Von Dagmar Henn
Der Spiegel hat nachgelegt und zum AfD-Leak eine Geschichte geliefert, die erklären soll, wer dahintersteckt. Erzählt wird von einem "Oleksij L.", einem "in den USA lebenden Programmierer mit Schwerpunkt auf maschinellem Lernen, einer Form der künstlichen Intelligenz".
Der soll, ohne ein politisches Motiv, einfach mal die AfD gehackt haben. Spuren sollen in seine Richtung führen. Er soll allerdings auch schon in andere Angriffe auf andere Rechner verwickelt gewesen sein. Aber dann gibt es in der Kommunikation, die es wohl zwischen dem Spiegel und besagtem Oleksij gegeben haben soll, einen merkwürdigen Satz. "Das Team hinter dem AfD-Leak bestehe aus zwei Personen – 'mir – Ver – und der Person, die ich meinen Teamleader nenne.'"
Eine seltsame Formulierung, weil sie ebenjenem Herrn, dessen Name die ukrainisierte Form von Alexej ist, einen Chef zuordnet. Eine Wahrnehmung, die entsteht, weil besagter Teamleader ihm, dem Mann mit dem Pseudonym Ver (Versistance), hinter dem der Spiegel jenen Oleksij vermutet, "höflich geraten" habe, sich "nicht zu den Details des Hackerangriffs zu äußern". Auch das eine Formulierung, die entweder Richtung Geheimdienst oder Richtung organisierter Kriminalität weist, oder, das ist in der Ukraine möglich, beides auf einmal.
Ja ... Da taucht irgendwie ein ganz anderes Bild auf, und eine ganz andere Verbindung, die gerade in diesem Zusammenhang dann völlig logisch erscheint. Der erste Auslöser ist selbstverständlich der Name. Der zweite ist die Tatsache, dass die Ukraine nicht nur für kriminelle Callcenter, sondern auch für Cyberkriminalität bekannt ist. Vor allem Erpressungen mit sogenannter Ransomware sind eine Spezialität. Hier geht es nur ums Geschäft, aber ein tiefes Eindringen in die Rechnerstrukturen, die zum Ziel genommen werden, ist dafür ebenso nötig wie für besagtes Leak.
Das Hauptmotiv ist das Geschäft. Wie hieß es? Jener Oleksij habe kein politisches Motiv gehabt. Denkbar, dass er zur ukrainischen Cybercrime-Szene gehört. Die übrigens selbst von westlichen Sicherheitsbehörden auf Platz zwei der "Weltrangliste" gesetzt wird. Nachdem Platz eins Russland zugewiesen wird, die Institutionen, von denen die Daten für diese Liste stammen, aber jedes Interesse daran haben, Russland zu beschuldigen und die Ukraine weißzuwaschen, diese dennoch aber an die zweite Stelle setzen, spricht alles dafür, dass die wirkliche Reihenfolge wohl umgekehrt ist und das wirkliche Zentrum globaler Cyberkriminalität Ukraine heißt.
Ein Gewerbe, das vermutlich in etwa so funktioniert wie die kriminellen Callcenter, die in jüngster Zeit etwas mehr Aufmerksamkeit erhielten – eine gut vernetzte kriminelle Struktur, mit besten Verbindungen zu Polizei und Staatsanwaltschaft und wahrscheinlich auch politischer Deckung durch den SBU, im Gegenzug für die gelegentliche Erfüllung offizieller Aufträge.
Die Callcenter-Geschichte ist inzwischen tatsächlich sogar in der Zeit angekommen. Immerhin sollen bis zu 60.000 Menschen in diesen Strukturen in der Ukraine damit beschäftigt sein, Menschen in der EU und in den USA Geld abzunehmen, und einen Umsatz von über 800 Millionen Euro pro Monat damit erwirtschaften. Die jüngst erfolgten Festnahmen durch die Antikorruptionsbehörden zeigen, wie weit oben die schützende Hand über diese Form der Kriminalität gehalten wird – beteiligt am Callcenter-Geschäft waren hochrangige Beamte des SBU ebenso wie der Generalstaatsanwaltschaft. Ukrainische Cybercrime-Strukturen dürften sehr ähnlich funktionieren und ähnlich eng auch mit den Sicherheitsstrukturen verwoben sein.
