Die Republik hat am Donnerstagabend alle aktuellen und ehemaligen Abonnentinnen und Abonnenten per Mail über einen Sicherheitsvorfall informiert. Demnach verschafften sich Unbekannte zwischen August und Mitte Oktober Lesezugriff auf eine Kopie der Nutzerdatenbank des Onlinemagazins. Sie nutzten dafür eine Lücke in der Analysesoftware Metabase. Zusätzlich hat die Republik eine Meldung mit vertieften Informationen publiziert.
Passwörter und Kreditkartendaten nicht betroffen
Laut dieser Meldung riefen die Angreifer die Personendaten sämtlicher Konten vollständig ab, auch von Personen, die nur einen Newsletter beziehen. Dazu gehören E-Mail-Adresse und Name sowie, falls hinterlegt, Telefonnummer, Geburtsjahr und Geschlecht. Passwörter sind laut Republik nicht in der Datenbank gespeichert, Kreditkartendaten seien nicht betroffen.
Aus weiteren Bereichen der Datenbank zogen die Angreifer Stichproben von jeweils 2000 Einträgen, darunter Postadressen, Zahlungsvermerke, Abos, Kommentare und Umfrageantworten. Dass sie auch die übrigen Einträge abriefen, auf die sie Zugriff hatten, ist laut Meldung nicht belegt. In der Mail hingegen schreibt die Republik, auch Postadressen sowie Angaben zu Abos und Käufen seien von allen Nutzenden nachweislich abgerufen worden.
Teilweise abgerufen wurden auch die Daten, die anonyme Kommentare im «Dialog» mit dem jeweiligen Konto verknüpfen. Im schlimmsten Fall könnten rund 2300 Personen mit ihren Beiträgen in Verbindung gebracht werden. Die Republik stuft das als schwerwiegend ein, weil Kommentare oft politische Ansichten enthalten.
Datenschützer ist informiert
Gemäss der Meldung misslangen erste Angriffsversuche am 9. August. Zwei Tage später riefen die Angreifer erstmals Daten ab, den grössten Teil am 5. September und zuletzt nachweisbar Anfang Oktober. Am Morgen des 14. Oktober fiel ein internes Analysewerkzeug aus. Weil die Fehlermeldung E-Mail-Adressen und Zugangsdaten anzeigte, wurde die Republik auf den Vorfall aufmerksam und schloss den Zugang. Am Donnerstagmorgen informierte sie den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Edöb). Eine Strafanzeige werde geprüft.
Die Lücke wurde ab Anfang August weltweit ausgenutzt, unter anderem beim Laptophersteller Framework. Metabase stellte am 6. August ein Update bereit, also drei Tage vor den ersten Angriffsversuchen auf die Republik. Das Onlinemagazin hatte die Software im Mai zu einem anderen Hosting-Anbieter verlegt und dabei eine Version installiert, die die Lücke bereits enthielt. Das Update verpasste es, weil es die Sicherheitswarnungen des Herstellers nicht abonniert hatte und keine automatisierten Prüfungen auf bekannte Schwachstellen durchführte. «Sie haben uns Ihre Daten anvertraut, und wir sind diesem Vertrauen nicht gerecht geworden», schreiben Geschäftsführerin Katharina Hemmer und Olivier Baumann, Leiter Tech, in der Mail. Vorerst ist Metabase abgeschaltet, und alle Zugänge zur Datenbank sind erneuert.
Nach Einschätzung der Republik spricht vieles für eine breit angelegte, automatisierte Angriffswelle und gegen einen gezielten Angriff. Die Angreifer hätten systematisch nach Zugangsdaten oder Schlüsseln für KI-Dienste gesucht und sich nicht bei der Republik gemeldet. Die Republik warnt zudem vor gefälschten Nachrichten, die mithilfe der erbeuteten Daten echt wirken könnten. (pd/nil)