Daten im Netz, ein Junge tot, das Internet hat einen Skandal, der als „SchülerVZ-Datenklau“ Medien und Juristen beschäftigt.

Viele haben es im Radio gehört, ungläubig staunend, hoffentlich, oder im Fernsehen gesehen, werden es im Spiegel lesen. Der Skandal, der in die deutsche Internetgeschichte als „SchülerVZ-Datenklau“ Einzug gehalten hat. Doch was steckt hinter dem von den Medien so genannten „Datenklau“? Ist es überhaupt einer? Fest steht bisher wenig – außer dem tragischen Tatbestand, dass es einen Toten gegeben hat. Ein Opfer des Internet? Bisher noch nicht gestellt wurden die Fragen, ob Täter und Opfer identisch sind, ob der Täter überhaupt ein Täter oder nicht vielleicht ausschließlich ein Opfer gewesen ist, und ob die Täter nicht vielleicht ganz woanders zu suchen sind.

Wir gehen analytisch-prognostisch an diese Tragödie heran. Getrieben von dem Willen, zu wissen, wie es wirklich gewesen sein könnte.

Zur Story: Ein junger Programmierer, gerade 20 Jahre alt, wurde im September 2009 wegen des Tatverdachts festgenommen, die Internet-Schüler-Community SchülerVZ erpresst zu haben. Noch während er in U-Haft war, beging er Selbstmord in seiner Zelle. Der bis vor kurzem in Erlangen Ansässige war wahrscheinlich selbst Schüler, denn er besaß persönliche Zugangsdaten zu der Community, die er legal erworben hatte. In der Community selbst sind im Prinzip nur Schüler zugelassen. Das heißt allerdings nicht, dass manche User schon längst aus dem Schulalter herausgewachsen sein können.

Als der junge Programmierer eines Tages einen selbst programmierten Such-Roboter, auch Crawler genannt, auf den Server von SchülerVZ loslässt, greift dieser auf mehr als 100.000 Profile und deren Daten zu, die er auf den Server seines Schöpfers, des jungen Programmierers, lud. Bis hierhin herrscht Einigkeit in der Sachschilderung.

Von hier an aber wird vieles nebulös.

Mit den Daten, die er geklaut habe, habe er der Community gedroht. Er habe gar 80.000 Euro verlangt, gesagt, sonst wolle er die geklauten Daten ins Ausland verkaufen, etwa nach Osteuropa. Diesen Eindruck vermitteln zumindest die Medien, die sich dabei zumeist auf die Community SchülerVZ und deren Angaben berufen.

Der Anwalt des Verstorbenen, Ulrich Dost, sieht das ganz anders. In einer Pressemitteilung betont er: „Seit zwei Wochen berichten die Medien über einen angeblichen Datenklau…“. „Datenklau“, wie ihn die Medien bezeichnen, heißt demnach im Gesetzbuch „Ausspähen von Daten“. Und erst wenn die Kriterien erfüllt seien, wäre über eine Haftstrafe nachzudenken. Rechtsanwalt Ulrich Dost schreibt: „Ein Ausspähen von Daten im strafrechtlichen Sinn ist nur dann gegeben, wenn die Daten besonders gesichert sind und sie sich ein Unbefugter durch Überwindung der Zugangssicherung verschafft.“

Wir halten fest: Wenn das so ist, so wäre eine Haftstrafe im gegebenen Fall des jungen Programmierers völlig unangemessen, denn ein Crawler macht nichts anderes als das, was auch wir manuell machen, wenn wir ins Internet gehen. Der Crawler öffnet Links, liest Texte, die vorhanden sind, schaut sich Bilder an usw. Der Crawler überwindet also keinen Passwortschutz und hackt sich auch durch keine Firewall. Crawler sind im Internet vielerorts vertreten. Viele bekannte Suchmaschinen benutzen solche Roboter, Google ist darunter nur eine, ohne dass deren Betreiber darob des Datenklaus bezichtigt werden. Ihre Roboter durchsuchen Seiten und listen sie geordnet auf; dies eben samt aller sichtbarer Inhalte. Mit Rechtsbruch hat das nach herrschender Auffassung nichts, aber auch gar nichts zu tun.

Wodurch also unterscheidet sich der rechtmäßige Google-Crawler von dem des jungen – und leider toten – Programmierers, den die SchülerVZ und viele Medien als „Datenklaumaschine“ bezeichnen? Nun, Communitys wie SchülerVZ setzen grundsätzlich eine Grenze für derlei Crawler. Möglich ist dies z.B. über eine Text-Datei, die sich robots.txt nennt. In ihr sind Pfade zu den Daten und Seiten registriert, die die Crawler ignorieren sollen.

