Fast 400 kompromittierte Nutzerkonten stehen im scharfen Widerspruch zur Rolle von IBM und AT&T als verlässliche Dienstleister für US-Regierungsaufträge: Eine Whistleblower-Klage wirft den beiden Konzernen vor, ausländische Cyberangriffe nicht vollständig offengelegt zu haben. Die Klage wurde 2020 bei einem New Yorker Bundesgericht eingereicht und ist erst jetzt öffentlich geworden, nachdem die US-Regierung auf eine Beteiligung verzichtet hat. Kläger ist William Barlow, bis 2019 Vizepräsident für Bedrohungsaufklärung bei IBM; er beschreibt in der Klage wiederholte Infiltrationen einer Cloud-Umgebung, deren Vernetzung nach seinen Angaben von AT&T betrieben wurde und die auch von Behörden und dem US-Militär genutzt worden sei. Die Anschuldigungen nennen konkrete technische Spuren, darunter eine Verbindung zur seit Jahren beobachteten chinesischen APT-Gruppe APT10, und könnten zu weiteren gerichtlichen Schritten und Prüfungen durch Auftraggeber und Aufsichtsbehörden führen.

Die Klage kontrastiert detaillierte technische Befunde mit dem Vorwurf systematischer Verheimlichung durch das Management.

William Barlow, der Kläger und ehemalige Vizepräsident für Bedrohungsaufklärung bei IBM, legt in der 2020 eingereichten Klageschrift umfangreiche interne Beobachtungen dar. Nach seinen Angaben identifizierte IBM im Zeitraum 2013 bis 2016 rund 50 000 mögliche Treffer, die mit der APT10-Gruppe in Verbindung standen. Im Jahr 2017 habe eine Untersuchung ergeben, dass Angreifer Zugriff auf fast 400 Nutzerkonten sowie auf nahezu 200 Systeme und Server in 18 Ländern erlangt hätten. Gleichzeitig, so Barlow, habe IBM keine umfassenden Zugriffsprotokolle angelegt, wodurch eine weitergehende forensische Aufklärung verhinderte.

Nach Darstellung der Klage war die betroffene Cloud-Umgebung über Verbindungen vernetzt, die AT&T betreute. Diese Umgebung sei teilweise von US-Behörden und dem US-Militär genutzt worden. Barlow macht geltend, dass sowohl IBM als auch AT&T gegenüber staatlichen Auftraggebern meldepflichtig seien, dass sie in mehreren Fällen aber größere Einbrüche und möglichen Datenabfluss nicht oder nicht vollständig gemeldet hätten. Er beschreibt mehrere Vorfälle, bei denen Angriffe intern als ungelöste Probleme dokumentiert, gegenüber Behörden aber nicht in der geforderten Form offengelegt worden sein sollen.

Die Klage nennt zudem konkrete Hinweise auf eine Verbindung zu APT10, einer seit Jahren beobachteten, offenbar staatlich unterstützten chinesischen Einheit. Das US-Justizministerium hatte APT10 2018 beschuldigt, Daten von rund 100 000 Angehörigen der US-Marine gestohlen zu haben.

Barlow führt an, IBM habe frühere Hinweise von Nachrichtendiensten erhalten, dass APT10 IP-Adressen im IBM-Netzwerk benutzt habe. In der Klageschrift werden technische Indikatoren und interne Scan-Ergebnisse referiert, die nach Ansicht des Klägers den Verdacht untermauern, dass Angreifer wiederholt Zugang hatten.

Mastheads

Barlow erhebt darüber hinaus organisatorische Vorwürfe gegen Führungskräfte. Er schreibt, leitende Mitarbeiter hätten Anweisungen zur Verheimlichung gegeben und Vorfälle abgeschwächt oder nicht vollständig registriert. Motivation sei gewesen, laufende Vertragsbeziehungen mit der US-Regierung nicht zu gefährden und neue Regierungsaufträge zu sichern. Solche Handlungen stünden in direktem Widerspruch zu den gesetzlichen Meldepflichten, die Unternehmen mit Regierungskontrakten treffen, so die Klage.

Technisch gesehen belegen die Vorwürfe eine doppelte Problemstellung. Erstens, so die Klageschrift, erschwert das Fehlen umfassender Zugriffslogs die forensische Nachvollziehbarkeit und damit die Fähigkeit, Herkunft und Umfang eines Datenabflusses zu klären. Zweitens deuten die behaupteten internen Entscheidungen darauf hin, dass Erkenntnisse über Angriffe nicht in der Form an Behörden gelangten, wie es Verträge und Vorschriften verlangen. Beides zusammen reduziert nach Auffassung des Klägers die Chancen, Betroffene zu informieren und geeignete Gegenmassnahmen umzusetzen.

Die Veröffentlichung der Klageschrift erfolgte, nachdem die US-Regierung auf eine Beteiligung verzichtet hatte. Das Verfahren, das 2020 eingeleitet wurde, ist weiterhin anhängig vor dem New Yorker Bundesgericht.

Die Entscheidung der Regierung beeinflusste, dass die Klage nun öffentlich zugänglich ist und der Inhalt der Anschuldigungen einer breiteren Prüfung unterzogen werden kann. In den Berichten zu dem Fall fehlen zitierte Stellungnahmen von IBM und AT&T zu den Vorwürfen.

Barlow verliess IBM 2019; die Klageschrift gibt keine näheren Gründe für sein Ausscheiden an. Die nun offengelegten Details könnten jedoch unmittelbare praktische Folgen haben: Auftraggeber und Aufsichtsbehörden prüfen regelmäßig die Integrität von Meldungen zu Sicherheitsvorfällen, und die in der Klage beschriebenen Lücken bei Aufzeichnung und Meldung könnten Überprüfungen nach sich ziehen. Gleichzeitig ist die Verbindung zu einer langjährigen APT-Kampagne wie APT10 ein Signal an die Branche, wie komplex und über längere Zeiträume hinweg persistent Bedrohungen wirken können.

Rechtlich bleibt das Verfahren vor dem New Yorker Bundesgericht die Bühne, auf der die Anschuldigungen geprüft werden. Die Klage fordert nicht nur eine juristische Bewertung der konkreten Fälle, sie kann auch Debatten über Transparenzpflichten, interne Compliance-Prozesse und die Verantwortung von Grossanbietern in sicherheitskritischen Umgebungen anstossen. Für Staatspartner ist die Frage zentral, ob die Vertrauensbasis in die Meldungen von Dienstleistern intakt bleibt, und welche Nachweise künftig gefordert werden.

Bis zu einer gerichtlichen Klärung steht fest, dass die Klage eine interne Dokumentation zugänglich macht, die bislang nur wenigen bekannt gewesen sein soll. Die nun öffentlich gewordenen Angaben zu den 50 000 möglichen APT10-Treffern, den fast 400 kompromittierten Nutzerkonten und den fast 200 betroffenen Systemen in 18 Ländern bilden den Kern der Anschuldigungen, auf deren Basis weitere gerichtliche Schritte und Prüfungen erwartet werden können.

Related Articles

Das Verfahren läuft weiterhin vor dem New Yorker Bundesgericht. Die nun veröffentlichten Zahlen, fast 400 kompromittierte Nutzerkonten und nahezu 200 betroffene Systeme in 18 Ländern, werden dort juristisch geprüft und könnten Prüfungen durch Auftraggeber und Aufsichtsbehörden nach sich ziehen.

Dieser Artikel wurde mit KI-Unterstützung erstellt.