Kryptowährung überweisen ließ – eine Zahlungsmethode, die allgemein als anonym gilt, es aber nicht wirklich ist.

„Jede Transaktion von Bitcoins zum Beispiel ist offen erkennbar. Die Kunst ist, von diesen Internetdaten auf reale Personen zu kommen“

Ein BK-Spezialist bezüglich der Festnahme

In umfangreichen Ermittlungsschritten wurde unter anderem ein Server in Deutschland sichergestellt, von dem aus die Daten heruntergeladen wurden. Dabei wurde offenbar, dass der Diebstahl der GIS-Daten keine einzelne Tat des Hackers waren, sondern er tatsächlich ein „dicker Fisch“ ist.

Viele Daten im Portfolio

Wie sich herausstellte, war der Hacker schon seit geraumer Zeit polizeilich international bekannt. Offenbar besaß er den Inhalt von rund 130.000 Datenbanken, die unter anderem Daten aus Österreich, den Niederlanden, Thailand, China, Kolumbien und Großbritannien enthielten. Auch Patientendaten soll der Niederländer angeboten haben.

Mit einem Großteil der niederländischen Hackerszene hat er sich bereits vor Jahren überworfen, als er noch als sogenannter „White Hat“ in der Szene unterwegs war, also als Hacker, der auf Schwachstellen hinwies, aber keine Vorteile daraus zog – was sich aber offensichtlich änderte: Als „Black Hat“, der gestohlene Daten verkaufte, gab es sicherlich mehr zu verdienen, dies allerdings natürlich illegal.

Daten können für Betrugsmaschen genutzt werden

Gerade die Kombination von Namen, Meldeadressen und Geburtsdaten sind für Betrüger, die die Daten ebenfalls erworben haben, Gold wert: Beispielsweise können sie durch die Geburtsdaten bevorzugt ältere ÖsterreicherInnen aufspüren, um dort dann als falsche Polizisten vor der Tür stehen.

Artikelbild: Pixabay

Quellen:

futurezone, DerStandard

Auch interessant: vzbv fordert stärkeren Fokus auf Verbraucher:innen im Cyber Resilience Act (CRA). Verbraucher müssen besser vor Cyberattacken geschützt werden
– Cyberrisiken: Besserer Verbraucherschutz gefordert