Ein schneller Ermittlungserfolg und seine Hintergründe

Keine 48h brauchte das Bundeskriminalamt, um G0d alias Johannes S. zuhause aufzuspüren – dieser hatte persönliche Daten von hunderten Abgeordneten, Prominenten und Journalisten gestohlen und im Dezember 2018 im Stile eines Adventskalenders tageweise veröffentlicht.

Dem Datendiebstahl ging die Übernahme von Nutzerkonten der Opfer voraus, insbesondere Mail- und Socialmedia-Accounts (Facebook, Twitter) waren betroffen. Hierbei wurden – soweit bis heute Details durchgesickert sind – schwache bzw. im Netz kursierende erbeutete Passwörter und Schwächen von Funktionen zur Rücksetzung von Passwörtern ausgenutzt.

Anonymität ist anstrengend

Täter agieren üblicherweise aus der Anonymität heraus, um sich der Strafverfolgung zu entziehen. Vordringlich ist dabei zunächst, die eigene IP-Adresse, die dem Anschlussinhaber zugeordnet werden kann, zu verbergen. Dazu sind Netzwerke zur Anonymisierung von Verbindungsdaten wie Tor oder Privacy-VPN-Anbieter (wie das von G0d benutzte Perfect Privacy) grundsätzlich geeignet. Hierbei wird die Kommunikation über mehrere rund um die Welt verteilte Knoten geleitet, die eine Rückverfolgung für deutsche Strafermittler praktisch unmöglich machen. Tor erleichtert es Menschen, in deren Ländern der Zugang zu Informationen durch Netzzensur erschwert wird und die mit Repressionen bei Identifizierung rechnen müssen, das Internet anonym zu nutzen.

Ein anonymisierter Netzzugang ist jedoch nicht ausreichend, um sich der Identifizierung zu entziehen. Täter können eine Vielzahl digitaler Spuren hinterlassen, die eine nachträgliche Aufdeckung der Identität erlauben. Webbrowser sind besonders verräterisch, weswegen für diese Taten angepasste Versionen und Anonymisierungsplugins verwendet werden. Wenn Dateien selbst erzeugt und publiziert werden, scheiden viele Officeprodukte aus, da diese den Dateien Metadaten zum angemeldeten User, Betriebssystemkonfigurationen oder sogar Seriennummmern hinzufügen. Ähnliche Datenspuren sind oft in Bildern enthalten, beispielsweise enthalten Kameraschnappschüsse oft GPS-Koordinaten und viele Details zur Kamera bzw. dem verwendeten Smartphone.

Aber auch die Vorgehensweise des Täters selbst ist eine digitale Spur. In den Opfersystemen entstehen während der Tat Logfiles, die festhalten, in welcher Reihenfolge der Täter Funktionen aufgerufen hat, welche Netzwerke er nutzt, welche Werkzeuge er eingesetzt hat und welche zeitlichen Parameter dabei eingehalten wurden. Diese Spuren stellen eine Art persönlichen Fingerabdruck dar, der mit anderen Taten verglichen werden kann.

Pseudonyme und die Sucht nach Ruhm

Da einige Täter sich ohnehin mit ihren Taten brüsten und diese ähnlich wie Graffiti-Sprayer einem Pseudonym zuordnen, müssen die Ermittler letztlich nur eine einzelne Verknüpfung eines Vorgangs zu einer realen Person vornehmen und haben dann einen Verdächtigen für alle Taten dieses Pseudonyms ermittelt.

Im Falle von G0d waren bereits Datenspuren aus der Vergangenheit vorhanden. Wie der Zeuge @Janomine, dessen Wohnung im Zuge der Ermittlungen durchsucht wurde, auf Twitter berichtete, gab es bei Johannes S. bereits im Jahre 2016 eine Hausdurchsuchung und ein noch laufendes Ermittlungsverfahren. Unter seinem damaligen Pseudonym Nullr0uter hatte er Nutzerkonten von Youtubern gekapert und dabei versehentlich für einen kurzen Zeitraum seine echte IP-Adresse übermittelt, was zur Ermittlung des Anschlusses führte. Der genaue Zeitpunkt der Hausdurchsuchung war dem Zeugen bekannt. Johannes S. benutzte zwar als Wiederholungstäter neue Pseudonyme (z. B. 0rbit), offenbar vermischte er aber diese Identitäten bei weiteren Taten und auch bei der Kommunikation innerhalb der Szene, zudem stellte er selbst öffentlich sichtbare Verbindungen her. So folgten sich die Twitterkonten der Pseudonyme gegenseitig. Nicht nur seine regelmäßigen Kommunikationspartner vermuteten daher, dass dieselbe Person für alte und neue Taten verantwortlich war.

Zeugenaussage führte zum schnellen Erfolg

Der schnelle Fahndungserfolg des BKA ist vor allem darauf zurückzuführen, dass ein Kommunikationspartner über die auch bei Zeugen mögliche Hausdurchsuchung und dem Hinweis auf die Aussagepflicht für Zeugen wirksam unter Druck gesetzt wurde. @Janomine kannte zwar selbst nicht den realen Namen von G0d/0rbit/Nullr0uter. Nachdem er jedoch den Zeitpunkt der Hausdurchsuchung zwei Jahre zuvor nennen konnte, war eine Identifizierung von Johannes S. unmittelbar möglich. Wenige Stunden nach der Zeugenaussage wurde das Haus im Vogelsbergkreis, in dem er bei seinen Eltern lebte, durchsucht  – und er gestand die Taten. Aber auch ohne diese hilfreiche Zeugenaussage wäre eine Identifizierung möglich gewesen, denn die sichergestellten Beweise, darunter Kommunikationsprotolle, hätten eine Verbindung zwischen alten und neuen Pseudonymen zugelassen. Es war nur noch eine Frage der Zeit. Johannes S. hat offenbar deutlich unterschätzt, welchen Fahndungsdruck seine letzten Taten bewirken würden: Fast zwei Tage lang konnte er sich wie der „Staatsfeind Nr. 1“ fühlen, so hoch war das öffentliche Interesse an der Aufklärung des Falls. Ob dies ein erhebendes Gefühl war, wird er vielleicht noch berichten – nachdem das Verfahren abgeschlossen ist.