Bombendrohungen an Europas Schulen: Täter nutzen gekaperte E-Mail-Konten echter Institutionen

Nach Angaben der taiwanischen Nachrichtenagentur Central News Agency hat die Da-Yeh University das Konto gesperrt, über das die Mails am Mittwoch verschickt wurden. Weitere falsche Drohungen kamen aus der kolumbianischen Hauptstadt Bogotá. Die dortigen Behörden teilten vergangene Woche mit, sie untersuchten einen möglichen Hackerangriff auf eine städtische Gesundheitsbehörde, von der Drohmails ausgegangen waren. Am Donnerstagmorgen soll eine weitere Drohung an italienische Schulen von einer Adresse des philippinischen Bildungsministeriums gekommen sein. Das Ministerium äußerte sich auf Anfrage zunächst nicht.

Das Sicherheitsunternehmen Proofpoint erklärte, alle Drohungen, die es vergangene Woche untersucht hat, seien von kompromittierten Konten gekommen und nicht von gefälschten Absenderadressen. Auch der E-Mail-Sicherheitsanbieter Abnormal Security entdeckte nach eigenen Angaben eine weitere Drohung. Sie stammte offenbar von „einem legitimen, kompromittierten Konto und nicht von einer gefälschten Adresse“ auf einer litauischen Domain. Gestohlene Zugangsdaten werden in großem Umfang gehandelt und sowohl von Kriminellen als auch von staatlich unterstützten Hackern genutzt.

Für die Ermittlungen hat das mehrere Folgen:

• Die Nachrichten liefen über echte Webmail-Konten. Ihre technischen Merkmale führen deshalb größtenteils nur zu den Diensten der jeweiligen E-Mail-Anbieter.
• Die Anmeldeprotokolle zeigen zwar, wer auf ein Konto zugegriffen hat. Haben die Täter aber Anonymisierungswerkzeuge wie VPNs oder Proxy-Netzwerke genutzt, kommen die Ermittler damit womöglich nicht weiter.
• Die Konten liegen weltweit in verschiedenen Rechtsräumen. Beweise müssen die Ermittler deshalb über internationale Rechtshilfeersuchen anfordern, die oft sehr langsam bearbeitet werden.

Am Mittwoch wurden die Drohungen der Vorwoche offenbar in deutlich größerem Umfang wiederholt. Tausende staatliche Schulen in Italien erhielten eine E-Mail, die mit „Völkermord“ drohte und behauptete, in den Schulen seien Sprengsätze versteckt. Von Mailand bis Sizilien wurden daraufhin Gebäude geräumt. Ähnliche Nachrichten gingen an hunderte Schulen in Schottland, Nordirland und der Republik Irland. Mark Sutherland, Assistant Chief Constable der Police Scotland, sagte am Mittwoch, „rund tausend schottische Schulen“ hätten eine Drohmail erhalten. Dieselbe Nachricht sei auch an andere Schulen im Vereinigten Königreich gegangen. „Diese Nachrichten wurden sofort bewertet, und wir behandeln sie als Falschmeldungen. Unsere Ermittlungen haben ergeben, dass nichts darauf hindeutet, dass sie eine ernsthafte Bedrohung darstellen oder eine weitergehende Gefahr für die Öffentlichkeit besteht“, sagte Sutherland. Auch die irische Polizei An Garda Síochána stufte die Drohungen gegen Schulen als „nicht glaubwürdig“ ein. Sie betonte, sie rate „keiner Bildungseinrichtung zur Evakuierung“.

Proofpoint beobachtete vergangene Woche Drohungen gegen rund 20 Organisationen, die meisten davon in Europa. Darunter waren mindestens ein Dutzend Redaktionen und mehrere Flughäfen. Die Nachrichten enthielten weder schädliche Links noch Anhänge. Das „deutet darauf hin, dass das Ziel Störung oder Einschüchterung war und nicht die Verbreitung von Schadsoftware oder der Diebstahl von Zugangsdaten“, sagte Mark Kelly, Staff Threat Researcher bei Proofpoint.

In ihren Nachrichten behaupten die Absender, Zugriff auf kompromittierte Computersysteme zu haben. In einer Mail, die vergangene Woche an Redaktionen ging, gab sich der Absender als Anführer derselben Gruppe aus, die hinter den Drohungen gegen Flüge stehe. Die Gruppe habe beim Versand der Mails „mit Multithreading experimentiert“. Außerdem habe sie Zugriff auf kompromittierte Geräte, Server und Konten von Personen in Europa und anderswo erlangt.

Ob alle Drohwellen zu derselben feindseligen Kampagne gehören oder ob Nachahmer am Werk sind, ist unklar. Die Mails tragen zum Teil unterschiedliche Unterschriften. Mehrere Drohungen gegen Flüge waren mit „Kämpfer des Male State“ unterzeichnet. Male State ist eine antifeministische russische Bewegung, die in Russland verboten ist. Ihr Gründer bestreitet jede Beteiligung. Andere Nachrichten an Redaktionen und Schulen trugen die Unterschrift „Mikhail Andropov“. Keine der beiden Unterschriften belegt in beweiskräftiger Weise, wer die Mails tatsächlich verschickt hat.

Bislang hat keine Regierung die Drohungen einem bestimmten Akteur zugeordnet. Die irische Regierung erklärte vergangene Woche, es handle sich „wahrscheinlich um eine koordinierte Störkampagne“. Proofpoint zufolge könnten einige Merkmale der Kampagne „zu einem staatsnahen Akteur passen“. Für diesen Schluss reichten die Belege aber nicht aus. Garda Commissioner Justin Kelly sagte, die Polizei gehe davon aus, dass die Drohungen aus dem Ausland stammen und „Zwietracht säen“ sollen. Das gelte besonders mit Blick auf den Gipfel der Europäischen Politischen Gemeinschaft am Donnerstag in Dublin. Dort sind Dutzende europäische Staats- und Regierungschefs versammelt, gesichert durch den größten Sicherheitseinsatz in der Geschichte Irlands.

Ein Sprecher der nordirischen Polizei sagte, Beamte und Kriminalpolizisten ermittelten umfassend, um die Quelle der massenhaft verschickten E-Mails zu finden und mögliche Verbindungen zu früheren Mails zu prüfen. „Wir gehen derzeit davon aus, dass diese falschen und böswilligen E-Mails von außerhalb des Vereinigten Königreichs verschickt wurden. Die Ermittlungen zu anderen Aspekten laufen weiter“, sagte er.