TATORT SERVERRAUM • BONUS-GESCHICHTE #14
Der verräterische Pizzakarton: Die 50 Tage der LulzSec-Piraten
Wer gegen Regierungen in den Krieg zieht oder Weltkonzerne ausraubt, tut das für gewöhnlich aus Überzeugung oder aus Gier. Es geht um Ideologie, um Geopolitik oder um Koffer voller Geld. Doch im Frühsommer des Jahres 2011 hält eine Gruppe von Hackern die Welt in Atem, die weder das eine noch das andere interessiert. Sie wollen keine Diktatoren stürzen und keine Konten plündern. Sie wollen nur eines: lachen. Auf Kosten aller anderen.
Fünfzig Tage lang kapern sechs junge Männer aus ihren abgedunkelten Zimmern heraus die Server von Fernsehsendern, Unterhaltungsgiganten, Polizeibehörden und Geheimdiensten. Sie führen die Sicherheitsapparate der westlichen Welt vor wie schwerfällige Tanzbären. Ihr Schlachtruf heißt „For the Lulz“ – eine Verballhornung des Internetkürzels LOL, Laugh Out Loud. Es ist das Prinzip der reinen Schadenfreude.
Dass diese beispiellose Kaperfahrt durch das Weltnetz überhaupt gelingen kann, liegt an der maßlosen Selbstüberschätzung ihrer Opfer. Dass sie nach exakt fünfzig Tagen im Gefängnis endet, liegt an banalen menschlichen Schwächen: einem einzigen Klick ohne digitale Tarnkappe, dem Prahlen in nächtlichen Chats, unvorsichtigen Pizzabestellungen – und an einem Anführer, der seine Mannschaft längst an das FBI verkauft hat, während er auf der Kommandobrücke noch die Befehle brüllt.
Das Schiff der Schadenfreude
Die Geschichte von LulzSec – kurz für Lulz Security – beginnt in den digitalen Schützengräben von Anonymous. Im Winter 2010 führen Tausende Netzaktivisten unter diesem Namen einen digitalen Vergeltungsschlag. Weil Finanzkonzerne wie Visa, MasterCard und PayPal die Spendenkonten der Enthüllungsplattform WikiLeaks eingefroren haben, legen die Aktivisten deren Webseiten durch massenhafte Anfragen lahm.
Doch in den überfüllten Chaträumen von Anonymous geht es chaotisch zu. Tausende Teenager diskutieren endlos über Politik, Moral und Pressefreiheit, während nur eine Handvoll fähiger Programmierer die eigentliche Arbeit erledigt. Im Frühjahr 2011 verlieren sechs dieser Spezialisten die Geduld mit der Basisdemokratie. Sie ziehen sich in einen eigenen, passwortgeschützten Kanal im Internet Relay Chat (IRC) zurück.
Die sechs kennen weder die echten Namen noch die Gesichter der anderen. Sie verkehren ausschließlich unter ihren Pseudonymen: „Sabu“, „Kayla“, „Topiary“, „Tflow“, „pwnsauce“ und „palladium“. Was sie verbindet, ist ihr technisches Können und ein zynischer Sinn für Humor. Als Logo wählen sie eine Strichzeichnung: Ein Mann mit Zylinder, Monokel und einem Schwenker in der Hand. Sie nennen ihr Projekt „The Lulz Boat“ – das Kreuzfahrtschiff des Gelächters.
Ihr erster großer Streich trifft Ende Mai 2011 den öffentlichen US-Fernsehsender PBS. Der Sender hatte kurz zuvor eine Dokumentation über WikiLeaks ausgestrahlt, die den Hackern missfiel. Noch während die Sendung im Fernsehen läuft, brechen Sabu und seine Leute in die Server von PBS ein. Sie stehlen interne Passwörter und kapern das Redaktionssystem. Wer in jener Nacht die Webseite des seriösen Senders aufruft, liest dort eine Eilmeldung: Der 1996 erschossene Rapper Tupac Shakur sei keineswegs tot. Er lebe gemeinsam mit seinem ebenfalls verstorbenen Kollegen Biggie Smalls wohlbehalten in einer Kleinstadt in Neuseeland.
