Der Phishingangriff auf 560 Bundestagsabgeordnete war noch deutlich breiter angelegt. Zielscheibe waren auch Organisationen wie das linke Zentrum für politische Schönheit und rechte YouTuber. Der Oktober ist im Bundestag "Aktionsmonat Cybersicherheit": Schulungsveranstaltungen wird es geben für Abgeordnete, deren Mitarbeitende und die Verwaltung, und im Rahmen von Live-Hacking-Angeboten soll ein Phishingangriff simuliert werden. Das war schon geplant, bevor am Dienstag Hunderte Büros echtes Anschauungsmaterial bekamen. An diesem Tag um kurz vor 14 Uhr erreichte die Abgeordnetenbüros eine heikle E-Mail. Verschickt wurde sie von einer Adresse eines leitenden Mitarbeiters des rechten Portals "Nius". Die E-Mail führte dazu, dass in vier Büros tatsächlich Zugangsdaten eingegeben wurden und in unbekannte Hände fallen konnten. Dort hatten sich Abgeordnete oder deren Mitarbeiter von der Ankündigung eines "Projektvorschlags" täuschen lassen. t-online hat rekonstruiert, wie der Angriff ablief und welche Spuren es gibt. Klar ist: Die E-Mail-Adresse von "Nius" ist echt. Wer jedoch den Köder ausgelegt und die Adresse für den Phishingangriff genutzt hat, ist weiter völlig unklar. Und t-online-Recherchen lassen den Fall noch rätselhafter erscheinen: Die E-Mail ging an weit mehr Politiker sowie auch an Influencer und Organisationen aus gegensätzlichen politischen Lagern. Bereits am Mittwoch war bekannt, dass auch Abgeordnete des bayerischen Landtags die Nachricht im elektronischen Postfach hatten. Nun haben Landtagsverwaltungen in Nordrhein-Westfalen, Sachsen-Anhalt und Sachsen bestätigt, dass auch dort Parlamentarier die Mail erhielten. Die Verwaltung in Düsseldorf berichtet von einer "niedrigen zweistelligen Zahl" von Mails von nius.de, wobei nicht zwingend alle dem Phishing zuzuordnen sind. Brandenburg kann eine solche Mail für Landtags-Accounts ausschließen, Mecklenburg-Vorpommern liegen bislang keine entsprechenden Hinweise vor. In vielen Ländern laufen die E-Mail-Konten nicht über die Server und Infrastruktur der Landtagsverwaltung; dort gibt es keinen Überblick. Inzwischen ist auch klar: Zielscheibe waren nicht nur gewählte Politiker. Rechter YouTuber: "Wir dachten an feindliche Übernahme" Der YouTuber Maurice Klag berichtete, er und befreundete Videoblogger seien ebenfalls unter den Empfängern gewesen. Klag betreibt die Kanäle "Politik mit Kopf" und "Messer-Radar" und war früher stellvertretender Bundesvorsitzender der inzwischen aufgelösten AfD-Nachwuchsorganisation Junge Alternative. In einem Video sagt er über die Phishingmail: "Wir dachten schon an eine feindliche Übernahme von links." Die Vermutung sei gewesen, "irgendwelche NGOs" hätten sich Zugriff auf die YouTube-Kanäle verschaffen wollen. Das glaubt er inzwischen nicht mehr, nachdem t-online berichtet hat, dass 560 Bundestagsabgeordnete Ziel waren. Phishingmails gingen nach Informationen von t-online aber auch an die Landesmedienanstalten, die die Aufsicht über Telemedienangebote wie YouTuber haben. Die dts-Nachrichtenagentur erhielt die Mail, dort schlugen Sicherheitssysteme aber direkt an. Auch bei der Kampagnenorganisation Campact und bei der Amadeu Antonio Stiftung wurde mit der Phishingattacke versucht, an Daten zu gelangen. Zielscheibe war zudem das Zentrum für politische Schönheit, das mit Anti-AfD-Aktionen immer wieder in den Medien ist. Philipp Ruch, Kopf des Zentrums, kündigte an, den Fall bei der Berliner Datenschutzaufsicht anzuzeigen. Wenn unzureichende Sicherheitsmaßnahmen ergriffen worden seien, könne das ein umsatzbezogenes Bußgeld nach sich ziehen, so Ruch. "Nius" hatte bereits einen erheblichen Sicherheitsvorfall melden müssen, als Hacker dort die Kundendaten abgriffen und veröffentlichten . Vius, das Mutterunternehmen des Portals um Julian Reichelt , hat auf t-online-Anfrage eine Stellungnahme nach Untersuchung des Vorfalls angekündigt. "Nius" hatte am Mittwoch rund 24 Stunden nach Versand der Phishingmails an die Empfänger eine Warnung verschickt. Darin hieß es, die Nachricht von der Adresse des Mitarbeiters sei betrügerisch gewesen, der Anhang solle nicht geöffnet werden. Die Abgeordneten des Bundestags wussten da schon längst Bescheid: Die Bundestagsverwaltung hatte lange vor "Nius" morgens um 9.05 Uhr einen Warnhinweis vor der Mail verschickt. Der Mitarbeiter, dessen Adresse als