Republik macht Datendiebstahl nach Angriff auf Analysetool öffentlich

Republik zufolge griffen Angreifer über ein anfälliges Analysetool rund zwei Monate lang auf Nutzerdaten zu. Das in Zürich ansässige Onlinemagazin machte den Datendiebstahl öffentlich, nachdem eines seiner Analysetools am Mittwochmorgen, dem 14. Oktober, nicht mehr funktionierte. Indem das System offline genommen wurde, wurde den Angreifern laut dem Magazin auch der Zugang abgeschnitten.

Republik teilte mit, die Schwachstelle sei seit dem 6. August bekannt gewesen, doch die notwendigen Schutzmassnahmen seien nicht schnell genug umgesetzt worden. Das Magazin konnte nicht feststellen, wer hinter dem Eindringen steckte. Eine erste Einschätzung deutet auf eine breit angelegte, automatisierte Kampagne hin, bei der nach exponierten Metabase-Installationen mit wertvollen Informationen gesucht wurde.

Betroffen sind nicht nur zahlende Leserinnen und Leser. Laut Republik gelangten die Angreifer an Datensätze von aktiven Verlegerinnen und Verlegern, Abonnentinnen und Abonnenten, Newsletter-Empfängerinnen und -Empfängern sowie allen ehemaligen Nutzerinnen und Nutzern. Auch Personen, die sich lediglich für einen Newsletter angemeldet und nie ein Abonnement abgeschlossen hatten, gehören zu den Betroffenen.

Das Magazin erklärte, es gebe keine Hinweise darauf, dass Kreditkartendaten offengelegt worden seien oder die Angreifer gezielt Republik ausgewählt hätten. Dennoch gelangten persönliche Daten, die eine namhafte Schweizer Medienorganisation besitzt, in die Hände unbekannter Akteure.

Das betroffene System war Metabase, eine Analyseplattform zur Auswertung organisationsinterner Daten. Republik teilte mit, die Angreifer hätten zunächst im Internet nach Inhalten von Metabase-Installationen gesucht. Zu den mutmasslichen Zielen gehörten Zugangsdaten und Schlüssel für Dienste der künstlichen Intelligenz, also Informationen, die möglicherweise weiterverkauft oder für weitere Angriffe wiederverwendet werden können.

Dieses Muster prägte die vorläufige Einschätzung von Republik: Das Eindringen scheint Teil einer automatisierten Angriffswelle gewesen zu sein und nicht einer gezielt gegen das Magazin gerichteten Kampagne. Die Publikation kennt die Identität der Angreifer nicht, und der Ausgangsbericht enthält keine Hinweise darauf, dass die gestohlenen Informationen gegen Leserinnen und Leser verwendet wurden.

Der Zugriff bestand von August an, bis das Tool Mitte Oktober nicht mehr funktionierte. Mit der Abschaltung von Metabase entzog Republik den Angreifern den Zugang zur Installation. Anschliessend schloss das Magazin eine erste Einschätzung ab, bevor es die zuständige eidgenössische Datenschutzbehörde informierte.

Der Vorfall zeigt, wie die Kompromittierung eines Hilfsdienstes Informationen eines Medienunternehmens offenlegen kann, selbst wenn der Dienst nicht zur Hauptwebsite der Publikation gehört. Analysetools sind oft in redaktionelle und kommerzielle Abläufe eingebunden und können verschiedene Kategorien von Nutzerdaten miteinander verknüpfen.

Die kompromittierten Datensätze enthielten Identitäts- und Kontaktdaten, nicht nur Angaben zu Abonnements. Republik teilte mit, die Daten hätten E-Mail-Adressen und Namen umfasst sowie Telefonnummern, sofern Nutzerinnen und Nutzer diese angegeben hatten. Einige Datensätze enthielten zudem Geburtsjahr und Geschlecht.

Der Umfang betrifft die gesamte Beziehung des Magazins zu seinem Publikum. Betroffen waren aktive Verlegerinnen und Verleger sowie Abonnentinnen und Abonnenten, aber auch Newsletter-Empfängerinnen und -Empfänger und ehemalige Nutzerinnen und Nutzer. Schon eine Newsletter-Anmeldung konnte somit dazu führen, dass die persönlichen Angaben einer Person im kompromittierten Datensatz enthalten waren. Der Ausgangsbericht nennt keine Gesamtzahl der betroffenen Datensätze.