Da der junge Programmierer aber seinen eigenen Crawler geschrieben hat und auch Zugangsdaten zu der Community hatte, konnte sein Crawler alles das einsehen, was sein Erfinder, das junge Genie, auch selbst hätte einsehen können, hätte er eigenhändig geklickt. Einziger Unterschied: Ein Crawler tut dies schneller. Die Frage ist nun: Ist das eine Straftat?

Man kann dazu prinzipiell sagen: Im Internet gibt es nur systembedingte „Tempolimits“. Im Gegensatz zum Auto im Straßenverkehr ist ein Crawler im Internet, nur weil er schneller ist als sein „Lenker“, nicht schon damit ein Gesetzesbrecher. Ein Autofahrer, der in der Tempo-30-Zone eines Wohngebietes 50 km/h schnell ist, ist ein Verkehrssünder – und wird gesetzlich belangt. Im Internet aber ist der Schnellere geradezu gesucht: Wer schneller ist, ist besser, nicht aber krimineller. Und unser Programmierer hat nichts als das Tempo seiner eigenhändigen Suche beschleunigt, ist also demnach keineswegs ein Straftäter.

Nun soll die eigentliche Straftat gewesen sein, dass der Mann mit dem Wissen, das ihm der Crawler zugesammelt hatte, einen „Erpressungsversuch“ unternommen hat. Seitens des Verstorbenen heißt es, dass das nicht stimmt. Er habe niemals versucht, jemanden zu erpressen. Vielmehr habe er die Community SchülerVZ von den Resultaten der Suche seiner „eigenhändigen“ Crawler-Arbeit unterrichtet – also diese auf eine Systemlücke aufmerksam gemacht. Die Community fühlte sich offensichtlich ertappt, reagierte nicht dankbar, wie es angemessen wäre, sondern wollte ihr Versäumnis unter der Decke halten, die Daten der SchülerVZ zu schützen, wie es das Gesetz verlangt. Also habe man ihm seitens der Community ein „Schweigegeld“ angeboten. Eine Summe hat der Programmierer nicht genannt. Sein Rechtsanwalt, Dost, schreibt zur Darstellung der SchülerVZ: „Danach soll Daniel von dem die Plattform betreibenden Unternehmen eine Zahlung von 80.000 € gefordert oder andernfalls die Veröffentlichung der Daten im Netz angedroht haben .(…) Für ein Unternehmen, das den Usern eine solche Plattform kostenlos zur Verfügung stellt und sich vor allem über die Werbung auf der Plattform finanziert, sind die User das Kapital. Sinkt die Zahl der User, etwa durch negative Berichterstattung in den Medien, sinken auch die Werbeeinnahmen.“

Das wirft die Frage auf, ob eine Erpressung tatsächlich stattgefunden hat. Wäre sie plausibel?

Die Betreiber streiten den Vorwurf vom Schweigegeld weit ab. Markus Berger-de León, CEO VZ-Netzwerke: „Die Vorwürfe des Anwalts Ulrich Dost sind ebenso unglaublich wie haltlos.“ Damit steht Aussage gegen Aussage. Doch leider wiegt die Meinung eines CEOs  (Chief Executive Officer, zu deutsch: Vorstand) wesentlich schwerer als die eines einzelnen, jungen Mannes.

Mit dem Verfahren gegen ihn verflogen also auch die Zukunftspläne des durch eigene Hand Verstorbenen. Viele Fragen werden nur noch von denjenigen beantwortet werden können, die noch nicht tot sind: den Vertretern der SchülerVZ und ihren Deputierten. Man wird es nicht ändern können, dass deren Darstellung immer perspektivisch dem eigenen Ziel dient.

So weit, so schlecht.

Wir bleiben also in Zweifel und fragen uns, was plausibel ist.

Höchstwahrscheinlich hätte der talentierte, junge Programmierer seine Zukunft im IT-Bereich gesucht. Dafür braucht man ein blitzsauberes Führungszeugnis. Genauer genommen, ein blankes Blatt Papier. Der kleinste Makel behindert eine Karriere in diesem Bereich nachhaltig. Die Erfolgschancen auf einen ordentlichen Job waren für den Verstorbenen allein schon durch die Vorwürfe und Anschuldigungen beträchtlich gefallen, ja, man kann schon sagen, sie sind in den Keller gekracht. Ob das ein Grund für den Selbstmord des jungen Mannes gewesen sein könnte?

