Namen, Berufsbezeichnungen, Bürostandorte und Telefonnummern von mehr als 41.000 Mitarbeitern und Auftragnehmern des US-Heimatschutzministeriums (Department of Homeland Security, DHS) wurden am Mittwoch online von einer Transparenzorganisation veröffentlicht, nach deren Angaben die Daten von einer politisch motivierten Hackergruppe übergeben wurden.

Die Organisation Distributed Denial of Secrets veröffentlicht geleakte Dokumente und hat zuvor bereits große Datensätze US-amerikanischer Strafverfolgungsbehörden veröffentlicht, darunter 2020 Polizeidaten. Die DHS-Materialien erschienen am 28. Oktober unter dem Namen Icepick. Nach Angaben der Organisation nahmen die Hacker, die sich Department of Peace nennen, die Daten aus einem von DHS genutzten Okta-Single-Sign-on-Dienst – einem Anmeldesystem, mit dem Mitarbeiter über ein Konto auf viele interne Tools zugreifen können und das typischerweise ein Profil für jeden verwalteten Mitarbeiter speichert. Hacktivisten sind Hacker, die von Politik statt von Profit angetrieben werden.

Okta, das Unternehmen hinter dem Anmeldedienst, bestritt die Darstellung. „Okta ist sicher, und wir haben keine Hinweise darauf, dass unsere Daten oder Systeme kompromittiert wurden“, erklärte das Unternehmen gegenüber Reuters. Die Anmeldesoftware des in San Francisco ansässigen Unternehmens bildet die Grundlage für Mitarbeiter-Logins bei Tausenden Organisationen weltweit.

Department of Peace erklärt, nach der Ankündigung von Heimatschutzminister Markwayne Mullin gehandelt zu haben, die Operationen der Immigration and Customs Enforcement (ICE) auszuweiten. „Am 17. Juli sagte Markwayne Mullin, er werde ‚die Hitze erhöhen‘. Das passiert mit ICE, wenn man das tut“, sagte ein Sprecher der Gruppe. „Sie haben unsere Daten, also ist es nur fair, dass wir ihre haben“, schrieben die Hacker.

Das durchsuchbare Archiv umfasst 41.191 Personen, darunter 21.329 vom Customs and Border Protection und etwa 10.000 von ICE – ein Drittel davon aus dessen Ermittlungseinheit Homeland Security Investigations. Es listet zudem mehr als 55.000 interne Berechtigungsgruppen auf – Bezeichnungen, die steuern, wer auf welche Systeme zugreifen darf –, jeweils zusammen mit Name, Titel, Büro, E-Mail, Telefonnummer und Vorgesetztem der einzelnen Personen. DDoSecrets-Mitgründerin Emma Best sagte, der Datensatz enthalte keine Privatadressen.

DHS ist für Grenzschutz, Vollzug des Einwanderungsrechts und Cybersicherheit zuständig – einschließlich der Cybersecurity and Infrastructure Security Agency, der Cyberabwehr der Bundesregierung –, sodass die Datei wie ein Verzeichnis wirkt, das zeigt, wer was tut, wem wer Bericht erstattet und wie man wen erreicht. Transparenzgruppen sagen, die Kontaktdaten seien für Anfragen nach öffentlichen Aufzeichnungen nützlich. Sicherheitsforscher warnen jedoch, dieselbe Liste könne jedem helfen, der sich am Telefon als Vorgesetzter ausgeben oder herausfinden will, wer hinter einer sensiblen Untersuchung steckt.

„DHS ist sich einer möglichen Sicherheitsverletzung bewusst und arbeitet aktiv daran, die Situation rasch und wirksam zu adressieren“, erklärte ein Sprecher des Ministeriums. DHS hat zudem über das Sicherheitsunternehmen ZeroFox eine Takedown-Aufforderung eingereicht, mit der Bitte an den Domain-Registrar, Kontakt- und Standortdaten von Personen, die der Veröffentlichung nicht zugestimmt haben, nicht mehr bereitzustellen. Da Hacker und Okta konkurrierende Darstellungen liefern, bleibt die Frage, wie die Daten beschafft wurden, die zentrale offene Frage – die Erkenntnisse aus der Reaktion des Ministeriums oder weitere Belege der Unternehmen könnten sie klären.

Die auf den Daten aufgebaute Suchseite funktionierte ab Donnerstag nicht mehr, ihre Domain zeigt eine Registrar-Sperre, und Bluesky blockiert Links zu der Organisation, die das Archiv hostet. Eine Stichprobe benannter Mitarbeiter konnte anderen Datensätzen zugeordnet werden, doch das vollständige Archiv ist nicht verifiziert.

Die Veröffentlichung folgt einem ähnlichen Vorfall im September, als die Cyberkriminalitätsgruppe ShinyHunters behauptete, 2 bis 3 Terabytes an Daten zu FBI-Agenten und Bewerbern zu besitzen, woraufhin das Bureau seine Mitarbeiter anwies, davon auszugehen, dass Hacker ihre persönlichen Daten besitzen – der zweite Vorfall dieser Art binnen zwei Monaten, in dem Hacker persönliche Daten von US-Bundesangestellten behaupteten oder veröffentlichten.

Die neuesten Datensätze im Icepick-Archiv stammen vom 19. August, und einige Einträge – darunter CISA-Mitarbeiter, die zwischenzeitlich die Behörde verlassen haben – sind bereits veraltet, sodass einige Eintragungen möglicherweise nicht mehr widerspiegeln, wer derzeit ein bestimmtes Amt oder eine bestimmte Telefonnummer innehat.