Republik hat keine Hinweise darauf gemeldet, dass auf Kreditkartendaten zugegriffen wurde. Das Magazin sagte zudem, es gebe keine Anzeichen dafür, dass es gezielt angegriffen worden sei. Diese Aussagen grenzen das bisher Bekannte ein, lassen Nutzerinnen und Nutzer aber weiterhin möglichen Folgeversuchen ausgesetzt, bei denen die offengelegten Kontaktdaten verwendet werden könnten.

Leserinnen und Leser sowie ehemalige Leserinnen und Leser sollten unerwarteten Nachrichten, in denen Republik, Abonnements oder Newsletter erwähnt werden, mit Vorsicht begegnen. Sie sollten keine unaufgeforderten Links öffnen und Anfragen über die offiziellen Kanäle des Magazins überprüfen. Die vorliegenden Informationen belegen nicht, dass es zu einem solchen Betrug im Anschluss gekommen ist. Daher sollten Nutzerinnen und Nutzer vorsichtig sein, ohne dies mit bestätigten Folgen gleichzusetzen.

Republik räumte ein, am 6. August von der Sicherheitslücke gewusst, aber nicht rechtzeitig gehandelt zu haben. Dieses Eingeständnis steht im Zentrum der Darstellung des Vorfalls durch das Magazin. Es erklärt, weshalb der Datenzugriff noch Wochen andauerte, nachdem die Schwachstelle bekannt geworden war, und benennt zugleich den Zeitpunkt, zu dem die Organisation es versäumte, Gegenmassnahmen zu ergreifen.

Das Magazin bemerkte das Ende des Vorfalls, als ein Analysetool am Mittwochmorgen nicht mehr funktionierte. Daraufhin nahm es Metabase offline und unterbrach so den Zugang der Angreifer. Republik teilte mit, eine erste Schadensbeurteilung vorgenommen zu haben, bevor es den Fall am Donnerstag, dem 15. Oktober, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten meldete.

Die Einbindung der Behörde verortet den Datendiebstahl im Rahmen des Schweizer Datenschutzrechts. Der Ausgangsbericht beschreibt weder allfällige Vollzugsmassnahmen noch Erkenntnisse oder zusätzliche Anweisungen des Beauftragten. Ebenso wenig wird darin erwähnt, ob betroffene Nutzerinnen und Nutzer einzeln benachrichtigt wurden.

Die öffentliche Stellungnahme von Republik nennt mehrere bestätigte Fakten: die betroffenen Datenkategorien und Personengruppen, den ungefähren Zeitraum des Zugriffs sowie das Fehlen bekannter Hinweise auf offengelegte Kreditkartendaten. Sie identifiziert weder die Täter noch stellt sie fest, wie die gestohlenen Datensätze nach dem Eindringen möglicherweise verwendet wurden.

Republiks nächste Aufgabe ist es, die Auswirkungen für alle betroffenen Gruppen zu klären und zu erläutern, was Nutzerinnen und Nutzer tun sollten. Das Magazin hat das anfällige Analysetool entfernt und eine erste Überprüfung abgeschlossen. In der öffentlichen Darstellung bleiben jedoch einige Fragen offen, darunter die Zahl der betroffenen Datensätze und die Frage, ob einzelne Nutzerinnen und Nutzer direkt benachrichtigt werden.

Für Schweizer Medienorganisationen verdeutlicht der Vorfall die Sicherheitsrisiken, die durch vernetzte Dienste ausserhalb der sichtbaren Publikationsplattform entstehen. Analysesysteme können Informationen über Leserinnen und Leser, Mitwirkende und potenzielle Abonnentinnen und Abonnenten enthalten. Eine Schwachstelle in einer Komponente kann die Folgen eines Eindringens daher über den unmittelbaren Zweck des Tools hinaus ausweiten.

Der Datendiebstahl ist auch eine praktische Warnung für alle, die mit Republik zu tun hatten, einschliesslich Personen, die lediglich Newsletter erhielten oder früher einmal ein Konto hatten. Diese Personen sollten auf überzeugend wirkende Nachrichten achten, in denen ihr Name, ihre E-Mail-Adresse oder Kenntnisse über ihre Beziehung zum Magazin verwendet werden. Sie sollten verdächtige Mitteilungen über offizielle Kanäle melden und keine Passwörter oder Zahlungsdaten weitergeben.

Die Untersuchung von Republik, die Kommunikation mit dem eidgenössischen Beauftragten und allfällige weitere Mitteilungen an Nutzerinnen und Nutzer werden darüber entscheiden, wie viel mehr über den Vorfall bekannt wird. Bislang ist die Offenlegung persönlicher Profil- und Kontaktdaten bestätigt. Es gibt keine gemeldeten Hinweise auf gestohlene Kreditkartendaten.