Hacktivismus ist Hacken als Mittel des politischen Protests. Das Wort verbindet Hacking und Aktivismus und stammt aus der amerikanischen Gruppe Cult of the Dead Cow. Die Formen reichen von der Blockade einer Website über das Verändern ihrer Startseite bis zur Veröffentlichung erbeuteter Daten; in Deutschland sind die meisten davon strafbar.
- Hacktivismus
Das Eindringen in fremde Systeme oder deren Blockade, um eine politische Botschaft zu verbreiten oder Druck auszuüben.
Beispiel: „Nach der Abstimmung legte eine Welle von Hacktivismus die Websites mehrerer Landesbehörden für Stunden lahm.“Auch: Hacktivism, die englische Form. Wer so handelt, heißt Hacktivist.
Abgrenzung zu staatlich gesteuerten Gruppen wie Fancy Bear: Hacktivismus geht von Freiwilligen aus und sucht Öffentlichkeit. Staatliche Gruppen arbeiten im Auftrag eines Dienstes und meist verdeckt.
Ist Hacktivismus strafbar?
In Deutschland in den meisten Formen ja. Das Strafgesetzbuch fragt nach der Handlung, und eine Ausnahme für politisch gemeinte Eingriffe kennt es nicht. Wer eine Website mit Anfragen überhäuft, bis sie ausfällt, erfüllt in der Regel die Computersabotage nach Paragraph 303b; wer in ein System eindringt, das Ausspähen von Daten nach Paragraph 202a.
Die Strafrahmen sind nicht klein. Die Computersabotage wird mit bis zu drei Jahren bestraft und mit bis zu fünf, wenn die gestörte Datenverarbeitung einem fremden Betrieb, einem fremden Unternehmen oder einer Behörde gehört. Das ist bei Hacktivismus fast immer der Fall, denn genau dort sitzen die Adressaten des Protests.
Welche Formen Hacktivismus annimmt
Fünf, nach dem Eingriff geordnet. Die Tabelle nennt zu jeder Form die Vorschrift, an der sie in Deutschland gemessen wird.
Form | Was passiert | Einschlägige Vorschrift | Höchststrafe |
|---|---|---|---|
Eine Website wird mit Anfragen überhäuft, bis sie nicht mehr antwortet | § 303b StGB, Computersabotage | drei Jahre, gegen Unternehmen oder Behörden fünf | |
Die Startseite wird durch eine Botschaft ersetzt | § 303a StGB, Datenveränderung, meist mit § 202a | zwei Jahre nach § 303a | |
Leak | Daten werden erbeutet und veröffentlicht | § 202a StGB, Ausspähen von Daten | drei Jahre |
Private Angaben über Personen werden gesammelt und verbreitet | § 126a StGB, wenn die Verbreitung die Person in Gefahr bringen soll | zwei Jahre | |
Werkzeuge gegen Zensur | Software, die Überwachung und Sperren umgeht | für sich genommen keine eigene | keine |
Was Hacktivismus sichtbar macht, ist meist auch das, was ihn strafbar macht: Wer eine Botschaft auf einer fremden Website hinterlässt, hat in fremde Daten eingegriffen. Straffrei bleibt in der Regel nur die letzte Zeile, die ohne Eingriff bei anderen auskommt.
Die Online-Demonstration gegen Lufthansa
Der deutsche Grundsatzfall stammt von 2001. Am 20. Juni, während der Hauptversammlung der Lufthansa, riefen die Initiativen Libertad und „Kein Mensch ist illegal“ zu einer Online-Demonstration gegen die Beteiligung der Fluggesellschaft an Abschiebungen auf: Viele Teilnehmer sollten die Website mit einem Skript gleichzeitig aufrufen und so blockieren. Ein Frankfurter Gericht verurteilte den Anmelder 2005 zu einer Geldstrafe.
Das Oberlandesgericht Frankfurt hob das Urteil am 22. Mai 2006 auf und sprach ihn frei (Az. 1 Ss 319/05). Die Aktion erfülle für eine Nötigung weder das Merkmal der Gewalt noch das der Drohung mit einem empfindlichen Übel.
Die Rechtslage hat sich danach geändert. Seit dem 11. August 2007 erfasst Paragraph 303b ausdrücklich das Eingeben und Übermitteln von Daten in der Absicht, einem anderen Nachteil zuzufügen. Der Gesetzentwurf vom 30. November 2006 nennt als Beispiel Denial-of-Service-Attacken, bei denen ein Server durch eine Vielzahl von Anfragen blockiert wird. Eine Aktion nach dem Muster von 2001 wäre heute an dieser Vorschrift zu messen.
Woher der Begriff Hacktivismus kommt
Aus dem Cult of the Dead Cow, einer Hackergruppe aus Texas. Beim Jahr widersprechen sich die Angaben: Die Gruppe selbst nennt auf ihrer Website 1994, ihr Mitglied Oxblood Ruffin schrieb 2010, das Mitglied Omega habe das Wort 1996 geprägt.
Gemeint war anfangs etwas anderes als heute. Ruffin definierte Hacktivismus als den Einsatz von Technik für die Menschenrechte in elektronischen Medien, und die Untergruppe Hacktivismo baute ab 1999 Software gegen Zensur. Im heutigen Sprachgebrauch steht das Wort vor allem für Blockaden und Leaks.
Beispiele für Hacktivismus
Die bekannteste Sammelbezeichnung ist Anonymous. Aus ihrem Umfeld kam 2011 LulzSec, eine Gruppe, die fünfzig Tage lang Firmen und Behörden angriff und dabei Kundendaten veröffentlichte; ihr Motiv beschrieb die britische Anklage eher als Selbstbelustigung denn als Politik.
Nach dem russischen Angriff auf die Ukraine traten prorussische Gruppen auf. Killnet kündigte für den 25. und 26. Januar 2023 Angriffe an, die Websites deutscher Flughäfen und Behörden trafen. Die Gruppe NoName057(16) baute mit DDoSia ein eigenes Botnetz und warb nach dem Lagebericht des BSI ab Herbst 2022 Teilnehmer mit Geldprämien an. Auf der Zielliste standen unter anderem die Websites mehrerer Landespolizeien.
Hacktivismus und staatlich gesteuerte Gruppen
Die Grenze verschwimmt. Das BSI schreibt in seinem Lagebericht 2023, das wachsende Geflecht von Hacktivistengruppen werde es staatlich gesteuerten Angreifern zunehmend ermöglichen, sich als Hacktivisten auszugeben. Ein Bekennerschreiben ist deshalb kein Beleg dafür, wer tatsächlich angegriffen hat.
Auch die Sicherheitsfirmen trennen die beiden Arten. CrowdStrike benennt Hacktivisten mit dem Wort JACKAL, staatliche Gruppen nach dem Nationaltier ihres Landes, etwa BEAR für Russland. Microsoft führt Einflusskampagnen in einer eigenen Familie mit dem Namen Flood.
Was Hacktivismus bewirkt und was nicht
Viel Aufmerksamkeit, wenig Schaden. Das BSI bewertet die prorussischen DDoS-Kampagnen 2022 und 2023 als begrenzt in der Wirkung: Ein DDoS-Angriff dringt nirgends ein und verschlüsselt nichts, er macht eine Website für eine Weile unerreichbar. Das Ziel sieht das Amt in gesellschaftlicher Verunsicherung und im Vertrauensverlust in den Staat.
Anders liegt es bei Leaks und Doxing. Hier trifft der Schaden oft Menschen, die mit dem Anlass des Protests nichts zu tun haben: Kunden, deren Daten in einer Veröffentlichung stehen, oder Mitarbeiter, deren Anschrift plötzlich im Netz kursiert.
Die eigene Website gegen eine DDoS-Welle wappnen
Mit einem Schutz, der vor dem Angriff steht. Das BSI hält DDoS-Angriffe für wirksam abwehrbar, wenn entsprechende Schutzmechanismen aktiviert sind; meist bietet sie der Hoster oder ein vorgeschaltetes Netz an, siehe DDoS Protection. Dazu gehört eine Begrenzung der Anfragen je Absender, siehe Rate Limiting, und eine statische Notfallseite, die auch unter Last ausgeliefert wird.
Auf eine angekündigte Kampagne reagieren
Die Ankündigung ernst nehmen und den Hoster sofort einbinden. Hacktivistengruppen kündigen ihre Ziele vorab öffentlich an; das ist ihr Kennzeichen und zugleich ein Zeitgewinn. Wer eine öffentliche Stelle betreut, klärt mit dem Hoster, wer im Ernstfall erreichbar ist, welche Filter zugeschaltet werden können und ab wann der Verkehr über einen Schutzdienst läuft.
Eine verunstaltete Startseite wiederherstellen
Zuerst vom Netz nehmen, dann aus der Sicherung zurückspielen, dann den Einstieg schließen. Wer die Seite nur zurücksetzt, wird über dieselbe Lücke ein zweites Mal getroffen. Alle Zugänge zum CMS und zum Server erhalten neue Passwörter, und die Protokolle werden aufbewahrt. Den vollständigen Ablauf beschreibt Incident Response.
Mitarbeitende vor Doxing schützen
Mit sparsamen Angaben auf der eigenen Website. Auf Teamseiten genügen oft Vorname, Funktion und eine Funktionsadresse statt der persönlichen E-Mail-Adresse. Fotos und Namen stehen dort nur mit Einwilligung, und wer in einem umstrittenen Feld arbeitet, wird nicht mit Wohnort oder privaten Profilen verknüpft. Was das Impressum zwingend verlangt, bleibt davon unberührt.