Eine Woche, nachdem der größte Onlinehändler Südkoreas einen massiven Datenabgriff öffentlich gemacht hat, hat die Polizei jetzt die Zentrale von Coupang durchsucht. Das berichtet die Nachrichtenagentur Yonhap und erklärt, dass dabei nach Beweisen gesucht wurde, die bei der Rekonstruktion des Angriffs helfen sollen. Man wolle den gesamten Sachverhalt umfassend aufklären, unter anderem auch die Identität der Person, die die Daten weitergegeben hat, zitiert Yonhap eine Mitteilung der Polizei. Auch den Grund für den Datendiebstahl sucht man demnach noch. Laut der Nachrichtenagentur basierten die Ermittlungen bislang ausschließlich auf freiwillig von Coupang herausgegebenen Daten. Der Bericht deutet an, dass zentrale Punkte des Angriffs noch unklar sind.

Zentrale Punkte weiterhin unklar

Coupang hatte vorige Woche öffentlich gemacht, dass ein ehemaliger Angestellter personenbezogene Daten zu mehr als 33 Millionen Kunden beziehungsweise Kundinnen abgegriffen und das Land verlassen haben soll. Zuvor war zwar ein Datenleck eingestanden worden, da war aber nur von 4500 betroffenen Konten die Rede. Stattdessen geht es aber wohl um die Namen, E-Mail- und Lieferadressen sowie teilweise die Kaufhistorie von wahrscheinlich allen Kunden und Kundinnen des Marktführers in Südkorea. In dem Land leben gerade einmal rund 52 Millionen Menschen, der Verantwortliche könnte also Daten zu einer übergroßen Mehrheit der Wohnungen haben. Der Eingriff soll im Juni begonnen haben.

Der Cybersicherheitsvorfall dürfte deshalb der größte in der Geschichte Südkoreas sein. Coupang ist in Südkorea für extrem zügige Lieferungen bekannt, mehr als 99 Prozent der Bestellungen werden innerhalb von 24 Stunden zugestellt. Schon seit Jahren gibt es aber auch Kritik an den Arbeitsbedingungen bei dem Konzern. Laut der Korea Times sind dort seit 2020 mehr als 20 Menschen während der Arbeit verstorben. Der Datenabgriff beschäftigt in dem Land längst auch die Politik, laut der Tageszeitung Hankyoreh gab es vergangene Woche eine Anhörung im Parlament. Dort hätten Vertreter des Konzerns unter anderem angedeutet, dass der Verantwortliche das Land schon Ende 2024 verlassen hat. Auch der genaue zeitliche Ablauf des Datenabgriffs ist also noch unklar.

(mho)

Der Chef von Palantir, Alex Karp, residiert auch in einem Anwesen in der Schweiz. Der US-Tech-Konzern expandiert sein Geschäft mit Analysesoftware schon mehrere Jahre nach Europa. Was liegt da näher, als auch den Eidgenossen die Palantir-Systeme anzudienen? Genau das versuchte das militärnahe Unternehmen über Jahre – aber biss sich die Zähne aus.

Das berichtet das Magazin „Republik“ aus der Schweiz. Die Journalisten haben mit Hilfe von 59 Anfragen nach dem Öffentlichkeits­gesetz in einer lesenswerten Analyse nachvollzogen, wie sich der Konzern an öffentliche Stellen ranwanzte, um seine Software bei den Schweizer Bundes­behörden und beim Militär an den Mann zu bringen. Der Palantir-CEO und Milliardär Karp gab sich höchstselbst die Ehre und empfing den damaligen Bundeskanzler Walter Thurnherr.

Die Analyse enthält auch einen 20-seitigen internen Evaluationsbericht der Armee. Darin werden Vorzüge, aber auch Risiken eines Palantir-Einsatzes beschrieben, die letztlich zur Ablehnung einer Kooperation mit dem Konzern führten. Die Militärexperten kommen zu dem Schluss, dass ein Abfluss von Daten aus den Palantir-Systemen technisch nicht verhindert werden könne.

Das jedoch lässt die von polizeilichen Palantir-Nutzern in Deutschland gebetsmühlenartig wiederholte Behauptung, ein Abfluss der polizeiinternen Daten sei technisch gar nicht möglich, unglaubwürdig erscheinen. Sie dürfte sich eher auf bloße Zusicherungen des US-Konzerns, nicht aber auf technische Fakten stützen. Denn die Software ist proprietär, weswegen technische Einblicke darin nur begrenzt möglich sind.

Die vier deutschen Landespolizeien und deren Innenminister, die Verträge mit Palantir eingegangen sind, wirken einmal mehr ignorant gegenüber diesen ernsten Risiken, die eine Kooperation mit dem Konzern mit sich bringen: Nordrhein-Westfalen, Hessen, Bayern und nun auch Baden-Württemberg.

Daumen runter für Palantir

Palantir-Software, wie sie auch von deutschen Polizeien eingesetzt wird, verbindet heterogene Datenbanken und analysiert Verbindungen von Datenpunkten oder Mustern darin. Zuvor fragmentierte Daten werden also zusammengeführt. Damit werden beispielsweise Verbindungen von Menschen sichtbar oder geographische Bewegungen verfolgbar.

Im Evaluationsbericht heißt es zu den Risiken für die in die Palantir-Systeme eingepflegten Daten:

Palantir ist ein Unternehmen mit Sitz in den USA, bei dem die Möglichkeit besteht, dass sensible Daten durch die amerikanische Regierung und Geheim­dienste eingesehen werden können.

Die Risikoeinschätzung der Militärs weist auf weitere Problemfelder, die von den polizeilichen Palantir-Vertragspartnern in Deutschland auch gern wegdiskutiert werden. Die Palantir-Software führe zu einer Abhängigkeit vom US-Anbieter, insbesondere „von externem hochqualifizierten Personal“. Ob „für die Implementierung, den Betrieb und die Wartung der Systeme dauerhaft technisches Fachpersonal von Palantir vor Ort benötigt wird“, sei unklar.

Auch drohe der Verlust der Daten­hoheit und der „nationalen Souveränität“. Das Kostenrisiko sei außerdem schwer abzuschätzen, da es keine Preislisten gebe. Das betrifft die Implementierung und Anpassung der Software und die Datenmigration, aber auch Lizenzgebühren und Wartungskosten. Man könne „genaue Beträge nur durch direkte Verhandlungen“ ermitteln.

Zudem werden die starken Eingriffe in die Privatsphäre in dem Bericht problematisiert, die durch die umfassende Daten­sammlung und -analyse entstehe. Auch die Diskriminierung spielt dabei eine Rolle, denn es könne dazu kommen, „dass bestimmte Personen aufgrund statistischer Zusammen­hänge ungewollt ins Visier geraten“.

Das Schweizer Bundesamt für Rüstung prüfte den Einsatz von Palantir-Software für ein bestimmtes Softwaresystem, das „Informatiksystem Militärischer Nachrichtendienst“. Dafür lagen vorgegebene Kriterien der Ausschreibung vor. Eines davon erfüllt das Palantir-Angebot nicht. Das Amt gibt den Journalisten aber keine Auskunft, um welches Kriterium es sich handelte. Das dazu veröffentlichte Schreiben besteht fast nur aus Schwärzungen.

Das Problem heißt nicht nur Palantir

Nimmt Dobrindt die Risiken in Kauf?

Die Eidgenossen entschieden sich gegen den Einsatz von Palantir-Produkten. Es war ihnen ein zu großes Risiko. Die Empfehlung lautet knapp: „Die Schweizer Armee sollte Alternativen zu Palantir in Betracht ziehen.“

Der Bericht stammt von Anfang Dezember 2024. Seither hat der 2003 gegründete US-Anbieter seine überaus engen Verbindungen zur Trump-Regierung noch intensiviert und durch Karp-Interviews medial begleitet. Die Software wird zwar in Kriegsgebieten von US-Geheimdiensten und -Militärs schon jahrelang intensiv genutzt. Doch seit dem Börsengang im Jahr 2020 wuchs Palantir zu einem der größten US-Tech-Konzerne heran.

Wenn die Risiken der Zusammenarbeit in Fragen der Datenhoheit und gar dauerhaften Abhängigkeit, der digitalen Souveränität, des Datenabflusses und bei den Grundrechtseingriffen von den Schweizern als so erheblich eingeschätzt werden, drängt sich die Frage auf, warum die deutschen Landespolizeien und Landesinnenminister zu einer anderen Einschätzung kommen. Es bleibt ihr Geheimnis.

Der deutsche Bundesinnenminister Alexander Dobrindt (CSU) weigert sich bisher, diese Fakten anzuerkennen. Denn er schließt nicht aus, Palantir-Produkte bei den Polizeien des Bundes einzuführen. Sein geplantes „Sicherheitspaket“ umfasst auch die sog. automatisierte Datenanalyse, so dass auch die Polizeien des Bundes ihre Datenbanken automatisiert erschließen und auswerten könnten.

Wenn er für die polizeiliche Datenanalyse­software mit dem US-Konzern kooperieren wollte, würden Millionen Datensätze, auch von völlig unverdächtigen Menschen, diesen nun hinlänglich bekannten Risiken ausgesetzt. Aber eigentlich müsste Palantir als möglicher Vertragspartner schon wegfallen, weil er mit der vielgepriesenen „digitalen Souveränität“ nicht kompatibel ist. Denn selbst bei lockerer Auslegung von „digital souverän“ kann die proprietäre Softwarelösung des US-Konzerns nicht akzeptabel sein.

Kontroverse rund um Syncthing-Fork: Das GitHub-Repository des Projekts, einer beliebten Android-Variante der Dateisynchronisations-Software Syncthing, war erst nicht mehr verfügbar und tauchte dann unter zweifelhaften Umständen wieder auf. Wie Nutzer im offiziellen Syncthing-Forum berichten, verschwand das Projekt des Entwicklers Catfriend1 plötzlich. Der Maintainer selbst ist seitdem nicht erreichbar und hat sein Profil auf privat gestellt.

Syncthing ermöglicht die dezentrale Synchronisation von Dateien zwischen verschiedenen Geräten ohne Cloud-Anbieter. Da die Anwendung vollen Zugriff auf das Dateisystem hat, sorgt das plötzliche Verschwinden des Repositorys in der Community für erhebliche Verunsicherung.

Drei Repository-Resets

Laut Aussagen im Forum handelt es sich nicht um den ersten Vorfall dieser Art. Ein Nutzer berichtet, dass es 2025 bereits dreimal zu Repository-Resets gekommen sei. Syncthing-Mitbegründer Jakob Borg erklärte im Forum, dass es im Juli einen ähnlichen Ausfall gab, bei dem die Repository-History neu geschrieben wurde, um unangemessene Inhalte zu entfernen. Das Repository sei damals korrekt zurückgekehrt.

Jetzt ist die Situation jedoch anders: Ein neuer GitHub-Account namens researchxxl hat das Projekt offenbar übernommen. Es gibt jedoch keine öffentlich nachvollziehbare, verifizierbare Übergabe durch Catfriend1 – in bekannten Kanälen ist zumindest nichts dergleichen zu finden. Und das, obwohl der neue Maintainer theoretisch nun beliebigen Code unter der bisherigen Signatur auf eine große Zahl von Geräten bringen könnte. In der Community wird die Kommunikation des neuen Projektverantwortlichen wenigstens als ausweichend, beschwichtigend und wenig transparent wahrgenommen. Konkrete Fragen nach der Übergabe und nach mehr Offenlegung bleiben weitgehend unbeantwortet oder werden heruntergespielt.

Technisch wurden die bisherigen Änderungen von einigen Leuten geprüft und es wurden keine offensichtlichen bösartigen Modifikationen gefunden; F‑Droid baut die App zudem reproduzierbar und verifiziert, ob der veröffentlichte Code zu den Binaries passt. Dass „bisher nichts Böses gefunden“ wurde, ist aber explizit kein langfristiger Vertrauensbeweis – zum Beispiel könnten zukünftige Commits nach dem Abflauen der Kontroverse weniger genau kontrolliert werden und der neue Schlüsselhalter hat dauerhaft weitreichende Rechte.

In einem GitHub-Issue lassen sich die organisatorischen Fragen, etwa zur Einrichtung von Build-Prozessen, zur Freigabe über F-Droid und zur möglichen Umbenennung des Projekts, öffentlich nachvollziehen. Dabei meldet sich auch der bereits bekannte Entwickler und Play‑Store‑Verwalter nel0x, der bei der Weiterentwicklung helfen will – mehrere Syncthing‑Entwickler und Teile der Community erklären, dass sie eher seinen Builds vertrauen und hoffen, dass zum Beispiel F‑Droid künftig dorthin umzieht.

Signierschlüssel und Sicherheitsbedenken

Aus Sicherheitssicht besonders problematisch: Unklar ist, ob der neue Account Zugang zu den Signierschlüsseln der ursprünglichen App hat – diese Frage wird in der Community intensiv diskutiert. Allein die Möglichkeit wirft jedoch Fragen zur Sicherheit der App auf, da unklar ist, wie diese Schlüssel in die Hände des neuen Maintainers gelangt sind. Ohne offizielle Stellungnahme von Catfriend1 lässt sich nicht ausschließen, dass das Entwicklerkonto kompromittiert wurde. Hier werden böse Erinnerungen an die xz-Lücke 2024 wach.

Die Community diskutiert intensiv über die Situation. Einige Nutzer hoffen auf eine Rückkehr des ursprünglichen Repositorys wie bei früheren Vorfällen, andere zeigen sich besorgt über die fehlende Transparenz. Hinzu kommt ein uraltes Problem freier Software: Borg wies im Forumsbeitrag darauf hin, dass die Wartung von Open-Source-Projekten eine weitgehend undankbare Aufgabe sei und jemand anderes die Gelegenheit nutzen könnte, einen Mirror anzubieten.

Für Nutzer der App bedeutet die Situation Unsicherheit: Updates könnten ausbleiben, und die Vertrauenswürdigkeit künftiger Versionen ist fraglich. Wer Syncthing-Fork installiert hat, sollte die Entwicklungen genau beobachten und sich gegebenenfalls mit Alternativen vertraut machen. Die zu finden, ist für Android-Nutzer derzeit schwierig, da die offizielle Syncthing-Android-App im Dezember 2024 eingestellt und das Repository archiviert wurde. Als mögliche Lösung hat nel0x angekündigt, seine Version weiterzuentwickeln – die Community hofft, dass F-Droid künftig auf diese Version umsteigt.

(fo)