Die private Handynummer des BND-Vize Dag Baehr steht im Internet, zusammen mit E-Mail-Adresse und Wohnanschrift. Die Daten stammen aus dem Hack eines amerikanischen Online-Auktionshauses im Jahr 2020, bei dem die Angreifer Daten von mehr als drei Millionen Kunden veröffentlichten. Das haben WDR und Süddeutsche Zeitung recherchiert.
So weit, so alltäglich. Datenlecks passieren, auch Generälen. Der Teil, bei dem mir der Kaffee aus der Hand gefallen ist, kommt danach: Die Nummer ist bis heute aktiv. Golem bringt es in der Überschrift auf den Punkt: Der Mann hat die geleakte Nummer einfach weiter genutzt.
Ich betreue die IT einer Gemeinde. Bei uns gibt es für so etwas eine Unterweisung und einen ernsten Blick. Beim Auslandsnachrichtendienst gibt es dafür offenbar den Posten des Vizepräsidenten.
Was beim Datenleck des Auktionshauses 2020 passiert ist
Erst die Fakten, dann der Spott. Das Auktionshaus gibt an, die Betroffenen damals per E-Mail über das Leck informiert zu haben. Baehr war 2020 noch nicht beim BND. Er kam im September 2023, davor war er unter anderem Kommandeur des KSK und in der Führung des Kommandos Strategische Aufklärung.
Gegenüber WDR und SZ erklärte Baehr, er nutze die Nummer ausschließlich privat. Dem stehen Militärangehörige und Beamte gegenüber, die den Reportern sagten, sie hätten von ihm nur diese eine Nummer, ohne privat mit ihm zu tun zu haben.
Er ist nicht allein. Laut der Recherche sind mehrere europäische Geheimdienstchefs von solchen Datenpannen betroffen, darunter der Chef des niederländischen Militärgeheimdienstes MIVD.
Strategische Aufklärung, nur eben nicht in eigener Sache
Jetzt die Bewertung. Ein Mann, der in der Führung eines Kommandos mit dem Namen „Strategische Aufklärung“ saß, lässt sechs Jahre lang eine Nummer in Betrieb, die jeder mit Suchmaschine und Geduld finden kann. Aufklärung ist offenbar etwas, das man bei anderen betreibt.
Was er bei dem Auktionshaus ersteigern wollte, ist nicht überliefert und geht mich nichts an. Ich hoffe nur, es war den Preis wert. Bezahlt hat er am Ende mit Anschrift, Mailadresse und Telefonnummer, und die Quittung hängt seit 2020 öffentlich aus.
Auf der Leitungsseite des BND steht Baehr als „Vizepräsident und Dienstältester Offizier“. Dienstältester. Man möchte ergänzen: mit der dienstältesten Handynummer des Hauses.
Private Handynummer, dienstlich bekannt: die Sache mit „ausschließlich privat“
„Ausschließlich privat“ ist ein schöner Satz. Er hält genau so lange, bis Offiziere und Beamte erzählen, dass sie keine andere Nummer von ihm kennen. Entweder pflegt der Vizepräsident ein ungewöhnlich großes privates Umfeld in Uniform, oder die Trennung zwischen privat und dienstlich ist beim BND ähnlich stabil wie in jedem Rathaus, in dem der Chef „schnell mal per WhatsApp“ erreichbar sein will.
Und selbst wenn es stimmt: Eine private Nummer ist für einen Angreifer kein Trostpreis. Sie ist der Hauptgewinn. Am privaten Gerät hängen Familie, Messenger, Standort, Gewohnheiten.
Warum eine Telefonnummer für Spionage reicht
Mit Mailadresse und Telefonnummer lassen sich laut der Recherche Aufenthaltsorte und Hobbys nachvollziehen, im schlechtesten Fall auch Geheimes. Russische Dienste gelten als geübt in genau diesen Methoden. Dazu braucht es keinen Zero-Day. Es reicht eine Nummer, die in Messengern registriert ist, ein Profilbild, ein „zuletzt online“ und jemand in Moskau mit einer Excel-Tabelle.
Der Mann, dessen Behörde uns erklärt, wie gefährlich hybride Bedrohungen sind, liefert dem Gegner also die Stammdaten frei Haus. Ich nenne das Bürgernähe. Nur eben gegenüber den falschen Bürgern.
Fairerweise: Was für Baehr spricht
Baehr ist hier zunächst Opfer. Gehackt wurde ein Auktionshaus, nicht er. 2020 war er nicht beim BND, und niemand wechselt gern eine Nummer, die seit Jahren in jedem Adressbuch steht. Dass gleich mehrere europäische Geheimdienstchefs betroffen sind, spricht außerdem für ein Systemproblem und gegen die Geschichte vom einzelnen Schussel.
Nur trägt das nicht weit. Spätestens mit dem Wechsel in die BND-Spitze 2023 hätte jemand fragen müssen, welche Daten des neuen Vizepräsidenten schon draußen sind. Das ist keine Raketenwissenschaft, das ist ein Leak-Check und eine neue SIM-Karte. Wenn eine Sicherheitsüberprüfung so etwas nicht findet oder findet und liegen lässt, dann ist das Problem größer als ein Mann und sein Telefon. Ob man das Vorsatz oder Irrsinn nennt, überlasse ich Ihnen. Ich schwanke noch.
OPSEC in der Verwaltung: Was Kommunen daraus mitnehmen
Lachen Sie nicht zu laut. In fast jeder Verwaltung, die ich kenne, läuft dasselbe Muster, nur ohne Geheimdienst. Die private Nummer der Bürgermeisterin steht im Vereinsverteiler, der Amtsleiter registriert sich mit der Dienstadresse bei einem Onlineshop, und der Admin hat seit 2014 dieselbe Mobilnummer im Notfallplan, im Impressum eines alten Projekts und in drei geleakten Kundendatenbanken.
Was ich in der Praxis für sinnvoll halte:
- Dienstliche Mailadressen der Führungsebene und der Admins regelmäßig gegen bekannte Leaks prüfen, etwa mit dem Identity Leak Checker des HPI oder Have I Been Pwned.
- Dienstadressen nie für private Konten verwenden, und das schriftlich regeln, nicht nur beim Kaffee.
- Wer in exponierter Funktion ist und in einem Leak mit Nummer und Anschrift auftaucht, bekommt eine neue Nummer. Das kostet einen Nachmittag.
- Dienstliche Kommunikation läuft über dienstliche Geräte. Wenn es keine gibt, ist das die eigentliche Baustelle.
Nichts davon ist teuer. Es scheitert in der Regel daran, dass es unbequem ist und niemand dem Chef sagen will, dass er seine Nummer wechseln muss. Beim BND anscheinend auch.
Fazit
Ein Datenleck von 2020 ist kein Skandal. Sechs Jahre danach mit denselben Daten an der Spitze eines Nachrichtendienstes zu sitzen, ist einer. Die Behörde, die von uns allen Wachsamkeit verlangt, hat bei ihrem eigenen Vizepräsidenten nicht nachgesehen oder nicht gehandelt.
Prüfen Sie heute Ihre eigene Dienstadresse in einem Leak-Checker, und danach die Ihrer Verwaltungsspitze. Das dauert zehn Minuten. Damit sind Sie dem BND dann sechs Jahre voraus.