Absender genutzt wurde, dürfte selbst Opfer eines Angriffs geworden sein. IT-Experten, mit denen t-online gesprochen hat, sehen eine hohe Wahrscheinlichkeit, dass sein Account kompromittiert und seine Adresse unbefugt genutzt wurden. Belegt ist das noch nicht. Die Spuren der Mail weisen stark darauf hin, dass die Absenderangabe mit @nius.de nicht gefälscht war. Automatische Prüfmechanismen gingen von Echtheit aus Die Mail lief über Microsoft-365-Infrastruktur. Diese lieferte den automatisierten Prüfmechanismen bei Empfänger-Servern die Information, dass der Versand für die Absender-Domain @nius.de zulässig war. Zudem hatte die Mail eine gültige digitale Signatur für nius.de. Das bedeutet: Es ist fast ausgeschlossen, dass die Absenderangabe manipuliert ist. Auch solches sogenanntes Spoofing gibt es. Der Anhang der Mail liefert noch weitere Hinweise: Mitgeschickt wurde eine PDF-Datei mit dem Namen "PROJEKT_1090586.pdf". Damit wurde die eigentliche Falle gestellt. Sie enthielt nicht den in der Mail angekündigten "Projektvorschlag", der vom Empfänger "möglichst bald" geprüft werden sollte. Wer das PDF öffnete, erblickte eine Seite, die aussah wie eine Benachrichtigung über ein in SharePoint geteiltes Dokument. SharePoint ist ein Microsoft-Dienst, mit dem vor allem in Firmen Dateien online gespeichert und für andere freigegeben werden können. Der Empfänger klickt auf den Link und sieht das Dokument im Browser. Je nach Einstellung muss er sich dafür anmelden. Da lauert die Gefahr, wenn dafür auf einer vorgetäuschten Seite die Anmeldedaten der eigenen Organisation eingegeben werden sollen. Die Microsoft-Accounts hätten übernommen werden können. In dem PDF mit der vermeintlichen Benachrichtigung fand sich auch ein Knopf "Dokument öffnen", der zu einem externen 1drv.ms-Link führt. Das ist ein echter Kurzlink von Microsofts OneDrive-Dienst. Der Link führt inzwischen ins Leere. Ein solcher Link kann zu einem verlinkten Dokument mit weiterem Link oder zu einer Weiterleitung führen. Dann kann ein Nutzer auf einer Seite landen, die wie eine Microsoft-Anmeldung aussieht und von ihm den Benutzernamen und das Passwort abfragt. Diese Daten können dann bei Fremden landen. Datei deutet auf Ursprung im Juli Die Metadaten des Köders zeigen aber noch mehr: In dem PDF wird ein "Harold Jackson" als Autor angegeben – einen solchen Mitarbeiter gibt es nach t-online-Informationen bei "Nius" nicht. Diesen Daten zufolge, die sich allerdings auch manipulieren lassen, wurde die Datei bereits am 26. Juli erstellt. Am 21. September wurde sie zuletzt verändert – am Tag, bevor sie massenhaft in den Postfächern von Abgeordneten landete. Anfang August war eine Phishingmail zusammen mit einer vermeintlich harmlosen Sicherheitsabfrage über ein gefälschtes Captcha offenbar der Einstieg für Hacker beim Land Berlin : Sie konnten einen riesigen Datensatz mit persönlichen Daten und sicherheitssensiblen Dokumenten erbeuten. Das Bundesamt für Sicherheit in der Informationstechnik, das auch im aktuellen Fall involviert ist, analysierte den Fall und sah darin ein Vorgehen, das Microsoft als TerminalFix-Kampagne bezeichnet. Dabei war aber auch Schadcode runtergeladen worden. Dafür gibt es im aktuellen Fall keine Anzeichen. Wegen des Hacks und des Leaks beim Land Berlin ermittelt die Staatsanwaltschaft Berlin. Für eine Verbindung zwischen beiden Attacken gibt es bisher keine Anzeichen. Ein Sprecher der Staatsanwaltschaft konnte zu der neuen Hacking-Attacke keine Angaben machen: "Ein entsprechender Vorgang ist bislang hier nicht bekannt." Die Bundestagsverwaltung teilte mit, sie selbst habe keine Anzeige erstattet, sie sieht sich nicht als Geschädigte. Ob einzelne Abgeordnetenbüros bei der Bundestagspolizei Anzeige erstattet haben, ließ die Verwaltung offen. Strafverfolgungsbehörden könnten allerdings auch ohne formelle Anzeige tätig werden, wenn ihnen ein Anfangsverdacht bekannt wird. Die Bundestagsverwaltung hat aber mitgeteilt, dass man dort in dem Fall keine bedrohlichen Folgen fürchtet. Bundestags-Vizepräsidentin Andrea Lindholz (CSU) sagt t-online: "Nach aktueller Einschätzung ist ein Datenabfluss auszuschließen." Allein die Kenntnis der Zugangsdaten ermögliche keinen Zugriff auf die Infrastruktur des Bundestags. Die betreffenden Kennwörter seien geändert und alle Abgeordneten informiert worden.
