CS: Wer war’s?

Das ist doch die einzig interessante Frage. Deshalb wird nichts dazu gesagt.

Die Credit Suisse hat bestätigt, dass es sich bei den geklauten Kontodaten um Informationen über ihre Kunden handelt. Das ist oberpeinlich und müsste zu Massenentlassungen in den zuständigen Abteilungen führen.

Datendiebstähle sind schwierig zu lokalisieren, da in Wirklichkeit nur eine Kopie vorhandener Datensätze hergestellt wird, das Original also unverändert bleibt. Meistens haben Banken keine sauberen Daten-Audit-Trails, also Zugriffe werden nicht sauber protokolliert. Zudem ist die Frage, wie viele Kopien solcher Kundendaten sowieso schon aus verschiedenen Gründen innerhalb und ausserhalb der Bank herumschwirren.

Wichtiger noch ist aber die Frage: wer war das? Es gibt nur vier Möglichkeiten.

1. Der Insider

Ein CS-Mitarbeiter, vielleicht aus dem Bereich Compliance, will der Bank aus unbekannten Motiven eine reinbrennen. Dazu sammelt er nach nur ihm bekannten Kriterien Kundendaten. Sobald er bei 30’000 Betroffenen angelangt ist, stellt er das ein und verschenkt seine Beute an die «Süddeutsche». Rache? Moralische Entrüstung? Misslungene Bereicherungsabsicht? Als U-Boot von einer dem Schweizer Finanzplatz nicht wohlgesonnenen Macht in die CS eingespeist? Opfer einer Erpressung?

2. Die Datenverbindung tropft

Es ist ein altbekanntes Problem. Wer Daten von A nach B transportieren will, schafft das nie absolut abhörsicher. Es ist ein ewiger Kampf zwischen Verschlüsslern und Codeknackern, der von beiden Seiten immer hochgerüsteter geführt wird. Der Einsatz von Quantencomputern mit ihrer brachialen Rechenkraft gibt mal wieder den Knackern einen Vorteil. Allerdings sprächen wir hier im wahrsten Sinne des Wortes von Big Data. Wer könnte mit welchen Programmen aus diesen Datenfluten signifikante Beispiele herausfischen?

3. Der Zulieferer war’s

Banken haben seit vielen Jahren fahrlässig wenig Geld in die Aufrüstung der IT-Infrastruktur investiert. Viel zu langfristig für die auf Quartalsgewinne fixierten Managerheinis. Viele pensionierte Programmierer verdienen sich bis heute ein nettes Zubrot damit, dass nur noch sie Uralt-Programme verstehen, auf die x-mal Neues draufgepatcht wurde. Hier muss häufig mit Klarnamen gearbeitet werden. Auch die Zulieferer aus der Nähe (bspw. Polen) oder der Ferne (bspw. Indien), wohin immer mehr auch heikle Daten übermittelt werden, könnten die Quelle sein.

4. Der AIA war’s

Eine hübsche Theorie geht dahin, dass im Rahmen des Automatischen Informationsaustausches eine nie gekannte Menge an Kundenklardaten zwischen den teilnehmenden Ländern ausgetauscht werden. Und natürlich auch von anderen Ländern abgefangen werden könnten. Mit AIA und Swift wäre es in erster Linie den USA möglich, die bekanntlich nicht am Informationsaustausch teilnehmen, aus solchen Daten plus Transaktionsdaten als eine Art Big Data Mining eine Kollektion von ihnen unliebsamen Kontenbesitzern zusammenzustellen.

Kann man den Kreis der Verdächtigen noch weiter einengen?

Sollte es zutreffen, dass die SZ tatsächlich keinen Cent für diesen Datenraub bezahlt hat, stünde das im Widerspruch zu einer Einzeltäterthese. Denn wie auch immer, diese Datenmenge kann nur über einen längeren Zeitraum und unter Inkaufnahme persönlicher Gefährdung gewonnen worden sein. Bei Entdeckung würde nicht nur der sofortige Rauschmiss, sondern strafrechtliche Verfolgung und allenfalls Schadenersatzansprüche in Multimillionenhöhe drohen.

Schliesslich kann es durchaus sein, dass einer der wenigen von diesem Datenklau betroffenen wirklichen Gangster es überhaupt nicht lustig findet, so ans Licht der Öffentlichkeit gezerrt worden zu sein. In solchen Kreisen ruht man normalerweise nicht, bis man den Übeltäter identifiziert – und entsorgt hat.

All diese Risiken soll jemand (oder eine kleine Gruppe) auf sich nehmen, um dann aus moralischer Entrüstung diesen Datenschatz gratis wegzugeben? Das ist doch sehr dünn als These.

Welche Hintergedanken hat eine anonyme Quelle?

Jeder Anfänger im Journalismus weiss, dass man einer Quelle, die anonym bleiben möchte, mit höchster Vorsicht zu begegnen hat. Vor allem deswegen, weil man weder sicher sein kann, dass die Informationen akkurat und vollständig sind, noch, welche Motive den Täter antreiben.

Der Aspekt potenzielle Gefährdungen plus Aufwand plus Risiko ohne Entgelt schliesst eine moralisch motivierte Täterschaft eigentlich aus. Bleibt also nur eine Täterschaft, die es gewohnt ist, einfach für ihre Arbeit bezahlt zu werden – unabhängig von den Resultaten. Ob es um Industriespionage geht, um das Sabotieren von Konkurrenten, das Manipulieren von politischen Entscheidungen, das ist diesen Hackern im Staatssold herzlich egal.

Es ist ihnen auch egal, wie lange sie dafür brauchen und wie lange sie herumprobieren müssen, bis sie die entsprechenden Filterprogramme entwickelt haben. Also spricht vieles dafür, dass die Täterschaft in einer staatlichen Organisation zu suchen ist, wohl am ehesten in den USA.

Was ist denn deren Motivation? Keinesfalls Moral oder Ethik. Sondern knallhartes Kalkül. Alles, was dem immer noch grössten Vermögensverwalter der Welt schadet, nützt den anderen. Was in dieser Kriegsführung noch fehlte, war ein direkter Angriff auf den Finanzplatz Schweiz. Der sich sowieso noch bis heute von den verheerenden Folgen des Schleifens des Bankgeheimnisses erholen muss. Von den Folgen dieses Kunden- und Mitarbeiterverrats.

Der Datenklau ist in der Wirkung verheerend

Denn unabhängig von der Ergiebigkeit des Materials – alleine die Tatsache, dass der zweitgrössten Bank der Schweiz eine solche Menge an Kundendaten abhanden kommen kann, sorgt dafür, dass sich viele Besitzer einer Bankverbindung mit der CS reiflich überlegen, ob ihnen das sicher genug erscheint.

Denn neben unedlen Motiven gibt es auch durchaus eine ganze Reihe von edlen, wieso man sein Geld bei einer Schweizer Grossbank anlegen möchte. Zum Beispiel, weil es dort sicher ist und diese Kundenbeziehung – im Rahmen des gesetzlich Erlaubten – vertraulich und diskret abgehandelt wird. Denn welchem tapferen Kritiker der Schweizer Gesetze, die solche kriminellen Aktivitäten sanktionieren, würde es wohl gefallen, wenn er plötzlich seinen Namen in der Zeitung läse – als einer der 30’000 verabscheuungswürdigen Kunden der CS.

Obwohl er doch eigentlich ein völlig unbescholtener Bürger ist. Wie so viele der in der Vergangenheit medial Beschuldigten, Vorverurteilten und Gekreuzigten.