Die Weltpresse greift den Streich amüsiert auf. Am nächsten Tag wendet sich die Gruppe einem Ziel zu, bei dem der Spaß für die Betroffenen endgültig aufhört.
Sony am Pranger
Am 2. Juni 2011 veröffentlicht LulzSec eine Beuteliste, die in den Vorstandsetagen von Tokio bis Los Angeles für Schnappatmung sorgt. Die Gruppe ist in die Server von Sony Pictures eingebrochen.
Um in das Herz des Unterhaltungskonzerns vorzudringen, brauchten die Hacker keine hochkomplexe Spionagesoftware. Es genügte eine sogenannte SQL-Injection – ein alter, seit Jahren bekannter Standardtrick, bei dem man über ein ungesichertes Eingabefeld auf einer Webseite direkte Befehle an die dahinterliegende Datenbank schickt.
Was die Eindringlinge in den Datenbanken von Sony vorfinden, gleicht einer offenen Schatzkammer. Der Weltkonzern hat die Daten von über einer Million Kunden völlig unverschlüsselt im Klartext abgespeichert. Namen, Geburtsdaten, Wohnadressen, E-Mail-Konten und Passwörter liegen dort wie auf dem Präsentierteller. LulzSec lädt die Daten herunter, schnürt sie zu handlichen Paketen und stellt sie für jedermann sichtbar ins Netz. Dazu veröffentlichen sie eine Pressemitteilung, in der sie den Konzern genüsslich verhöhnen: Warum man einem Unternehmen vertrauen solle, das sich nicht einmal gegen den simpelsten Angriff der Welt schützen könne?
Für die Öffentlichkeit wirkt LulzSec in diesen Juni-Tagen wie ein übermächtiges Phantom. Am 3. Juni brechen sie bei InfraGard ein, einer Partnerorganisation des FBI in Atlanta. Am 13. Juni veröffentlichen sie interne Netzwerkdaten des US-Senats. Zwei Tage später, am 15. Juni, richten sie ihre Waffen auf das Hauptquartier des amerikanischen Auslandsgeheimdienstes in Langley. Über Stunden hinweg ist die öffentliche Webseite der CIA nicht mehr erreichbar. Auf Twitter kommentiert die Gruppe den Ausfall mit einer kurzen Zeile im Militärjargon: „Tango down – cia.gov – for the lulz.“
Hinter diesem Twitter-Konto, dem binnen weniger Wochen fast eine Viertelmillion Menschen folgen, sitzt ein Achtzehnjähriger namens Jake Davis, im Netz bekannt als „Topiary“. Er lebt auf den schottischen Shetland-Inseln, einem windigen Archipel zwischen Schottland und Norwegen, auf dem es mehr Schafe als Menschen gibt. Aus seinem kleinen Zimmer heraus formuliert Davis die spöttischen Botschaften, die LulzSec den Status von Popstars des Untergrunds verleihen.
Das technische Muskelpaket der Gruppe sitzt derweil im nordenglischen Mexborough, einer ehemaligen Bergbaustadt in South Yorkshire. Sein Name ist Ryan Ackroyd, sein Pseudonym im Chat lautet „Kayla“. Ackroyd ist vierundzwanzig Jahre alt und diente früher als Fernmeldetechniker bei den Royal Signals der britischen Armee, unter anderem im Irak. Er ist der Mann, der die Server aufbricht. Und er verfügt über eine Waffe, von der selbst Geheimdienste nur träumen: Ein sogenanntes Botnetz aus rund 800.000 gekaperten Privatcomputern auf der ganzen Welt. Ackroyd hatte die Schadsoftware unter anderem über manipulierte Erweiterungen für das Online-Rollenspiel World of Warcraft verbreitet. Wenn Kayla den Befehl gibt, feuern fast eine Million nichtsahnender Heimcomputer gleichzeitig Datenpakete auf ein Ziel ab, bis selbst die Leitungen der CIA unter der Last zusammenbrechen.
