Hackerangriff auf Politiker:Die Spur führt in die Doxing-Szene

Bundestag

Bei der Hacker-Attacke wurden persönliche Daten von fast 1000 Politikern und Prominenten veröffentlicht - darunter auch die Emailadresse der Bundeskanzlerin.

(Foto: dpa)
  • Auf der Suche nach dem Täter des Datenklaus, einem Hacker namens "Orbit" ermitteln die Behörden derzeit in der Doxing-Szene.
  • Das Wort ist abgeleitet von "doc", kurz für Dokument und ist eine Art digitales Mobbing.
  • Der 19-jährige Jan S. ist einer der führenden Köpfe dieser digitalen Halbwelt. Am Sonntag durchsuchten die Ermittler seine Wohnung auf der Suche nach Orbit.

Von Simon Hurtz, Ronen Steinke und Hakan Tanriverdi

Es ist eine Ermittlung von internationalen Ausmaßen, es geht um Daten von Hunderten Abgeordneten des Bundestages, um 994 prominente Personen insgesamt, auch um E-Mail-Adressen der Kanzlerin. Beteiligt sind das Bundeskriminalamt, die Cyberabwehr-Behörde BSI und sogar der Auslandsgeheimdienst, der BND. Aber die Suche führt derzeit offenbar in den Norden Baden-Württembergs, in die 120 000-Einwohner-Stadt Heilbronn, in die Wohnung eines 19-Jährigen.

Die Ermittler tauchen derzeit ein in eine Szene, in der Attacken wie die am Freitag bekannt gewordene offenbar häufig vorkommen. Es sind Attacken auf die Privatsphäre, sie haben das Ziel, Opfer bloßzustellen, indem Daten, Fotos und Chats veröffentlicht werden. "Doxing" heißt das im Jargon der Gaming- und Hackerszene, abgeleitet von "doc", kurz für Dokument. Es passiert immer wieder, dass Hacker sich untereinander "doxen". Gar nicht unbedingt aus politischer Motivation heraus, es ist eher eine Art Mobbing. Und eine bekannte Figur in dieser digitalen Halbwelt ist der mutmaßliche Betreiber der Internetplattform Dox.sx. Er heißt mit bürgerlichem Namen Jan S., 19 Jahre alt.

Doxing-Webseiten-Betreiber prahlte mit Kontakt zu "Orbit"

Jan S. aus Heilbronn hat sich die vergangenen Nächte bei Twitter um die Ohren geschlagen. Er kenne den anonymen Täter, der sich hinter der Attacke auf Politiker verberge, prahlte er am Freitag. Der Ausgang der Ermittlungen gegen diesen Täter sei ihm "ehrlich gesagt ziemlich egal". Obwohl er Informationen über den Täter besitze, wolle er der Polizei nicht helfen: "Ich habe in den letzten Jahren nur negative Erfahrungen mit den Behörden gemacht."

Der eigentliche Täter, den die Ermittler jetzt unter Hochdruck suchen, nennt sich "Orbit", wie die Umlaufbahn eines Planeten. Manchmal auch "Nullrouter" oder "God". Er ist schon seit 2015 aktiv, seine Opfer waren bislang nie Politiker, sondern meist Leute, die sich mit Youtube-Videos in Szene setzen; so wurde er zum gefürchteten Quälgeist dieser Szene, in der sich Blogger über Computerspiele oder andere Themen austauschen. "Orbit" sammelte Informationen, anschließend hackte er große Accounts auf Twitter, dort verbreitete er die Daten. So machte er es jetzt auch im Fall der vielen Politiker. Sein Twitter-Account "@_0rbit" ist seitdem gesperrt.

Im Milieu der Doxer kennt man sich, zumindest online

Der Fall führt hinein in ein Milieu. Im Netz finden sich Spuren, die von dem geheimnisvollen "Orbit" nach Heilbronn zu Jan S. weisen. Am Samstag behauptete der, dass sich Orbit nach der Attacke bei ihm gemeldet und "die Vernichtung von Hardware (PC, usw.) bestätigt" habe. Später veröffentlichte Jan S. einen Screenshot, der angeblich diese E-Mail zeigt. Am Sonntag dann standen Beamte des BKA vor seiner Wohnungstür, einen Durchsuchungsbefehl in der Hand.

Zwar wird Jan S. bislang nicht als Verdächtiger geführt, betont in Gießen die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT), eine Sondereinheit der Generalstaatsanwaltschaft Frankfurt am Main. Aber als Zeuge, der mehr wissen könnte, als er sagt. Als prägende Figur einer Szene, in der sich trotz Anonymität viele kennen. Kontaktiert von Süddeutscher Zeitung, NDR und WDR, sagte Jan S.: Er kenne Orbit nur über das Internet, nicht persönlich.

