Beitrag vom 19.07.2023

NZZ

Jahrelang versehentlich Mails nach Mali geschickt

Heikle Informationen des amerikanischen Militärs sind wegen eines Tippfehlers an einen Verbündeten von Russland gelangt

Samuel Misteli, Nairobi

Mehrere Millionen E-Mails an das amerikanische Militär wurden in den vergangenen Jahren in das westafrikanische Land Mali verschickt. Die Absender gaben auch vertrauliche Informationen weiter – unter anderem diplomatische Dokumente, Steuerunterlagen, Passwörter und Reisepläne von hohen Funktionären. Das berichtet die «Financial Times».

Schuld ist ein tausendfach wiederholtes Missgeschick: Die Absender wollten ihre Mails an Angehörige des amerikanischen Militärs schicken; dessen Domain ist «.mil». Sie tippten stattdessen «.ml» – die Landes-Domain von Mali. So landeten die Nachrichten auf einem fremden Server.

Das Problem wurde erstmals vor fast zehn Jahren von einem niederländischen Internetunternehmer erkannt, der einen Vertrag hatte, um Malis Domain zu verwalten. Der Unternehmer, Johannes Zuurbier, kontaktierte die amerikanischen Behörden mehrfach, unter anderem über einen Verteidigungsattaché in Mali und die nationale Cybersecurity-Behörde. Trotzdem gingen die Fehlsendungen weiter. Anfang Juli schrieb Zuur­bier in einem Brief: «Das Risiko ist real und könnte von Feinden der USA ausgenützt werden.»

Das ist nicht abwegig. Am Montag endete Zuurbiers Zehnjahresvertrag, der ihm die Kontrolle über die .ml-Domain gewährt hatte. Nun ist sie in den Händen der malischen Regierung. Und diese ist eine enge Verbündete Russlands.

Seit 2021 ist Wagner im Land

Mali – doppelt so gross wie Frankreich, rund 22 Millionen Einwohner – ist einer der grössten Krisenherde der Welt. Ab 2012 haben jihadistische Rebellen der Regierung die Kontrolle über grosse Teile des Landes entrissen. Sie ziehen Steuern ein und stehlen Vieh, um Waffen und Fahrzeuge zu finanzieren. Hunderttausende Menschen wurden im vergangenen Jahrzehnt durch die Gewalt der Jihadisten und der malischen Armee vertrieben.

Die Ratlosigkeit angesichts der katastrophalen Sicherheitssituation führte dazu, dass das malische Militär 2020 und 2021 putschte. Die regierende Junta unter dem Oberst Assimi Goïta brach, wenige Monate nachdem sie die Macht ergriffen hatte, mit Frankreich. Die frühere Kolonialmacht hatte zuletzt rund 2500 Soldaten in Mali stationiert, sie unterstützten Malis Armee mit geringem Erfolg im Kampf gegen die Jihadisten.

Ende 2021 landeten dann Soldaten der russischen Gruppe Wagner in Mali. Sie bezogen Militärbasen, die die Franzosen verliessen. Derzeit sollen sich etwa 1500 Wagner-Soldaten im Land befinden. Soweit bekannt, hatte die gescheiterte Meuterei des Wagner-Anführers Jewgeni Prigoschin bisher keine Folgen für das russische Engagement in Mali.

Reisepläne eines Generals

Unter den Millionen E-Mails, die nach Mali statt an amerikanische Militäradressen verschickt wurden, befindet sich viel Spam, aber auch Vertrauliches zu amerikanischen Militärangehörigen, ihren Familien und mit dem Militär verbundenen Firmen. Verschickt wurden laut dem niederländischen Domain-Betreiber zum Beispiel Röntgenbilder, Identitätsdokumente, Karten und Fotos von Militärbasen, Verträge und Reisepläne. Eine E-Mail enthielt dieses Jahr Informationen zu einer Indonesien-Reise des Generals James McConville, des Stabschefs der Armee.

Die Absender, die sich vertippten, waren häufig Mitarbeiter von Firmen, die mit dem Militär zusammenarbeiten, etwa Reisebüros. Es waren aber auch Angehörige des Militärs oder der Geheimdienste, die Mails von ihrer privaten Adresse an ihre berufliche weiterleiteten. Ein FBI-Mitarbeiter zum Beispiel versandte Terrorismus-Briefings aus Versehen an malische Server. Andere liessen sich Ersatzpasswörter auf diese Server schicken.

Ein Sprecher des Verteidigungsministeriums sagte der «Financial Times», man sei sich des Problems bewusst und nehme alle unbewilligten Veröffentlichungen von Informationen zur nationalen Sicherheit ernst. E-Mails von .mil-Adressen an ml.-Adressen würden inzwischen blockiert, bevor sie versendet würden. Die Verfasser müssten bestätigen, dass sie die Mails tatsächlich nach Mali schicken wollten. Der Erfolg ist bis jetzt bescheiden. Allein an einem Tag vergangene Woche gingen fast tausend Mails versehentlich auf malische Server.