OPSEC-Fehler: bekannte Fälle und ihre Lehren

Die bekanntesten Enttarnungen im Darknet-Umfeld haben eines gemeinsam: Nicht das Tor-Netzwerk versagte, sondern die Menschen, die es nutzten. Alte Forenbeiträge, private E-Mail-Adressen, das falsche Netzwerk oder ein Ausdruck reichten aus. Wer diese Fälle kennt, versteht, warum operative Sicherheit (OPSEC) wichtiger ist als jedes Werkzeug.

Die Fälle auf einen Blick#

Silk Road: die Spur aus der Anfangszeit#

Silk Road startete Anfang 2011. Um den Start herum hatte ein Nutzer namens „altoid“ in einem Forum gefragt, ob jemand die neue Seite schon kenne – ein Versuch, für sie zu werben. 2013 stieß der Steuerfahnder Gary Alford mit gezielten, zeitlich eingegrenzten Google-Suchen auf diesen Beitrag. Er suchte alles, was „altoid“ geschrieben hatte, und fand eine Programmierfrage, in der der Nutzer die Adresse rossulbricht@gmail.com angegeben hatte. Ross Ulbricht wurde im Oktober 2013 festgenommen.

Lehre: Frühe Fehler verjähren nicht. Was zu Beginn eines Projekts unter einem Namen veröffentlicht wird, bleibt auffindbar. Anonyme Identitäten müssen von der ersten Minute an getrennt sein.

Harvard 2013: zu klein, um sich zu verstecken#

Ein Student schickte im Dezember 2013 über Tor und einen Wegwerf-E-Mail-Dienst Bombendrohungen, um einer Prüfung zu entgehen. Das FBI stellte fest, dass er sich kurz zuvor aus dem WLAN der Universität mit Tor verbunden hatte. Weil dort nur wenige Geräte Tor nutzten, war der Kreis schnell eingegrenzt; der Student gestand. Bruce Schneier fasste zusammen: Tor ist nicht gescheitert, der Nutzer schon.

Lehre: Anonymität entsteht in der Menge. In einem kleinen, protokollierten Netz macht schon die Tor-Nutzung verdächtig. Netzwerk und Zeitpunkt sind Teil der Identität.

Freedom Hosting 2013: der veraltete Browser#

Onion-Seiten des Hosters Freedom Hosting lieferten Schadcode aus, der eine Firefox-Lücke ausnutzte und Daten über die Besucher an einen fremden Server sendete. Die Lücke war zu diesem Zeitpunkt bereits geschlossen; das Tor Project hatte einen Tag nach Mozilla aktualisierte Versionen veröffentlicht. Betroffen waren nur Nutzer, die nicht aktualisiert hatten.

Lehre: Updates sind Teil der Anonymität. Und Systeme wie Tails oder Whonix hätten verhindert, dass der Schadcode die echte Netzwerkadresse erfährt.

AlphaBay 2017: die Absenderadresse#

AlphaBay war 2017 der größte Darknet-Marktplatz. Laut den Ermittlungen nutzte die Plattform seit ihrem Start Ende 2014 die private Hotmail-Adresse ihres Gründers Alexandre Cazes als Absender für automatische Willkommens- und Passwort-E-Mails. Zudem trat er unter dem Namen „Alpha02“ auf, den er seit Jahren auch in anderen Foren verwendet hatte. Thailändische Polizei nahm ihn im Juli 2017 in Bangkok fest; wenige Tage später wurde er tot in seiner Zelle gefunden.

Lehre: Auch technische Details – Absenderadressen, Serverkonfigurationen, Logins – sind Teil der Identität. Und ein jahrelang genutztes Pseudonym ist eine Brücke zur Vergangenheit.

Hansa 2017: der Server gehörte schon der Polizei#

Die niederländische Polizei übernahm 2017 rund einen Monat lang heimlich den Marktplatz Hansa, nachdem deutsche Behörden die Administratoren festgenommen hatten. Als AlphaBay abgeschaltet wurde, wechselten viele Nutzer zu Hansa – direkt in die Arme der Ermittler. Die Polizei sammelte Passwörter im Klartext, Nachrichten noch vor ihrer Verschlüsselung durch die Plattform, Standortdaten aus hochgeladenen Fotos und über eine präparierte Excel-Datei IP-Adressen.

Lehre: Einer Plattform ist nie zu trauen. Nachrichten selbst verschlüsseln, Metadaten selbst entfernen, Dateien nur offline öffnen, Passwörter nie wiederverwenden.

Reality Winner 2017: der Ausdruck#

Eine NSA-Mitarbeiterin druckte im Mai 2017 ein geheimes Dokument aus und schickte es per Post an eine Redaktion. Die Redaktion legte der Behörde vor der Veröffentlichung eine Kopie zur Prüfung vor. Daraus ließ sich schließen, dass das Dokument ausgedruckt worden war, und gelbe Druckerkennungs-Punkte auf der Kopie halfen, den Drucker zu bestimmen. Winner wurde im Juni 2017 festgenommen und später zu fünf Jahren und drei Monaten Haft verurteilt.

Lehre: Physische Spuren zählen genauso wie digitale. Und auch das Vorgehen der Empfänger gehört zum Bedrohungsmodell.

Die wiederkehrenden Lehren#

1. Von Anfang an trennen. Keine Namen, E-Mail-Adressen oder Pseudonyme aus dem echten Leben – auch nicht „nur kurz“.
2. Kontext bedenken. Netzwerk, Uhrzeit und Gruppe, in der man sich bewegt, können eine Person eingrenzen.
3. Aktuell bleiben. Exploits zielen auf veraltete Software.
4. Plattformen misstrauen. Was du einem Server anvertraust, kann ein Ermittler lesen.
5. Metadaten und physische Spuren beachten. Fotos, Dokumente, Ausdrucke.
6. Nicht prahlen. Erzählungen über die eigene Rolle, Gewohnheiten oder Herkunft sind Puzzlestücke.

Wie man diese Lehren in die Praxis umsetzt, erklären OPSEC-Grundlagen und Wie Deanonymisierung funktioniert.