Da ist einerseits dieser Hauptverdächtige, Orbit: In der Youtube-Szene ist er schon lange bekannt, man kann zum Beispiel seine Kritiker fragen, so wie Thomas Hackner, 28 Jahre alt, auf seinem Youtube-Kanal "Herr Newstime" verfolgen 330 000 Abonnenten, wie er vor einer Popcorntüte und einem eingerahmten Bild von Thomas Gottschalk das Weltgeschehen kommentiert. 2015 hatte er Kontakt zu Orbit: "Er wirkte auf mich damals sehr zurückhaltend und vor allem sehr jung." Was wollte Orbit von dem Youtuber? "Er wollte mit seinen Erfolgen prahlen."

"Orbit" soll zunehmend politischer geworden sein - und rechter

Ein anderer, 18 Jahre alt, hat Orbit ebenfalls einmal kennengelernt, wie er erzählt. "Zuletzt hat er sich politisch in eine immer rechtsradikalere Richtung entwickelt und sich immer stärker politisiert", sagt @LeviHallo, wie er sich auf Twitter nennt. "Während anfangs noch lediglich kleinere Ziele das Opfer waren und das Motiv meist Aufmerksamkeit, mischte sich mit der Zeit immer mehr eine politische Komponente dazu." Levi meint, Orbit greife nur Leute an, "gegen die er selber eine Abneigung entwickelt hat".

Unter den aktuell 994 Doxing-Opfern sind Politiker aller im Bundestag vertretenen Parteien - verschont wurde nur die AfD. Und da ist eben der Heilbronner Jan S. Dessen technische Infrastruktur verwendete der Quälgeist namens Orbit nach Recherchen von Süddeutscher Zeitung, NDR und WDR über die Jahre. Wenn er Menschen attackierte, nutzte er teils die Webseite Dox.sx, die am 31. März 2015 von Jan S. angemeldet worden war.

Als Adresse gab Jan S. damals ein Postfach in Roubaix an, einer Stadt im Norden Frankreichs. Im September 2015 löschte er diese Informationen wieder. Inzwischen ist die Seite nicht mehr im Netz, Jan S. bestreitet auf Nachfrage jetzt auch jede Verbindung und schiebt hinterher: Die sei doch seit Jahren "nicht mehr zu erreichen". Über Archiv-Dienste lässt sie sich aber noch einsehen, wie dort Handynummern von Opfern ausgestellt wurden oder auch eine Karte, die deren angeblichen Wohnort zeigt.

Seine Firma verspricht "Sicherheit im Internet"

Jan S. verdient sein Geld in Heilbronn als Entwickler, er betreibt eine Firma, die "Sicherheit" im Internet verspricht. Ausgerechnet. Die Firma wirbt mit diesem Satz: "Die Wahrung der Privatsphäre bei Personen des öffentlichen Lebens wird oftmals eingeschränkt, gerne beraten wir Sie, um Ihnen bestmöglichen Schutz zu bieten."

Die Sache hat sich für ihn aber offenbar bereits gerächt: In mehreren mittlerweile gelöschten Tweets berichtete Jan S. zuletzt von einer anonymen Drohung, "weil jemand dachte, ich sei Orbit". Jetzt versuche man, ihn einzuschüchtern: "An die zurückgebliebenen Vollidioten, die gerade bei meiner alten Adresse, wo Familienmitglieder wohnen, die Scheibe eingeschlagen haben, ihr seid einfach nur widerlich." Dazu veröffentlichte Jan S. ein Foto einer beschädigten Wohnungstür. Seine Familie und er selbst hätten Anzeige wegen Bedrohung und versuchten Einbruchs gestellt. Beamte der Polizei Heilbronn würden ermitteln.

Am Samstag hat sich dann auch der geheimnisvolle "Orbit" wieder gezeigt. Nur kurz. In einem Gruppenchat, in dem sich Fans des Youtube-Stars "Pietsmiet" treffen, meldete er sich an, berichten Teilnehmer. Er schwieg. Und meldete sich wieder ab. Es war bloß ein Signal. Der Mann, nach dem die größten Sicherheitsbehörden des Landes suchen, zeigte: Ich bin noch da.

Zur SZ-Startseite
Peter Tschentscher

Privatsphäre
:Zehn Regeln für Ihre digitale Sicherheit

Die geleakten Datensätze zeigen: Selbst, wer sich selbst für vollkommen uninteressant hält, besitzt Daten über Dritte, die er schützen muss. Die wichtigsten Grundregeln im Überblick.

Lesen Sie mehr zum Thema

Jetzt entdecken

Gutscheine: