Sydney. Seit Wochen halten Hackerangriffe die Australier und Australierinnen auf Trab. Die Serie an Datendiebstählen startete im September mit dem Telekommunikationsanbieter Optus. Was in den Tagen nach der Cyberattacke ans Tageslicht kam, entwickelte sich zum Krimi mit zehn Millionen Hauptdarstellern. Denn genau so viele Australier waren von dem Hack betroffen. Bei nur 26 Millionen Menschen waren dies fast 40 Prozent der Bevölkerung. Einige Fachleute nannten den Fall die schlimmste Datenschutzverletzung in der Geschichte Australiens.

Passiert war das Folgende: Bei Optus, einer australischen Tochtergesellschaft von Singtel, einem Konzern aus Singapur, wurden Daten aktueller und ehemaliger Kundinnen und Kunden gestohlen – darunter Namen, Geburtsdaten, Wohnadressen, Telefon- und E-Mail-Kontakte sowie Pass- und Führerscheinnummern.

Hauptstadt-Radar

Persönliche Eindrücke und Hintergründe aus dem Berliner Regierungsviertel. Immer dienstags, donnerstags und samstags.

Abonnieren

Mit meiner Anmeldung zum Newsletter stimme ich der Werbevereinbarung zu.

Dies entblößte die Betroffenen gleich in mehrfacher Hinsicht: Nicht nur sind sie seitdem gefährdet, Spamnachrichten zu erhalten und Opfer von Finanzbetrug zu werden, auch ihre Identitäten könnten gestohlen werden. Beispielsweise könnten in ihrem Namen Kredite aufgenommen werden. Der Angriff auf Optus war so umfassend, dass er weltweite Schlagzeilen machte und eine Debatte auslöste, wie Australien Daten schützt und mit dem Thema Privatsphäre umgeht.

Kundendaten im Darknet

Doch noch während der Debatte entdeckten Hacker eine weitere Sicherheitslücke. Dieses Mal traf es den größten Krankenversicherer des Landes Medibank. Dieser meldete Mitte Oktober, dass die Daten aller seiner vier Millionen Kundinnen und Kunden kompromittiert wurden, einschließlich sensibler Informationen über gesundheitsbezogene Angaben.

Nachdem Medibank wie auch Optus kein Lösegeld zahlen wollten, wurden Kundendaten im Darknet veröffentlicht. Im Falle des Krankenversicherers machten die Hacker beispielsweise sensible Gesundheitsdaten wie eine Datei mit Schwangerschaftsabbrüchen publik. Die gestohlenen Daten wurden auf einem Blog veröffentlicht, der mit der russischen Ransomware-Gruppe Revil verknüpft ist, wie lokale Medien berichteten.

Passanten laufen in Melbourne an einer Filiale des Krankenversicherers Medibank vorbei.

© Quelle: IMAGO/AAP

Nach Optus und Medibank traf es einen der größten Supermärkte des Landes, wo die Daten von 2,2 Millionen Kunden und Kundinnen geknackt wurden. Kurz danach meldete der Onlineweinhändler Vinomofo, Hacker hätten auf Daten von einer halben Million Kunden zugegriffen. Und Ende Oktober wurde sogar eine Kommunikationsplattform des australischen Verteidigungsministeriums von Hackern kompromittiert.

Staatlich unterstützte Akteure

Laut Robin Doss, der ein auf Cybersicherheit spezialisiertes Forschungszentrum an der australischen Deakin University leitet, muss eine Mitschuld bei den australischen Firmen und Organisationen gesucht werden. Sie hätten einige, eigentlich selbstverständliche Sicherheitskontrollen für Firmen, die mit sensiblen Daten arbeiten, nicht implementiert, so der Experte.

Doch viel wichtiger ist in den Augen des Experten die Frage des Warum: Warum wurden ausgerechnet so viele australische Unternehmen Ziel eines Hackerangriffs? Hier spielt laut Doss der aktuelle geopolitische Kontext eine entscheidende Rolle: „Wir wissen, dass ein Großteil der Cyberkriminalität staatlich unterstützt, wenn nicht sogar staatlich gefördert wird“, sagte er. Die Ausrichtung Australiens in Richtung USA, Großbritannien, Japan und Indien mache das Land inzwischen zu einem konkreten Ziel für Cyberkriminalitätssyndikate aus Ländern wie Nordkorea, China und Russland.

Mehr zum Thema

 

Flugzeugabschuss mit vielen australischen Todesopfern

Australiens Außenministerin nach MH17-Urteil: Putin gewährt „Mördern Unterschlupf“

 

Mehr Raketentests als jemals zuvor

Der vergessene Diktator: Plant Kim den ganz großen Krieg?

 

Kommentar zum Urteil im MH17-Prozess

298 Tote: Die letzte Verantwortung bleibt ungeklärt

Tatsächlich hat sich Canberra in den Monaten vor den Hackerangriffen recht deutlich positioniert: Im sogenannten Quad arbeitet das Land eng mit Japan, Indien und den USA zusammen. Noch gewichtiger ist aber der im September 2021 geschlossene Sicherheitspakt mit dem Namen Aukus, unter dem Australien, Großbritannien und die USA ihre militärische Kooperation ausbauen. Im Oktober unterzeichnete Australien zudem einen Sicherheitspakt mit Japan. Letzterer dürfte weder China noch Nordkorea gefallen.

Hinzu kommt, dass das Land die Ukraine militärisch unterstützt und damit automatisch zum Ziel russischer Akteure geworden ist. „Während Australien früher ein opportunistisches Ziel gewesen sein könnte, ist es jetzt ein gezielterer Fokus für diese Syndikate“, so Doss. Die Bedrohung sei deutlich größer geworden und die Gegner seien „äußerst fähig“.

Harsche neue Strafen

Die australische Regierung ist sich der Ernsthaftigkeit der Situation durchaus bewusst. Schon der massive Datenklau bei Optus wurde deswegen zur „Chefsache“ erklärt: Australiens Premierminister Anthony Albanese kündigte umgehend an, das Datenschutzgesetz des Landes überarbeiten zu wollen. Das System der meldepflichtigen Datenschutzverletzungen soll gestärkt werden, der australische Datenschutzbeauftragte mehr Befugnisse erhalten.

Mehr zum Thema

 

Nach diplomatischer Eiszeit

Australien und China sprechen wieder miteinander

 

Warum mussten 298 Menschen sterben?

Todesflug MH17: Mindestens eine Frage bleibt auch nach dem Urteil unbeantwortet

 

Trauer und Wut in Australien

Cassius Turvey: Tod eines 15-Jährigen löst Rassismusdebatte aus

Vor allem sollen künftig aber die Strafen für Versäumnisse beim Thema Cybersicherheit deutlich angezogen werden: War die Höchststrafe für Unternehmen bisher auf rund 2,2 Millionen australische Dollar begrenzt, umgerechnet rund 1,4 Millionen Euro, soll sie nun auf entweder 50 Millionen Dollar (32 Millionen Euro) steigen, den dreifachen Wert eines durch den Missbrauch von Informationen erzielten Vorteils, oder 30 Prozent des bereinigten Umsatzes eines Unternehmens im relevanten Zeitraum. Im Vergleich dazu können Unternehmen in der EU für ernste Datenschutzverletzungen eine Strafe in Höhe von bis zu 4 Prozent ihres Unternehmensumsatzes oder maximal 20 Millionen Euro erhalten.