„Republik“: Komplettes Versagen bei IT-Sicherheit

Adrienne Fichter hat den US-Daten-Drachen Palantir getötet. So die Tech-Expertin von „Republik“, dem bekannten Onlinemedium von Zürich.

Palantir hatte gegen Fichters Storys geklagt, das Zürcher Handelsgericht schmetterte 22 von 23 Gegendarstellungs-Forderungen ab.

Jubel. Victory.

Diese Woche kroch das Medium zu Kreuze. Cyber-Angreifer haben die IT-Plattform jenes Mediums, bei dem Fichter die grossen Daten-Storys bringt, gekapert.

Sie kennen nicht nur alle Namen, Handys und E-Mails der Abonnenten. Das sind Zehntausende, vornehmlich aus Linksgrün-Zürich.

Sondern viel schlimmer: Die Gauner wissen, wer welche Kommentare zu einzelnen Storys verfasst hat.

In der Datenbank sei „fest­gehalten, wer sie geschrieben hat“, so die „Republik“ am Donnerstagabend.

„Wer diese Verknüpfung kennt, kann einen anonymen Kommentar einer Person zuordnen.“

Die Dimension ist eindrücklich: „Betroffen wären im schlimmsten Fall rund 2300 Personen. Kommentare enthalten oft politische Ansichten, und die gelten nach dem Datenschutz­gesetz als besonders schützens­wert .“

Vor allem deshalb habe man „den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeits­beauftragten“ gemeldet.

Das Medium, das die „gefährliche“ Palantir mit ihrer weltweiten „Überwachungs“-Technik zur Strecke gebracht hat, stürzt über einen Tech-Pfusch der historischen Sorte.

Zwei Monate lang war die Tür zu den Kommentatoren, zu deren Meinungsäusserungen und zu den Namen aller übrigen aktuellen und ehemaligen Abonnenten offen wie ein Scheunentor.

Und keiner bemerkte etwas.

„Bei uns fanden die ersten Angriffs­versuche am 9. August statt“, schreibt die „Republik“. „Am 11. August riefen die Angreifer erstmals Daten ab, den grössten Teil am 5. September.“

Ungestört konnten die Daten-Räuber den Computer leerräumen. „Daten riefen sie nachweislich bis Anfang Oktober ab.“

Erst dann schlossen die Verantwortlichen die Pforte.

Nicht, weil sie das Risiko plötzlich doch noch erkannt hätten. Sondern weil sie über eigenartige Fehlermeldungen gestolpert waren.

Das Versagen der IT-Leute ist kolossal: Sie hatten ein fehlerhaftes „Update“ installiert; die Software-Lieferantin warnte rechtzeitig davor.

„Wir hatten die Sicherheits­warnungen des Herstellers nicht abonniert“, gibt die „Republik“ kleinlaut zu. „Und es gab keine automatischen Prüfungen, die uns melden, wenn eine Software, die wir einsetzen, eine bekannte Lücke hat.“

Blindflug in Zeiten von KI. Fantastisch.

Fichter, seit Lancierung des Online-Magazins bei der Republik an Bord, hat Preise für ihre Leistungen erhalten. Sie steht sinnbildlich fürs Aufdecken von Daten-Skandalen.

Ihre Kollegen, die für Investitionen in eine eigene Informatik verantwortlich sind, haben extra auf Standard-Software wie WordPress verzichtet, weil die „Republik“ so flexibler sei, hiess es bei der Gründung vor 9 Jahren.

Die Kosten dafür schossen durch die Decke. Wie alle erhielt auch ein Programmierer in Uruguay den Einheitslohn der „Republikaner“. Rund 9’000 Franken.

Im Monat. Der Durchschnittslohn liegt im südamerikanischen Land bei 1’300 US-Dollar.

Der Cyber-GAU reicht weit. Die „Republik“ hatte zu wenig Schenkungssteuern bezahlt – fast eine Million. Am Ende kam sie mit einem blauen Auge davon.

Ein bekannter Journalist soll Grenzen zu Frauen überschritten haben. Es folgte ein lauter Rechtsstreit.

Das Medium mit Sitz im Zürcher Redlight-District (seit kurzem logiert es beim Museum für Gestaltung an der Sihl) holte mit dem Ex-Chef der Bundes-Finanzkontrolle, Michel Huissoud, einen „Crack“ auf den Präsidentenstuhl.

Der brachte die schief stehende Bilanz ins Lot, stoppte den Abo-Schwund, sorgte für frisches Wachstum. Heute zahlen über 30’000 Leute für ihren „Republik“-Online-Zugang.

Die „gute“ Medienkraft von Links wurde zu einer Instanz im Markt – mit Abos derart gross werden schaffte bisher kein Zweiter.

Umso schwerer wiegt das Cyber-Leck. Es zeigt: Die „Republik“ schützte ihre Leser nicht. Diese sind für sie heilig. „Frau Verlegerin, Herr Verleger“, spricht das Medium sie vollmundig an.