Und an der Spitze dieser unsichtbaren Armee steht „Sabu“.
Der Mann in Apartment 6C
Im Chat inszeniert sich Sabu als unerschrockener Freiheitskämpfer aus Puerto Rico, als Meisterstratege, der aus dem Schatten heraus Imperien stürzt. Die anderen Mitglieder blicken zu ihm auf. Er gibt den Ton an, wählt die Ziele aus und entscheidet, wer zum inneren Kreis gehört.
Die Realität hinter dem Bildschirm sieht anders aus. Sabu heißt mit bürgerlichem Namen Hector Xavier Monsegur. Er ist achtundzwanzig Jahre alt, hat puertoricanische Wurzeln und lebt im sechsten Stock eines Sozialwohnungsblocks in der Lower East Side von Manhattan. Monsegur hat keinen festen Job. Er hält sich mit Gelegenheitsarbeiten im Netz und dem Verkauf von Hehlerware über Wasser, seine Miete ist im Rückstand, der Putz bröckelt von den Wänden.
Doch Monsegur trägt eine Verantwortung, von der seine Kumpane im Internet nichts wissen. Nachdem seine Tante wegen Drogendelikten im Gefängnis gelandet ist, hat er die Rolle des Ersatzvaters für seine beiden kleinen Cousinen übernommen. Er kocht für die Mädchen, bringt sie zur Schule und versucht mit allen Mitteln zu verhindern, dass das Jugendamt die Kinder in staatliche Pflegefamilien steckt.
Monsegur ist ein vorsichtiger Mann. Wenn er sich an den Rechner setzt, schaltet er stets mehrere Proxy-Server und Verschlüsselungsdienste zwischen sich und das Internet, um seinen Standort in New York zu verschleiern. Doch im Frühjahr 2011 macht er einen einzigen Fehler. An einem Nachmittag richtet er seinen neuen Server ein und loggt sich für einen kurzen Moment direkt in das Chat-System ein, bevor er seine digitale Tarnkappe aktiviert hat.
Dieser eine Moment genügt. In den Protokollen des Servers bleibt eine unverschleierte IP-Adresse zurück. Und diese Adresse führt die Ermittler der Cyber-Abteilung des FBI direkt zu den Sozialbauten an der Kreuzung Avenue C und East 6th Street in Manhattan.
Hinzu kommt, dass Sabu und seine Mitstreiter längst nicht mehr nur von der Polizei gejagt werden. Eine Gruppe selbsternannter Sicherheitsforscher und rivalisierender Hacker, die sich Backtrace Security nennt, hat den Piraten den Krieg erklärt. Sie schleusen sich in die offenen Chaträume ein, sammeln jedes noch so winzige biografische Detail und setzen die Puzzleteile zusammen.
Dabei helfen den Jägern die profansten Gewohnheiten ihrer Beute. Wer nächtelang vor dem Monitor sitzt und Firmennetzwerke aufbricht, bekommt irgendwann Hunger. In den Chats wird über Lieferdienste geplaudert, es werden Scherze über Pizzabestellungen gemacht, manchmal schickt man sogar einer Zielperson hundert unbezahlte Pizzen an die Haustür, um sie zu verhöhnen. Doch jede Bestellung in der realen Welt braucht eine Postleitzahl, ein Liefergebiet, eine hinterlegte E-Mail-Adresse oder eine Telefonnummer.
Bereits im März 2011 veröffentlichen die Jäger von Backtrace Security ein Dossier im Internet. Darin verknüpfen sie alte Forenbeiträge, Registrierungsdaten von Internetdomains und die lokalen Spuren aus New York. Ihr Ergebnis: Hinter dem großen „Sabu“ steckt Hector Monsegur aus Manhattan. Und hinter „Kayla“ verberge sich ein Brite namens Ryan, der eine alte E-Mail-Adresse aus seiner Armeezeit leichtsinnig mit einem seiner früheren Spitznamen („olol“) verknüpft hatte. In der Hackerszene lacht man die Enthüllung zunächst weg. Doch beim FBI liest man sehr genau mit.
