Vor drei Jahren startete das Bundeskriminalamt (BKA) das „Projekt Hacktivismus“ (in manchen Veröffentlichungen auch als „Projekt Hacktivisten“ bezeichnet). Zusammen mit dem Bundesamt für Verfassungsschutz, dem Verteidigungsministerium und dem „Nationalen Cyber-Abwehrzentrum“ soll das Projekt ein „Verständnis der Bedrohungslage sowie des Gefährdungspotenzials“ des Phänomens liefern. Ziel sei laut dem BKA eine „klare begriffliche Abgrenzung“ gegenüber ähnlichen phänomenologischen Strömungen herzustellen.
Zunächst führte das BKA eine sogenannte Hellfeld-Studie durch. Eine eher willkürliche Literaturstudie trug Veröffentlichungen aus dem deutschsprachigen und angelsächsischen Raum zusammen und versuchte eine begriffliche Abgrenzung hinsichtlich „Cyber“-Phänomenen, darunter „Cybercrime“, „Hacking“, „Cyberterrorismus“, „Cyberwar“. Vorgeschlagen werden Maßnahmen, um vor allem jugendliche ErsttäterInnen mit drakonischen Maßnahmen abzuschrecken.
Nun hat das BKA auch seine Dunkelfeldstudie zu „Hacktivisten“ veröffentlicht (Download beim BKA hier). Die Delinquenten werden darin folgendermaßen definiert:
Anders als finanziell motivierte Hacker veröffentlichen Hacktivisten aus ideologischen Gründen bspw. gestohlene Daten wie Zugangspasswörter, persönliche und vertrauliche Informationen, E‑Mail-Adressen usw. im Internet. Hacktivistische Aktivitäten müssen nicht in jedem Fall strafrechtlich relevant sein. Da bei dem zum Hacktivismus unabdingbaren Einsatz von Online-Tools jedoch häufig Systeme manipuliert und/oder Daten ausgespäht werden, werden in solchen Fällen verschiedene Straftatbestände erfüllt (§ 303 a StGB (Datenveränderung), § 303 b StGB (Computersabotage), § 202 a StGB (Ausspähen von Daten), § 202 b StGB (Abfangen von Daten).
971 Unternehmen und öffentliche Einrichtungen haben einen Fragebogen ausgefüllt, die Rücklaufquote betrug damit 21% der ursprünglich Angeschriebenen. Von Interesse war, inwiefern digitale Infrastrukturen der Teilnehmenden bereits von „Aktivismus, Shitstorms, Hacktivismus und digitalen Angriffen“ betroffen waren. Das BKA wertet die Ergebnisse als repräsentativ.
364 befragte Unternehmen waren bereits Opfer von einem oder mehreren digitalen Angriffen, hier erlebten insbesondere größere Unternehmen mehrere Angriffe. Einrichtungen, die schon öfters Ziele digitaler Angriffe waren, wurden auch schon mehrmals Opfer von Hacktivismus. Es lässt sich festhalten, dass alle Angriffsformen (aktivistische, Shitstorms, digitale Angriffe) sowohl mit Hacktivismus als auch untereinander korrelieren.
Von 971 antwortenden Einrichtungen gaben 35 an, in der Vergangenheit bereits mehrmals Opfer von Hacktivismus geworden zu sein und 45 gaben an, einmal von Hacktivismus betroffen gewesen zu sein. D. h. insgesamt wurden 80 Einrichtungen in den letzten Jahren ein- oder mehrmals Opfer hacktivistischer Aktivitäten, wobei größere Einrichtungen eher und auch häufiger von Hacktivismus betroffen waren als kleinere. 818 Einrichtungen konnten keine hacktivistischen Angriffe ausmachen (ggf. könnten diese stattgefunden haben, wurden aber nicht bemerkt bzw. als sonstiger Systemausfall/-fehler gewertet).
Als „aktivistische Aktionen“ im digitalen Raum gelten laut dem BKA „Demonstrationen, Bedrohungen und Sachbeschädigung“. Auf Seiten der Behörden seien hiervon außer den Firmen vor allem Einrichtungen der öffentlichen Verwaltung, Verteidigung und Sozialversicherung betroffen. Beispiele nennt die Studie nicht. Während größere Firmen mit mehreren Standorten außer „Aktivismus“ auch mit Shitstorms konfrontiert gewesen seien, erlitten kleinere Firmen mehr Sachbeschädigungen.
Die Erhebung bleibt unpräzise, um welche Angriffe oder Sachbeschädigungen es sich gehandelt haben soll. Unternehmen oder Einrichtungen, die Ziele digitaler Angriffe geworden sind, seien meist auch von Shitstorms betroffen gewesen.
Unternehmen, die bereits Opfer von Shitstorms waren, waren auch eher von einem oder mehreren hacktivistischen Angriffen betroffen. Die Nutzung sozialer Medien begünstigt die Betroffenheit von Shitstorms. Diese auf der Hand liegende Verknüpfung konnte hier auch empirisch belegt.
Insgesamt lässt sich festhalten, dass Aktivismus, Shitstorms, Hacktivismus und digitale Angriffe untereinander und miteinander korrelieren, d. h. Einrichtungen, die von dem einen Phänomen betroffen waren auch viel eher von einer oder mehrerer der anderen Varianten betroffen waren.
Die Studie errechnet eine Häufigkeit von 8%, dass Unternehmen und öffentliche Einrichtungen in Deutschland Ziel von Hacktivismus werden. Es bestehe „ein positiver Zusammenhang zwischen der Betroffenheit von Aktivismus und der Betroffenheit von Hacktivismus“. Wegducken hilft: Unter den Einrichtungen, die „keinen Hacktivismus erlebt haben“, nutzt die Mehrheit laut dem BKA keine sozialen Medien.
Besonders gravierend ist das Phänomen jedoch nicht: So ließe sich laut dem BKA feststellen, „dass es sich bei Hacktivismus weder im Hellfeld noch im Dunkelfeld um eine signifikante Bedrohung mit ausgeprägtem Schadenspotenzial handelt“.