Das ist der Gedanke, den die Formulierung vom "Teamleader" hervorruft. Dass besagter Oleksij in den USA wohnhaft sein soll, tut in diesem Zusammenhang nichts zur Sache. Mindestens solange er noch Verwandtschaft in der Ukraine hat, ist er für diese Strukturen greifbar, sofern er den Auftrag nicht ohnehin gegen Bezahlung bearbeitet hat.
Schließlich: Welches Motiv sollte jemand, der in den USA lebt, haben, ausgerechnet die AfD in Deutschland zu hacken? Insbesondere, wenn Politik eigentlich keine Rolle spielt? Wenn es nicht um kriminelle Aktivität geht, nicht um Erpressung, dann suchen sich solche Leute üblicherweise eine Herausforderung, ein besonders geschütztes System, in das eingedrungen zu sein Anerkennung verschafft. Nach diesem Kriterium hätte er das BKA oder den BND anpeilen müssen, aber eher nicht die AfD.
Wenn das Interesse an der AfD also nicht persönlich war und es nicht einer Erpressung diente, dann bleiben nur zwei Varianten übrig: Bezahlung oder Auftrag. Oder eben eine Mischung aus beidem. Dann stellt sich als nächste Frage, wer ein Interesse daran hätte. Das könnten deutsche Behörden sein, wie der Verfassungsschutz, aber es könnten eben auch ukrainische sein. Schließlich ist die AfD aktuell die größte Partei, die sich nicht auf unbegrenzte Zahlungen an die Ukraine verpflichten lässt. Ein Motiv gäbe es also auf jeden Fall.
Bleibt der letzte Punkt, die Möglichkeit. Da stehen ukrainische Dienste sicher besser da als deutsche, bei einem Oleksij L. Wobei natürlich auch die Option nicht ausgeschlossen werden kann, dass im Wege der Zusammenarbeit da mal ein kleines Tauschgeschäft stattgefunden hat (auch wenn die jüngst erst bekannt gewordene Weitergabe europäischer Ermittlungsergebnisse an ukrainische Kriminelle durch die ukrainischen Behörden die Frage aufwirft, ob es da noch viel zu tauschen gibt und sich die Ukrainer nicht ohnehin, sobald sie einen Fuß in der Tür hatten, umfassend bedient haben). Aber vielleicht führte ein gemeinsames Interesse in diesem Fall zu einem günstigen Angebot.
Natürlich klärt das erst einmal nichts. Schließlich kann der Spiegel auch gelogen haben bei seiner Namensnennung und der Hacker heißt völlig anders. Wobei das für das Hamburger Blatt wenig Sinn ergibt; immerhin bezieht es ebenso vehement Position gegen die AfD wie für die Ukraine, was dann bedeutet, da erwartet wird, dass die Leser diese Haltungen teilen, dass der beschriebene Hacker auf diese Weise gleich doppelt zum Sympathieträger wird. Gut, dann kann es immer noch gelogen sein, um genau diesen Effekt zu erzielen.
Gesetzt den Fall aber, der Name stimmt ebenso wie der Hinweis auf den "Teamleader", stellt sich die Frage, warum der Spiegel das so veröffentlicht. Als Drohung gegen die AfD, mit dem Hinweis, ukrainische Dienste hätten sie ins Visier genommen? Als Entlastung für deren deutsche Kollegen, die ansonsten als Erste in Verdacht stünden (man denke nur an die ganzen NGO-Nebengeheimdienste wie Correctiv)? Schließlich kann sich der deutsche Verfassungsschutz, so die Rechtslage, bei den bereits veröffentlichten Daten nun nach Herzenslust bedienen ...
Oder ist das sogar vorausgedacht, nachdem gerade ein Teil der Callcenter-Struktur aufgeflogen ist, samt hochrangiger Beamter? Nur für den Fall, dass Ähnliches mit den Cybercrime-Netzwerken passiert und dann vielleicht irgendjemand über einen Hinweis stolpert, dass auch die Hacker, die die AfD attackierten, mit dazugehören? Sieht ja im Moment sehr nach einem inneren Machtkampf in Kiew aus, und man weiß ja nie.
Auf jeden Fall hat der Spiegel mit diesem Artikel eine Variante ins Spiel gebracht, die man sich merken sollte.
Mehr zum Thema – Kaspersky Lab zu Ursachen des rapiden Anstiegs von Datenlecks und Cyberkriminalität