Klopfen an der Tür
Am Abend des 7. Juni 2011 – LulzSec hat gerade erst Sony gedemütigt und steht auf dem Zenit seines Ruhms – verlässt Hector Monsegur kurz seine Wohnung, um in einem Laden an der Ecke etwas zu besorgen. Als er auf die Straße tritt, lösen sich Männer in dunklen Jacken aus dem Schatten. Spezialagent Keith Mularski vom FBI und sein Team umstellen ihn.
Es gibt kein Handgemenge, keine Schüsse. Monsegur führt die Beamten widerstandslos hinauf in sein Apartment im sechsten Stock. Während Techniker des FBI seine Festplatten sichern, sitzt Monsegur am Küchentisch. Die Agenten legen die Karten auf den Tisch. Sie haben seine Verbindungsdaten, sie haben die Beweise für die Einbrüche bei Sony, PBS und dem FBI-Partner InfraGard. Auf die Straftaten, die sie ihm nachweisen können, stehen in Summe bis zu 124 Jahre Bundesgefängnis.
Monsegur weiß, dass sein Leben vorbei ist. Doch die Agenten kennen seinen wunden Punkt. Sie müssen ihm nicht mit Gewalt drohen; sie sprechen schlicht über seine beiden kleinen Cousinen, die im Nebenzimmer schlafen. Wenn Monsegur in dieser Nacht in Untersuchungshaft wandert, kommt morgen früh die Fürsorge und holt die Kinder ab.
Gegen Mitternacht bricht der Anführer von LulzSec zusammen. Noch in seiner Küche unterschreibt er eine Kooperationsvereinbarung. Um seine Familie zu retten, wird Sabu zum Maulwurf der Regierung.
Als sich „Sabu“ am nächsten Tag, dem 8. Juni, wieder im geheimen Chatraum von LulzSec anmeldet, ahnen Kayla, Topiary und Tflow nichts von dem Drama in Manhattan. Ihr Kapitän ist wieder an Bord, wortgewandt und angriffslustig wie immer. Sie wissen nicht, dass Monsegur ab sofort an einem vom FBI überwachten Laptop sitzt und Spezialagent Mularski jedes getippte Wort in Echtzeit mitliest.
Die Falle schnappt zu
Ab diesem Moment verändert sich der Charakter der Operation. Das FBI lässt LulzSec nicht sofort hochgehen. Um die ausländischen Mitglieder der Gruppe vor Gericht bringen zu können, brauchen die Ermittler in Großbritannien und Irland gerichtsfeste Beweise. Sie müssen die echten Personen hinter den Pseudonymen zweifelsfrei mit den Computern verknüpfen, von denen die Angriffe ausgehen. Und genau diese Beweise soll Sabu nun beschaffen.
Es beginnt ein wochenlanges Katz-und-Maus-Spiel im Chat. Unter der Anleitung der Bundesagenten verwickelt Monsegur seine engsten Freunde in scheinbar beiläufige Gespräche über ihr Privatleben. Er fragt nach dem Wetter, nach Hobbys, nach alten Geschichten.
Am 20. Juni 2011 schlägt die Polizei zum ersten Mal sichtbar zu. Im englischen Wickford stürmen Beamte von Scotland Yard das Elternhaus des neunzehnjährigen Ryan Cleary, der für LulzSec Server und Datenleitungen bereitgestellt hat. Was die Polizisten dort vorfinden, entzaubert den Mythos der weltgewandten Meisterkriminellen endgültig: Cleary leidet unter schwerer Agoraphobie, einer krankhaften Angst vor der Außenwelt. Seit Jahren hat er sein abgedunkeltes Kinderzimmer kaum verlassen. Seine Mutter glaubte, ihr Sohn spiele hinter der geschlossenen Tür lediglich Videospiele, während er in Wahrheit das Netzwerk der britischen Behörde gegen organisierte Kriminalität beschoss.
