Nach Hackerangriff: Anonyme «Republik»-Kommentatoren könnten enttarnt werden

Über zwei Monate hatten die Angreifer Zugriff. Am 11. August riefen sie erstmals Daten ab, den grössten Teil holten sie am 5. September.

Aufgefallen ist das erst am 14. Oktober: Am Morgen fiel ein internes Analysetool aus, und die Fehlermeldung zeigte E-Mail-Adressen und Zugangsdaten an. So schildert es das Branchenportal persoenlich.com. Noch am selben Tag schaltete die «Republik» die Software ab, womit die Angreifer den Zugriff verloren. Alle betroffenen Zugangsdaten sind inzwischen erneuert.

Am Donnerstagabend verschickte die «Republik» laut persoenlich.com eine Mail an alle aktuellen und ehemaligen Abonnentinnen und Abonnenten. Geschäftsführerin Katharina Hemmer und Technikleiter Olivier Baumann schreiben darin: «Sie haben uns Ihre Daten anvertraut, und wir sind diesem Vertrauen nicht gerecht geworden».

Wer anonym kommentierte, ist es womöglich nicht mehr

Als besonders heikel stuft das Magazin die Kommentare in seinem Dialog ein. Die Datenbank verknüpft jeden Kommentar mit dem Konto der Autorin oder des Autors. Wer anonym geschrieben hat, könnte deshalb nun mit seinem Namen in Verbindung gebracht werden.

Der Grund laut «Republik»: In Kommentaren äussern viele ihre politische Meinung, und politische Ansichten sind nach dem Datenschutzgesetz besonders schützenswerte Daten. Die rund 2300 Personen, von denen die «Republik» im schlimmsten Fall ausgeht, sind nicht zu verwechseln mit den 2000 Einträgen, die im Bericht ebenfalls vorkommen: Laut dem öffentlichen Bericht der «Republik» zogen die Angreifer aus allen übrigen Bereichen der Datenbank jeweils die ersten 2000 Datenzeilen als Stichprobe. Das sind Einträge, nicht Personen.

Wer jetzt sein Konto oder seine Kommentare löscht, macht den Abfluss nicht rückgängig.

So erkennst du gefälschte «Republik»-Nachrichten

Ein Passwort ändern muss bei der «Republik» niemand, denn dort gibt es keines: Die Anmeldung läuft über eine Bestätigung per E-Mail. Die erbeuteten Anmeldelinks waren alle bereits abgelaufen.

Gefährlich werden können gefälschte Nachrichten im Namen des Magazins, das nennt die «Republik» selbst als grösstes Risiko. Per Mail, SMS oder Telefon fragt sie nie nach Kreditkarten- oder Zahlungsdaten. Ihre Kontoverbindung hat sich nicht geändert, eine Rechnung mit einer anderen Kontonummer soll man nicht bezahlen.

Im Zweifel rät das Magazin, auf keinen Link zu klicken und Republik.ch selbst im Browser aufzurufen. Verdächtige Nachrichten lassen sich an kontakt@republik.ch weiterleiten.

Das Bundesamt für Cybersicherheit (BACS) erinnert daran, dass sich Absender von Mails und SMS leicht fälschen lassen. Anrufe, bei denen mit Konsequenzen gedroht wird, soll man sofort abbrechen. Wer auf eine gefälschte Nachricht hereingefallen ist und Kreditkartendaten angegeben hat, sollte umgehend den Kartenanbieter kontaktieren, damit er die Karte sperrt.

Postadressen: Bericht und Mail widersprechen sich

Ob die Postadressen aller Nutzenden abgeflossen sind, ist unklar. In der Mail an die Nutzenden schreibt das Magazin laut persoenlich.com, Postadressen sowie Angaben zu Abos und Käufen seien von allen nachweislich abgerufen worden. Im öffentlichen Bericht ist dagegen nur von Stichproben die Rede.

Wer Telefonnummer, Geburtsjahr oder Geschlecht hinterlegt hatte, muss davon ausgehen, dass auch diese Angaben abgeflossen sind. Das gilt ebenso für ehemalige Verlegerinnen und Verleger, wie die «Republik» ihre Mitglieder nennt.

Eine Gesamtzahl der Betroffenen nennt die «Republik» nicht. Allein Mitglieder und Abos zählt sie derzeit 36'691, dazu kommen alle Ehemaligen und jene, die nur einen Newsletter bezogen. Das Magazin schliesst zudem nicht aus, dass mehr abgeflossen ist, als sich heute feststellen lässt.

Die Lücke steckte im Formular «Passwort vergessen»

Metabase heisst das Programm, mit dem die «Republik» ihre Daten auswertet. Über die Lücke kann ein Angreifer ohne Anmeldung eigene Befehle in die Datenbank von Metabase einschleusen, wie das Fachportal Help Net Security beschreibt.

Ein Sicherheitsupdate gab es seit dem 6. August, die «Republik» spielte es nicht rechtzeitig ein. Laut persoenlich.com hatte das Magazin die Software im Mai zu einem anderen Anbieter gezügelt und dabei eine Version installiert, die die Lücke schon enthielt. Sicherheitswarnungen des Herstellers waren nicht abonniert, automatische Prüfungen auf bekannte Lücken gab es keine.

Die «Republik» ist nicht das einzige Opfer der Metabase-Lücke. Im August griffen Angreifer über Metabase auf Kundendaten des Laptop-Herstellers Framework zu, betroffen waren auch die Firmen Tally und Kilo Code.

Dass es jemand gezielt auf das Magazin abgesehen hatte, darauf deutet laut «Republik» bisher nichts hin. Sie geht von einer breiten, automatisierten Angriffswelle aus. Nach ihrer Einschätzung suchten die Angreifer dabei systematisch nach Zugangsdaten oder Schlüsseln für KI-Dienste, wie persoenlich.com berichtet.

Meldung an den Datenschützer: Das verlangt das Gesetz

Den Vorfall hat die «Republik» dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet. Das Datenschutzgesetz verlangt eine solche Meldung «so rasch als möglich», wenn eine Datenpanne voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Die Betroffenen selbst muss eine Firma informieren, wenn das zu ihrem Schutz nötig ist oder der EDÖB es verlangt.

Ob das Magazin Strafanzeige einreicht, wird noch geprüft.