In einer Entwicklung, die absolut niemanden überraschen dürfte, der die jährliche Whack-a-Mole-Partie der Cybersicherheitsbranche aufmerksam verfolgt, hat ein Hacker persönliche Informationen von mehr als 41.000 Mitarbeitern des Department of Homeland Security (DHS) gestohlen. Der Vorfall, über den zuerst TechCrunch und Wired berichteten, legt Namen, Jobtitel, Telefonnummern, E-Mail-Adressen und Bürostandorte von DHS-Mitarbeitern offen – darunter auch die von US Immigration and Customs Enforcement (ICE) und Customs and Border Protection (CBP). Denn nichts sagt „Heimatschutz“ wie eine unverschlossene Haustür.

Der Hacker, der unter dem herrlich passiv-aggressiven Decknamen „Department of Peace“ operiert, verschaffte sich Zugang über Okta, den Identitäts- und Zugriffsverwaltungsdienst, den das DHS nutzt. Rund 21.000 der Datensätze gehören CBP-Mitarbeitern, knapp 7.000 betreffen ICE-Personal. Der Datensatz enthält zudem Einträge der Cybersecurity and Infrastructure Security Agency (CISA), der US Citizenship and Immigration Services (USCIS) und von Homeland Security Investigations (HSI). Also im Grunde eine komplette Org-Chart-Tour durch die Behörde – minus der Kaffeetasse.

Das DHS bemüht sich Berichten zufolge, die Identitäten von CBP- und ICE-Agenten zu verschleiern – die landesweit Anti-Einwanderungsrazzien durchführen und Online-Kritiker aufspüren –, was dieses Leck besonders peinlich macht. „Sie haben unsere Informationen, also ist es nur fair, dass wir ihre haben“, sagte der Hacker von „Department of Peace“ gegenüber TechCrunch – eine Begründung, die jeden selbsternannten Gerechtigkeitskämpfer auf dem Pausenhof feierlich nicken lassen würde. Das Leck kommt nur Wochen, nachdem Hacker Daten des FBI zu dessen Mitarbeitern und Bewerbern gestohlen haben – was darauf hindeutet, dass Bundesbehörden derzeit in einem Wettbewerb namens „Wer verliert seine Daten am dramatischsten?“ gegeneinander antreten. Und Gewinnen ist nicht das Ziel.

Die gestohlenen DHS-Informationen wurden Berichten zufolge an die Hacktivistin maia arson crimew weitergegeben, die sie mit Distributed Denial of Secrets (DDoSecrets) teilte – einer gemeinnützigen Organisation, die nun den geleakten „Icepick“-Datensatz hostet. Denn wenn man schon sensible Regierungsdaten leakt, kann man ihnen auch gleich einen einprägsamen Namen geben. Der Datensatz enthält außerdem Informationen über DHS-Gruppen mit Zugriff auf Überwachungstools wie die Gesichtserkennungs-App Mobile Fortify und PenLink, die Daten von Telefonen und Online-Diensten sammeln und analysieren können. Wir wissen also nicht nur, wer dort arbeitet, sondern auch, mit welchem Spielzeug sie spielen dürfen.

Das DHS reagierte nicht sofort auf eine Anfrage von The Verge um Stellungnahme – vermutlich, weil man damit beschäftigt war, die eigenen Okta-Passwörter zu ändern.