Die Verhaftung von Cleary und die immer präziseren Enthüllungen durch rivalisierende Gruppen lassen die Nerven auf dem „Lulz Boat“ blankliegen. Die Luft wird dünn. Am 25. Juni 2011, exakt fünfzig Tage nach ihrem ersten Auftritt, zieht die Gruppe die Notbremse. In einer letzten Botschaft verkünden sie das Ende ihrer Reise: „Unsere geplante 50-tägige Kreuzfahrt ist abgelaufen, und wir müssen nun in die Ferne segeln.“
Die Welt atmet auf, die Piraten scheinen verschwunden. Doch das FBI ist noch nicht fertig.
Monsegur erhält von seinen Führungsbeamten den Auftrag, die alten Mitstreiter und neue radikale Hacker wie den politischen Aktivisten Jeremy Hammond aus Chicago unter einem neuen Banner wieder zusammenzutrommeln: Operation AntiSec. Das FBI stellt Monsegur sogar einen eigenen Server zur Verfügung. Wann immer Kayla, Hammond oder andere Hacker in den folgenden Monaten Daten erbeuten – darunter Millionen E-Mails und Kreditkartendaten des privaten US-Nachrichtendienstes Stratfor –, befiehlt Sabu ihnen, die Beute auf seinen sicheren Server hochzuladen. Die Hacker liefern die Beweise für ihre eigene Verurteilung frei Haus direkt auf die Festplatten der US-Justiz.
Unterdessen ziehen sich die Schlingen in Großbritannien zu. Am 27. Juli 2011 reisen Ermittler aus London bis auf die entlegenen Shetland-Inseln und nehmen den achtzehnjährigen Pressesprecher Jake Davis („Topiary“) fest. Als die Beamten die Tür öffnen, sitzt Davis ruhig vor seinem Bildschirm. Seinen letzten Tweet hatte er wie ein Vermächtnis formuliert: „Man kann eine Person verhaften, aber man kann keine Idee verhaften.“
Schwieriger gestaltet sich die Jagd auf „Kayla“. Ryan Ackroyd ist vom Militär geschult, seine Festplatten sind schwer verschlüsselt, er gibt kaum etwas über sich preis. Doch gegenüber seinem Freund Sabu lässt er im Lauf des Sommers die Deckung sinken. Im privaten Chat erzählt er Monsegur, dass er früher als Nachrichtentechniker bei der britischen Armee im Irak war. Er erwähnt seinen Wohnort in der Nähe von Doncaster, plaudert über Gerichtstermine und schickt Sabu schließlich sogar ein Foto einer jungen Frau, mit der er sich trifft. Für die Forensiker bei Scotland Yard und dem FBI reichen diese Brotkrumen aus, um die alten Spuren der E-Mail-Adresse „olol“ endgültig mit dem Haus von Ryan Ackroyd in Mexborough zu verknüpfen.
Der Morgen des Verrats
Am Morgen des 6. März 2012 ist das Spiel vorbei. Im Morgengrauen rücken Spezialeinheiten in Großbritannien, Irland und den Vereinigten Staaten gleichzeitig aus.
In Mexborough klicken die Handschellen für Ryan Ackroyd. Im Süden Londons verhaften Beamte den erst sechzehnjährigen Schüler Mustafa Al-Bassam („Tflow“), der neben seinen Hausaufgaben für das Abitur die Webseite von LulzSec programmiert hatte. In Dublin werden die beiden irischen Komplizen festgenommen, in Chicago stürmt ein schwer bewaffnetes Einsatzkommando des FBI die Wohnung von Jeremy Hammond.
Wenige Stunden nach den Razzien tritt die US-Staatsanwaltschaft in New York vor die Mikrofone und lässt die Bombe platzen: Man habe nicht nur die Köpfe von LulzSec gefasst – ihr eigener Anführer „Sabu“ habe seit neun Monaten für die Regierung gearbeitet und jeden einzelnen von ihnen ans Messer geliefert.
