US-Stadt Columbus verklagt Sicherheitsforscher nach Cyberangriff wegen Berichterstattung

[English]Unschöne Entwicklung in den USA, wo die Stadt Columbus in Ohio Opfer eines Ransomware-Angriff wurde. Der Bürgermeister versuchte den Fall herunter zu spielen, und behauptete, dass die Daten für Kriminelle unbrauchbar seien. Ein Sicherheitsforscher schaute sich die von der Ransomware-Gang geleakte Daten an und bewies, dass die Daten sensibel waren. Die Stadt verklagte den Sicherheitsforscher und diese bekam er eine einstweilige Verfügung, die ihm eine Berichterstattung verbietet.

Ransomware-Angriff auf Stadt Columbus

Die im US-Bundesstaat gelegene Stadt Columbus wurde am 18. Juli 2024 Opfer eines Ransomware-Angriffs. Dabei wurden 6,5 Terabyte an städtischen Daten abgegriffen. Die Rhysida Ransomware-Gruppe bekannte sich zu diesem Angriff und bot die Daten mit einem Startgebot von etwa 1,7 Millionen Dollar in Bitcoin in einer Versteigerung an. Es fand sich aber bei der Auktion kein Bieter, so dass Rhysida am 8. August 2024 etwa 45 Prozent der gestohlenen Daten auf seiner Dark-Web-Seite veröffentlichte. Diese ist per TOR-Browser frei zugänglich – so weit so schlecht.

Zoff zwischen Bürgermeister und Sicherheitsforscher

Andrew Ginther, der Bürgermeister der Stadt Columbus, sprach am 13. August 2024 von einem "Durchbruch" bei der forensischen Untersuchung des Ransomware-Vorfalls. Die Untersuchung habe ergeben, dass die von Rhysida erlangten sensiblen Dateien entweder verschlüsselt oder beschädigt waren. Die Daten seien daher für die Ransomware-Gruppe "unbrauchbar", und die fehlende Integrität der Daten sei wahrscheinlich der Grund für die gescheiterte Auktion der Ransomware-Gruppe.

Sicherheitsforscher David Leroy Ross ging per TOR-Browser auf die Leak-Seite der Rhysida-Gruppe und schaute sich die dort eingestellten Daten an. Er stellte fest, dass die Daten intakt waren und hochsensible Informationen über städtische Angestellte und Einwohner enthielten. Ross, der unter dem Pseudonym Connor Goodwolf auftritt, legte  lokalen Nachrichtenagenturen Screenshots und andere Beweise vor, aus denen hervorging, dass die von Rhysida veröffentlichten Dateien sensibles Material darstellt. So gab es Namen aus Fällen häuslicher Gewalt und Sozialversicherungsnummern von Polizeibeamten und Verbrechensopfern in den Datensätzen. Einige der Datensätze erstreckten sich über Jahre.

Stadt verklagt den Sicherheitsforscher

Am 29. August 2024 verklagte die Stadt Columbus den Sicherheitsforscher wegen seiner Berichterstattung. Die Klage verlangt Schadensersatz wegen krimineller Handlungen, Verletzung der Privatsphäre, Fahrlässigkeit und "Diebstahl" (als civil conversion bezeichnet). In der Klage wurde behauptet, dass das Herunterladen der Dokumente von der Rhysida Dark-Web-Site, einem Hack entspreche, weil es besondere Fachkenntnisse und Werkzeuge erfordert.

In der Klage wird außerdem thematisiert, dass Sicherheitsforscher Ross über die Details informierte, die als Informationen für andere nicht leicht zu beschaffen sind. In einer Pressekonferenz (auf YouTube abrufbar) kündigte der Anwalt der Stadt, Zach Klein, den Antrag auf Erlass einer einstweiligen Verfügung gegen den Sicherheitsforscher in Bezug auf die öffentliche Weitergabe der Informationen an.

"Hier geht es nicht um Redefreiheit oder Whistleblowing", sagte der Anwalt. "Hier geht es um das Herunterladen und die Weitergabe von gestohlenen Strafregisterauszügen. Es geht darum, [Ross] dazu zu bringen, das Herunterladen und die Weitergabe von gestohlenen Strafregisterauszügen zum Schutz der öffentlichen Sicherheit einzustellen."

Ein Richter in Franklin County, Ohio, hat eine einstweilige Verfügung gegen den Sicherheitsforscher erlassen. Dieser darf damit nicht mehr öffentlich über die Daten berichten. ArsTechnica, die den Fall hier aufgegriffen haben, versuchten Stellungnahmen der Stadt und des Anwalts der klagenden Seite zu erhalten. Das Büro des Staatsanwalts der Stadt Columbus antwortete nicht auf die per E-Mail gesendeten Fragen, sondern veröffentlichte folgende Erklärung:

Die von der Stadt Columbus eingereichte Klage bezieht sich auf gestohlene Daten, die Herr Ross aus dem Dark Web auf sein eigenes, lokales Gerät heruntergeladen und an die Medien weitergegeben hat. Mehrere Medien nutzten die von Ross zur Verfügung gestellten gestohlenen Daten, um von Tür zu Tür zu gehen und Personen mit den in den gestohlenen Daten enthaltenen Namen und Adressen zu kontaktieren. Wie inzwischen ausführlich berichtet wurde, zeigte Herr Ross auch mehreren Nachrichtenagenturen gestohlene, vertrauliche Daten der Stadt, von denen er behauptet, dass sie die Identität von verdeckten Polizeibeamten und Verbrechensopfern sowie Beweise aus laufenden strafrechtlichen Ermittlungen enthielten.

Die Weitergabe dieser gestohlenen Daten gefährdet die öffentliche Sicherheit und die Integrität der Ermittlungen. Die vom Gericht erlassene einstweilige Verfügung verbietet Herrn Ross die Weitergabe der gestohlenen Daten der Stadt. Es steht Herrn Ross nach wie vor frei, über den Cybervorfall zu sprechen und sogar zu beschreiben, welche Art von Daten sich im Dark Web befinden – er darf diese Daten nur nicht weitergeben.

Der angefragte Sicherheitsforscher äußerte sich gegenüber ArsTechnica nicht. Der Knackpunkt war im aktuellen Fall wohl die direkte Weitergabe des von der Darknet-Webseite heruntergeladenen Materials.