Ein Angriff auf das Computernetz der Verwaltung von Washtenaw County führt am 26. April 2018 zu einer Haftstrafe von 87 Monaten. Bundesrichter Robert H. Cleland verurteilt Konrads Voits aus Ypsilanti wegen der Beschädigung eines geschützten Computers. Der damals 27-Jährige hatte sich unberechtigt weitreichenden Zugriff verschafft und Daten eines Gefängnisinsassen verändert. Sein Ziel war dessen vorzeitige Freilassung. Die Manipulation führte jedoch zu keiner tatsächlich früheren Entlassung, weil Beschäftigte die Abweichungen bemerkten und reagierten.
Täuschung über E-Mail und Telefon
Nach den Gerichtsunterlagen setzte Voits E-Mails und Telefonanrufe bei Beschäftigten der Bezirksverwaltung ein, um Zugang zu erhalten. Die Staatsanwaltschaft beschrieb dieses Vorgehen als Phishing. Der Angriff beruhte damit auch auf der Täuschung angesprochener Menschen und nicht ausschließlich auf einem von ihnen unabhängigen technischen Fehler. Nach dem erfolgreichen Zugriff kontrollierte Voits einen Teil des Verwaltungsnetzes umfassend.
Er entnahm dem System Namen, Adressen, E-Mail-Daten und Passwörter zahlreicher früherer und damaliger Beschäftigter. Der Bericht nannte keine abschließende Zahl der betroffenen Konten und Personen. Ebenso gab er keine vollständige Liste aller späteren Verwendungen dieser Daten bekannt. Feststand nach der gerichtlichen Darstellung der unberechtigte Zugriff auf einen erheblichen Bestand persönlicher und zugangsbezogener Informationen. Konkrete persönliche Kennungen der Betroffenen wurden für die öffentliche Darstellung nicht benötigt.
Manipulation eines Gefängnisdatensatzes
Voits griff zusätzlich auf elektronische Gefängnisunterlagen des County zu. Er änderte die Daten mindestens eines Insassen, um dessen Entlassung zu beschleunigen. Die Mitteilung identifizierte den betroffenen Häftling nicht. Sie berichtete auch keine gemeinsame Verurteilung dieses Menschen mit Voits. Aus der Manipulation allein folgt deshalb weder eine belegte Auftragserteilung durch den Insassen noch eine zusätzliche festgestellte Verschwörung mit weiteren namentlich unbekannten Beteiligten.
Die Reaktion der Verwaltung verhinderte den beabsichtigten Erfolg. IT-Beschäftigte gingen dem Angriff rasch nach, und Mitarbeiter des Gefängnisses kontrollierten die Unterlagen sorgfältig. Nach der amtlichen Mitteilung wurde niemand infolge des Angriffs vorzeitig entlassen. Der Fall darf damit nicht als gelungene digitale Befreiung oder als tatsächlich erfolgter Ausbruch beschrieben werden. Der erhebliche unberechtigte Zugriff und die Datenänderung blieben trotzdem Gegenstand der Strafverfolgung.
Zusatzarbeit und Kosten des Angriffs
Die Verwaltung musste zahlreiche zusätzliche Arbeitsstunden aufwenden und erhebliche Ausgaben für die Reaktion und Untersuchung tragen. Für die Folgen des Vorfalls nannte der Strafbericht einen Verlust von mindestens 235.488 Dollar. Dieser Betrag beschrieb Kosten und wirtschaftliche Belastungen des County. Er war keine mitgeteilte persönliche Beute von Voits und kein Preis, zu dem er die kopierten Beschäftigtendaten nachweislich verkauft hatte.
Das Gericht ordnete eine Wiedergutmachung von 238.517 Dollar zugunsten von Washtenaw County an. Die Veröffentlichung unterschied diese konkrete gerichtliche Verpflichtung von der ebenfalls genannten Mindestverlustzahl. Sie erklärte die Differenz nicht im Einzelnen. Der Bericht kann deshalb beide Angaben wiedergeben, ohne einen bestimmten zusätzlichen Schadenposten zu erfinden oder die Beträge zu einem neuen Gesamtverlust zusammenzuzählen. Eine bereits vollständige Zahlung wurde nicht bekannt gegeben.
Sieben Jahre und drei Monate Gefängnis
Die tatsächliche Freiheitsstrafe von 87 Monaten entspricht sieben Jahren und drei Monaten. Hinzu kommen drei Jahre gerichtlich überwachte Freilassung nach dem Gefängnisaufenthalt. Diese Aufsichtszeit ist von der Haftdauer zu unterscheiden und wird nicht als zusätzlicher dreijähriger Freiheitsentzug ausgewiesen. Der veröffentlichte Schuldspruch betraf die Beschädigung eines geschützten Computers. Die Mitteilung enthielt keine gesonderte neue Verurteilung wegen einer tatsächlich vollendeten Gefangenenbefreiung.
Voits gab im Rahmen der Strafentscheidung außerdem seine Rechte an Bitcoins und verschiedenen elektronischen Geräten auf. Genannt wurden ein Laptop, ein elektronisches Bauteil und mehrere Mobiltelefone. Einen bestimmten Bitcoin-Betrag oder einen abschließenden Verwertungserlös veröffentlichte die Behörde nicht. Die Einziehung durfte deshalb nicht in einen erfundenen zusätzlichen Dollarwert umgerechnet oder als bereits vollständig ausgekehrte Wiedergutmachung behandelt werden.
Gemeinsame Ermittlungen im Jahr 2017
FBI, Sheriffverwaltung und Michigan State Police untersuchten den Angriff im Jahr 2017. Die Cyber Task Force des FBI arbeitete dazu mit den örtlichen und einzelstaatlichen Stellen zusammen. Die Bundesstaatsanwälte Patrick E. Corbett und Craig A. Weier betreuten die Anklage. Der Strafbericht vom April 2018 dokumentierte die gerichtlichen Folgen des nachgewiesenen Eingriffs, den verhinderten Entlassungsversuch und die entstandenen Belastungen der Verwaltung.
Weitere Berichte: International · Historische Verbrechen
.jpg){kind=link}