In der weltweiten Hackerszene bricht ein Sturm aus Entsetzen und Wut los. Der gefeierte Held des Untergrunds entpuppt sich als der größte Spitzel in der Geschichte der Cyberkriminalität.
Ein Jahr später, im Frühjahr 2013, sitzen sich die ehemaligen Besatzungsmitglieder des „Lulz Boat“ auf der Anklagebank des Southwark Crown Court in London zum ersten Mal im echten Leben gegenüber. Es sind keine Superschurken, die dort in schlecht sitzenden Anzügen vor dem Richter stehen, sondern blasse, schüchterne junge Männer, die im Internet nach einer Bedeutung gesucht hatten, die ihnen das echte Leben verwehrte.
Da ihre Festplatten mit einem Passwort von über fünfzig Zeichen gesichert sind, weigern sich einige bis zuletzt, den Ermittlern Einblick in ihre privaten Daten zu gewähren. Doch die abgefangenen Chat-Protokolle aus New York sind erdrückend. Alle bekennen sich schuldig.
Am 16. Mai 2013 verkündet der Richter in London das Urteil: Ryan Ackroyd („Kayla“) muss für dreißig Monate ins Gefängnis, Ryan Cleary erhält zweiunddreißig Monate, Jake Davis („Topiary“) wird zu vierundzwanzig Monaten in einer Jugendstrafanstalt verurteilt. Der Schüler Mustafa Al-Bassam kommt aufgrund seiner Jugend mit einer Bewährungsstrafe davon. Noch härter trifft es wenige Monate später den Amerikaner Jeremy Hammond in New York: Er wird zu zehn Jahren Bundesgefängnis verurteilt.
Der Preis der Freiheit
Und was geschieht mit dem Kapitän, der als Erster von Bord ging?
Drei Jahre lang arbeitet Hector Monsegur im Verborgenen für das FBI. Er schläft kaum, sitzt Nacht für Nacht vor dem Bildschirm und hilft den Behörden dabei, weltweit über dreihundert geplante Cyberangriffe im Keim zu ersticken – darunter Attacken auf das US-Militär, auf das Kongressgebäude, auf Gerichte und auf die Steuerung eines städtischen Wasserwerks. Zwischendurch muss das FBI ihn und seine kleinen Cousinen sogar an einen geheimen Ort umsiedeln, weil seine Tarnung auffliegt und Rachedrohungen aus dem Netz eingehen.
Am 27. Mai 2014 steht Monsegur schließlich vor Richterin Loretta Preska am Bundesgericht in Manhattan. Die Staatsanwaltschaft hält eine ungewöhnliche Lobrede auf den Angeklagten: Ohne Monsegurs unermüdlichen Einsatz wären Schäden in Millionenhöhe entstanden, seine Kooperation sei von historischem Ausmaß gewesen.
Richterin Preska folgt dem Antrag der Ankläger. Sie verurteilt Hector Monsegur zu „Time Served“ – jenen sieben Monaten, die er zwischendurch wegen eines formalen Verstoßes gegen seine Kautionsauflagen bereits abgesessen hatte – sowie zu einem Jahr unter Bewährungsaufsicht.
Als Monsegur an diesem Frühlingstag das Gerichtsgebäude in Manhattan verlässt, ist er ein freier Mann. Er hat seine Familie gerettet und die mehr als hundert Jahre Gefängnis abgewendet, die über seinem Kopf schwebten. Doch der Preis dafür ist hoch: In der Welt, in der er einst ein König war, ist sein Name für immer verbrannt.
Die 50-tägige Fahrt von LulzSec hat die digitale Welt dauerhaft verändert. Sie hat Konzernen und Regierungen schmerzhaft vor Augen geführt, wie morsch ihre digitalen Schutzmauern waren. Und sie hat den Hackern im Untergrund eine Lektion erteilt, die kein Verschlüsselungsprogramm der Welt lösen kann: Am anderen Ende der Leitung weißt du nie, wer wirklich neben deinem besten Freund am Bildschirm sitzt. Manchmal reicht ein einziger vergessener Klick – und der Kapitän arbeitet für die andere Seite.