Auf einem Webblog veröffentlichte jemand, dass er Daten aus dem SchülerVZ besessen habe. Ganze Datensätze von mehr als 100.000 User-Profilen. Auf den ersten Blick würde jeder meinen, das wäre der Blog des Verstorbenen gewesen. Tatsächlich aber, hat sich wohl noch jemand Daten aus der Community mit einem Crawler besorgt. Der besagte User lebt angeblich in Süddeutschland. Hinweise verschiedener Seiten deuten darauf hin, dass dies auch zutrifft. Dieser zweite „Täter“, der ebenfalls nichts anderes getan hat, als zu klicken, hat die Daten angeblich geladen, um Sicherheitslücken aufzuzeigen. Er hätte die Community mehrmals auf diese Lücke hingewiesen, doch die SchülerVZ habe einfach nicht auf seinen Hinweis reagieren wollen, hieß es.

Also sendete der Täter dem Gründer des Blogs netzpolitik.org, Markus Beckedahl, 1,6 Millionen Datensätze, die jeweils einen Namen, Schule und eine User-ID beinhalteten. Mehrere Tausend davon sogar Geburtsdatum, Geschlecht und das Profilfoto der jeweiligen Person. Diese Daten allerdings, seien bereits gelöscht, so Beckedahl.

Im Blog des zweiten „Täters“, welcher nicht mehr aufzurufen ist, schrieb er, dass er einen Downloadlink zu seiner erworbenen Datenbank in ein passwortgesichertes Hacker-Forum gepostet habe. Diesem Link folgend, sollen die Daten bereits 17 mal heruntergeladen worden sein.

SchülerVZ errichtete daraufhin als Sicherungs-Maßnahme „Hürden“, die es erschweren sollen, auf die Daten zuzugreifen. Außerdem wird jede UserID geändert, als Gegenmaßnahme zu den Datenkopien. Auch gegen Crawler hat sich SchülerVZ gerüstet, und zwar mit einem Captcha-System. Captchas sind schwer erkennbare Buchstaben und Ziffern, die von Robotern nicht entziffert werden können, soweit sie darauf nicht extra spezialisiert sind. Menschen dagegen, erkennen das Captcha rasch. Erst nach Eingabe und Bestätigung des Captchas, kann man auf der Seite fortfahren.

Das alles in Betracht gezogen, erkennt man, dass relevante Fragen aufkommen, die durch alle bisherigen „Erkenntnisse“ kaum zu beantworten sind. Es bleibt etwa die Frage, wieso ein 20 jähriger Mann 80.000 Euro verlangt haben will. Wäre es nicht logischer, plausibler auch, mit einer glatten Summe von etwa 100.000 aufzutreten? Hatte er genau 80.000 Euro nötig?  <//span>Oder warum versucht dieser Mann alleine, ohne jegliche Absicherung, eine ganze Community zu erpressen?

Schockieren sollte es überdies, zu sehen, wie schnell ein talentierter Mann, der womöglich der Gesellschaft ein Vorbild war und nur einen guten Beitrag zum Leben im Miteinander plante, zum Opfer der Furcht werden konnte: Einer Furcht von vielen, dass ihre Daten „ausgespäht“ und „geklaut“ werden können; allein der Fakt, dass dies prinzipiell möglich scheint, reichte demnach zur Kriminalisierung eines jungen Genies, das weder unrechtmäßig noch faktisch „Diebstahl“ im Sinn des Gesetzes begangen haben mochte.

Die Furcht einer Community, an Usern zu verlieren, findet als Grund für eine Kriminalisierung des „Boten“ der Systemlücke durchaus Vorbilder in der Geschichte, in der immer wieder „Boten“ schlechter Nachrichten für die den Nachrichten zugrundeliegenden Fakten schuldig gesprochen und von den benachrichtigen „Communities“ geköpft wurden. War dies in diesem Fall so?

„Communities“, deren Administratoren sich durch Hinweis auf Sicherheitslücken angegriffen fühlen und diese in der Folge ignorieren, gab es zu allen Zeiten. Dass die Hinweise oft als Nachweise der Inkompetenz gewertet werden, ließ auch in analogen Konflikten Situationen entstehen, die Opfer forderten.

Fakt scheint es zu sein, dass der junge Programmierer noch leben könnte, wäre man auf seine Hinweise eingegangen. Die Welt ist um einen wertvollen, kreativen jungen Mann ärmer geworden, weil es der Stolz und die Ignoranz einiger Manager nicht anders zulassen wollten. GT 11/2009

zurück zur Startseite oder zu den Ressorts: 

Kolumne | Seefahrt |   Auto |   Reise |   Technik |   Talk

Kultur |  Bücher

Wirtschaft |  Politik |  Messe & Event

Vermischtes |  Best 6x

Index