Schäuble, Schalke, Bild und die Hacker: Eine Pannen-Chronik

Wie Hacker die Homepages von Walter Schäuble und Schalke 04 knackten und wie verantwortungslose Medien mit dem "Hacker-Skandal" auf Schalke umgingen – eine Dokumentation über Inkompetenz, Schlamperei, Blauäugigkeit und unprofessionellen, grottenschlechten Journalismus.

Es ist Mittwoch Abend. Während sich ein Großteil der Nation beim Freundschaftsspiel Deutschland gegen Norwegen vor den TV-Geräten langweilt, geschieht im Untergrund Unfassbares: Um 20.59 Uhr verkündet der FC Schalke 04 in einer Eilmeldung ganz oben auf der Startseite seiner Homepage, der Verein habe Kevin Kuranyi mit sofortiger Wirkung freigestellt:

Im weiterführenden Link kann der überraschte Leser dann die ganze, in zum Teil sehr seltsam anmutendem Deutsch verfasste Nachricht nachlesen:

Und jetzt schlägt die Stunde von Deutschlands Boulevard-Flaggschiff "Bild": Wie sie später am Abend online (und am 12. Februar in ihrer Print-Ausgabe) berichtete, wurde sie angeblich durch den Anruf eines Schalker Spielers auf die sensationelle Entwicklung aufmerksam gemacht. Zitat:
21.22 Uhr: Ein Schalke-Spieler ruft bei BILD an: "Wisst ihr, was bei uns los ist? Ich habe gerade im Internet gelesen, dass der Verein Kevin entlassen hat."
Zu diesem Zeitpunkt muss Bild.de die Nachricht von der Schalker Homepage allerdings schon ungeprüft und ohne weitere Recherche übernommen haben, wie das Bild-Sport-Telegramm (Screenshot: Königsblog von 21.24 Uhr) zeigt:

Auf der Sport-Startseite von Bild.de wird die Meldung gar als "Bundesliga-Hammer" verkauft. Man achte auch hier auf die Uhrzeit (21.15 Uhr) rechts unten:

Und umgehend ziehen die ersten der getreuen und redaktionell nicht minder blinden Bild-Vasallen nach:

Um 21.14, also eine Viertelstunde nach dem ersten Auftreten der Fake-Meldung auf der Homepage des FC Schalke 04, wurde die Seite gesperrt, und das Webmaster-Team verzog sich geschlossen, wenn auch schmollend, bis weit in den Donnerstag hinein zu Wartungsarbeiten in den Bastelkeller:

Im Schalker Forum veröffentlichte Klaus Horstmann von der Abteilung Presse + PR des FC Schalke 04 später am Abend ein offizielles Dementi:

Inzwischen war wohl auch den Online-Redakteuren bei Bild aufgegangen, dass sie einer Hacker-Ente aufgesessen waren, und flugs ruderte man unter Beibehaltung der Uhrzeitangabe (21.15 Uhr) scheinheilig zurück, ohne auch nur im Mindesten einzugestehen, dass man sich selbst einer groben journalistischen Schlamperei schuldig gemacht hatte:

Bezeichnend übrigens, dass diese neue Newsticker-Meldung unter demselben Link erschien wie die vorherige Falschmeldung! Prompt zog man sich daraufhin auch bei RP-Online.de zu Wartungsarbeiten zurück und vermeldete danach ähnlich selbstkritiklos: "Hacker-Angriff auf Schalke – Wirbel um Kevin Kuranyi". Auch hier hatte man den früheren Link beibehalten, nur so lässt sich nämlich der folgende Kommentar erklären, der sich noch auf die Falschmeldung bezieht:

Auch woanders wurden flugs die wichtigsten Wartungsarbeiten in Angriff genommen...

Nach dem Relaunch seiner Homepage am 12. Februar bezog der FC Schalke 04 ausführlich Stellung zum Hackerangriff und kündigte juristische Mittel gegen die Hacker an.

Unabhängig davon, welche armselige und unprofessionelle Rolle die Bild und ihre Kopisten in diesem Zusammenhang spielen, stellt sich die Frage: Wie konnte so etwas geschehen? Der Zugriff auf die Schalke-Homepage wurde durch eine Lücke im populären Content Management System Typo3 ermöglicht, vor der Heise Security schon am 10. Februar gewarnt hatte. Zudem hatte Heise auf dieser Seite auch Links zur Behebung der Schwachstelle online gestellt. Diese Warnung scheint allerdings nicht überall angekommen zu sein; prominentestes Opfer von Hackern wurde am Abend des 10. Februar Innenminister Wolfgang Schäuble, auf dessen Homepage unübersehbar ein Link zum Arbeitskreis Vorratsdatenspeicherung prangte:

Hier waren die Hacker sogar noch so freundlich, Herrn Schäuble auf die Hintertür hinzuweisen, durch die sie in sein System eingedrungen waren, und gaben ihm - quasi als Zugabe - darüber hinaus noch einen Reparatur-Link an die Hand.

Doch obwohl golem.de, Heise und andere Mahner den Schäuble-Hack am 11. Februar erneut zum Anlass nahmen, auf die Typo3-Lücke und die vorhandenen Sicherheits-Updates hinzuweisen, scheint dies nicht bis zu den Verantwortlichen bei Schalke04.de durchgedrungen zu sein. Ein echtes Armutszeugnis! Das passt im Übrigen vortrefflich zum augenblicklichen Gesamt-Erscheinungsbild des Vereins.

Und was lernen wir daraus? Man sollte, wenn man selbst schon keine Ahnung hat, öfters mal auf den Rat von Leuten hören, die sich auskennen. Und dass man nicht alles für bare Münze nehmen sollte, was Bild und Konsorten vollmundig und sensationsheischend verkünden, versteht sich – nicht erst seit den aktuellen Vorfällen – ja wohl von selbst…

iPhone-Software bereits geknackt

Nach einem Bericht der New York Times von heute ist es einem Unternehmen für Computersicherheit aus Baltimore gelungen, die iPhone-Software zu knacken und so Zugriff auf sensible Benutzerdaten zu erhalten.

Die Firma Independent Security Evaluators aus Baltimore testet normalerweise die Sicherheit der Computer ihrer Kunden, indem sie versucht, die Rechner zu hacken, um anschließend entsprechende Sicherheitskonzepte zu erarbeiten.

Foto: Independent Security Evaluators

I.S.E. hat inzwischen eine gesonderte Seite ins Netz gestellt, auf der sie ausführlich in einer Dokumentation und mit Videos darstellt, wie sie ihren Angriff durchgeführt hat. Die Benutzer wurden entweder über eine WiFi-Verbindung ausgespäht oder auf eine Internet-Seite geleitet, von der aus dann die Daten ausgelesen wurden. Allerdings ging die Firma bei ihrer Veröffentlichung nicht soweit, dass sie alle Details freigab – schließlich wolle man nicht Möchtegern-Hackern in die Hände spielen.

Sämtliche Informationen zum Hack wurden Apple bereits zur Verfügung gestellt und werden auf der Black Hat-Konferenz am 2. August der Öffentlichkeit präsentiert.

In der Zwischenzeit wünsche ich allen iPhone-Betatestern, die sich bei der Markteinführung am 29. Juni vor den Apple- und AT&T-Stores den Buckel krummgewartet haben, eine schöne Zeit! Weitere Angriffe von privater Seite werden nach dieser Meldung nämlich mit "Sicherheit" nicht ausbleiben…