Tippfehler gehören zum Alltag. Bei E-Mail-Adressen ist das besonders ärgerlich, denn entweder kommt die Post nicht an oder landet beim falschen Empfänger. Letzteres wird dann dramatisch, wenn das ständig passiert und die Mails Daten enthalten, die nicht für fremde Augen bestimmt sind. Der US-Armee passiert genau das seit Jahren – bis heute.
Wie die "Financial Times" unter Berufung auf den niederländischen Unternehmer Johannes Zuurbier berichtet, schicken US-Militärs und deren Vertragspartner seit über zehn Jahren immer wieder E-Mails an Adressen mit der Endung ".ml". Sie meinen aber eigentlich ".mil". Dieser vermeintlich kleine Fehler hat große Auswirkungen: Während die Endung ".mil" seit 1985 dem Verteidigungsministerium der Vereinigten Staaten zugeordnet ist und nur US-Streitkräfte darauf Zugriff haben, gehört die Top-Level-Domain ".ml" seit 1993 dem afrikanischen Staat Mali.
Mails der US-Armee landen in Mali
Zuurbier, der die malische Domain seit Jahren verwaltet, versuchte nach eigenen Angaben bereits mehrfach, das US-Militär auf diesen schwerwiegenden Fehler aufmerksam zu machen – bisher vergebens. Nun verstärkte er seine Bemühungen nochmals, da sein Vertrag sehr bald endet und Zuurbier nicht weiß, wem die Mails künftig in die Hände fallen, wenn die malische Regierung übernimmt. Der afrikanische Staat Mali gilt als Verbündeter Russlands – und dort dürfte das Interesse an jeglichen Informationen über das US-Militär groß sein.
Um unterstreichen zu können, wie sehr sich die Verwechslung der Domains bei der US-Armee inzwischen eingeschlichen hat, sammelte Zuurbier alle Zuschriften seit Januar. Insgesamt sind es 117.000 fehlgeleitete Nachrichten – an manchen Tagen kommen bis zu 1000 Mails dazu.
Zuurbier gab an, dass zwar keine Mails mit einem hohen Geheimhaltungsgrad angekommen seien und viel Spam darunter sei, aber immer wieder finde er auch Nachrichten, die sensible Daten über das Militär enthielten. Demnach habe er bereits medizinische Informationen über Soldaten, vollständige Crew-Listen US-amerikanischer Schiffe, Karten von Militäreinrichtungen, Fotos von US-Basen, Reiseinformationen und Finanzdaten gefunden. Auch den genauen Ablauf einer Reise von General James McConville habe Zuurbier erhalten – für ein geplantes Attentat wären derartige Informationen äußerst relevant. Passwortlisten oder Anfragen zur Änderung von Zugängen habe er ebenfalls regelmäßig gefunden.
Hauptsache k0mPliz1ert: Auf diese Passwort-Mythen fallen wir alle herein
Bei Hackern denkt man oft an staatliche Großangriffe. Dabei sind die meisten einfache Kriminelle. Auch Arno Wacker warnt: "Jedes Passwort ist von Interesse. Es geht nicht darum wie interessant jemand ist, sondern was ein Krimineller mit dem Passwort alles tun kann." Sei es, das Konto zu plündern, auf Kosten des Opfers zu shoppen oder schlicht Spam zu versenden. Im Zweifel werden die Daten einfach verkauft.
Mike Rogers, ein ehemaliger Admiral der US-Navy und Ex-Chef des Nachrichtendienstes NSA sagte der "Financial Times": "Wenn man diese Art von dauerhaftem Zugang hat, kann man selbst aus nicht klassifizierten Informationen Informationen generieren."
Ein Problem, das sich nicht so einfach lösen lässt
Laut eines Sprechers des Pentagons sei man sich dessen bewusst und arbeite daran, das Problem aus der Welt zu schaffen. Immerhin: Sämtliche Mails, die von einem Postfach mit ".mil"-Endung an eine Mail mit ".ml" verschickt werden, blocke man inzwischen automatisch. Was bleibt, sind externe Ansprechpartner der US-Militärs, die nach wie vor regelmäßig das so wichtige "i" vergessen, erklärt Zuurbier. Ebenso seien Weiterleitungen privater Mails an militärische Postfächer ein Problem. Als Beispiel nennt Zuurbier insgesamt sechs Dokumente eines FBI-Agenten, der versucht hatte, diplomatische Informationen über die politische Situation in der Türkei an sein Navy-Postfach weiterzuleiten.
Die US-Armee ist mit dem Problem offenbar nicht alleine. Unter den vielen Mails fand Zuurbier auch immer wieder Nachrichten von Soldaten der niederländischen Armee, die ".ml" statt ".nl" in die Adresszeile schrieben. Die offizielle Adresse lautet eigentlich "defensie.nl".
Lesen Sie auch:
