Hacks bei Einprozent und Nius sowie ein Aufruf an antifaschistische Hacker, sich zu vernetzen

In den letzten Monaten sind uns Daten der rechtsextremen Organisation „Einprozent“ und der rechtsgerichteten Nachrichtenplattform „Nius“ zugegangen. Kurz vor der Veröffentlichung dieses Textes berichtete auch  Correctiv – unabhängig von uns – über denselben Datenleck bei Nius.

Wir haben uns bewusst dafür entschieden, die Daten nicht in ihrer Gesamtheit zu veröffentlichen. Einige Journalist*innen und antifaschistische Recherchegruppen haben die Daten bereits von uns erhalten; andere können sie gerne anfordern. Unsere Kontaktdaten finden ihr am Ende dieses Textes.

Darüber hinaus verfügen wir über ältere, bisher nicht veröffentlichte Datensätze von rechten Gruppen, die wir ebenfalls gerne weitergeben.

IT-Sicherheitsexpertin Lilith Wittmann hat unseren Datensatz zu Einprozent ebenfalls erhalten und hält die Daten für authentisch.

Einprozent Hack

Bis vor kurzem betrieb die rechtsextreme Organisation „Einprozent“ eine Website unter https://solifonds.me, über die Spenden für rechte gesammelt wurden, die angeblich durch „Angriffe“ von Antifaschisten Schaden erlitten hatten. Durch eine Sicherheitslücke konnten wir die vollständigen Daten der Website, einschließlich der Datenbank, sichern. Insgesamt beläuft sich das Datenvolumen auf etwa 1,5 GB, darunter Aufzeichnungen über rund 1.350 Spenden von etwa 1.100 spendenden – mit Namen, E-Mail-Adressen und in einigen Fällen auch Postanschriften.

Es ist offensichtlich, dass Einprozent von dem Hackerangriff Kenntnis erlangt hat. Die Solifonds-Website ist nicht mehr erreichbar und leitet nun auf die Hauptwebsite von Einprozent weiter. Uns ist nicht bekannt, ob Einprozent die betroffenen Personen oder die Datenschutzbehörden über diesen Datenverstoß informiert hat. Ob weitere Daten von Einprozent kompromittiert wurden oder ob wir weiterhin Zugriff auf deren Systeme haben, wollen wir an dieser Stelle offen lassen.Nius HackUnter der Domain http://srv1.nius.de betrieb Nius einen Apache-Webserver auf Port 80 – dem Standardport für HTTP – mit aktivierter Verzeichnisanzeige. Das bedeutete, dass jedem Besucher der Seite eine Liste mit Ordnern und Dateien angezeigt wurde, die er anschließend herunterladen konnte. Es war weder ein Passwort noch eine andere Form der Authentifizierung erforderlich.
Unter diesen Dateien befand sich eine mit dem Namen „mein.nius.de.tar.gz“, die Daten aus dem Newsletter-System von Nius enthielt. Dieses Archiv war jedoch offensichtlich bereits über ein Jahr alt. Correctiv hat bereits unabhängig von unseren eigenen Erkenntnissen über diese Datenpanne berichtet. Was Correctiv jedoch nicht erwähnte, ist, dass auch drei weitere Ordner zugänglich waren:
backups
mein.nius.de
staging-nius
Das Öffnen dieser Ordner löste die Anzeige einer Webseite aus, die zunächst den direkten Zugriff auf die darin enthaltenen Dateien und Unterordner verhinderte. Für die Ordner „mein.nius.de“ und „staging-nius“ stellte dies jedoch kein Hindernis dar; beide enthielten ebenso wie das Archiv Daten aus dem Newsletter-System von Nius. Da wir bereits mit der Ordnerstruktur vertraut waren, konnten wir diese Daten mit etwas Geduld herunterladen. Insgesamt belaufen sich die Daten auf mehr als 3 GB und umfassen unter anderem die E-Mail-Adressen – sowie in einigen Fällen die Namen und Postanschriften – sowohl aktueller als auch ehemaliger Nius-Newsletter-Abonnenten.

Inzwischen ist der Webserver nicht mehr erreichbar.

Zudem war ein Prometheus-Node-Exporter unter https://srv1.nius.de über Port 443 – dem Standardport für HTTPS – öffentlich zugänglich.

Aufruf zur VernetzungWir freuen uns auch über austausch mit gleichgesinnten um uns über mögliche Ziele austutauschen gegenseitig von Wissen profitieren zu können. Natürlich müssen hier vorher die Vertrauensfrage klären, wir sind jedoch zuversichtlich, dass sich dafür eine Lösung finden lässt. Geren könnt ihr auch ähnliche Datensätze mit uns teilen.KontaktdatenWenn du die Datensätze zu Recherchezwecken anfordern möchtest, schreibe uns am besten von einer Adresse aus, die wir eindeutig der Presse oder einer Recherchegruppe zuordnen können.E-Mail: propane@cumallover.meBackup E-Mail: propane26@proton.meDas stellt keine Empfehlung dieser E-Mail Anbieter dar.PGP-Fingerprint:  24D98C0FBE15BAEB34802A0B18F1130E3C610FF6SignalDeltaChat