In den letzten Jahren hat sich in der Cybersicherheitslandschaft eine neue Kategorie von Missbrauch herausgebildet: die Identitätsfälschung von Strafverfolgungsbeamten und Regierungsbehörden durch organisierte kriminelle Gruppen, die mithilfe kompromittierter oder täuschend ähnlicher behördlicher E-Mail-Domains durchgeführt wird. Das Ziel dieser Angriffe besteht darin, Nutzerdaten von Online-Dienstanbietern durch scheinbar legitime Emergency Data Requests (EDRs) oder rechtliche Verfahren zu erlangen, obwohl die Anfragen in Wirklichkeit von Bedrohungsakteuren stammen, die unter gestohlenen institutionellen Zugangsdaten agieren.
Dies ist kein marginales Phänomen. Am 4. November 2024 veröffentlichte das Internet Crime Complaint Center des FBI die Private Industry Notification 20241104-001, in der ausdrücklich vor der Zunahme betrügerischer Emergency Data Requests gewarnt wird, die unter Verwendung kompromittierter E-Mail-Konten US-amerikanischer und ausländischer Regierungen eingereicht werden. Die Mitteilung dokumentiert, dass kompromittierte Zugangsdaten offen in kriminellen Foren gehandelt werden, dass diese Praxis ursprünglich mit Gruppen wie Lapsus$ in Verbindung gebracht wurde und dass das Volumen und die Verfügbarkeit solcher Zugangsdaten erheblich zugenommen haben.
Unabhängige investigative Berichterstattung von Brian Krebs bei KrebsOnSecurity, von Mandiant veröffentlichte Forschungsergebnisse sowie öffentliche Offenlegungen großer Plattformen haben dasselbe Muster über mehrere Rechtsräume hinweg bestätigt. E-Mail-Konten von Polizeikräften und Regierungsstellen in Ländern in Asien, Europa, Südamerika und Afrika wurden zum Verkauf in Underground-Foren für nur zwanzig Dollar pro Konto beobachtet.
Die Implikation ist erheblich: Jeder Online-Dienstanbieter, der sich bei der Verifizierung von Strafverfolgungsanfragen primär auf die Authentizität einer behördlichen E-Mail-Domain verlassen hat, operiert nun in einem grundlegend veränderten Bedrohungsumfeld. Dieser Artikel erläutert, wie Onion Mail und sein Mutterunternehmen Onion Search Engine LLC mit diesem Problem umgehen, was wir immer getan haben, was wir kürzlich erfahren haben und wie wir unsere Prozesse künftig weiterentwickeln. Wir veröffentlichen dies, weil wir Transparenz für die einzig legitime Antwort auf ein Problem dieser Art halten.
In diesem Artikel
Was ein Dienst wie Onion Mail erhält und der rechtliche Rahmen
Onion Search Engine LLC ist ein im Bundesstaat New York, Vereinigte Staaten, registriertes Unternehmen. Als solches unterliegt es dem Recht der Vereinigten Staaten, einschließlich des Electronic Communications Privacy Act (ECPA), des Stored Communications Act und der anwendbaren Bestimmungen zur Zusammenarbeit mit Strafverfolgungsbehörden durch Vorladungen, Gerichtsbeschlüsse und Durchsuchungsbefehle. Wie jeder Online-Dienstanbieter, der rechtmäßig operiert, erhält Onion Mail Datenanfragen von Strafverfolgungsbehörden in verschiedenen Rechtsräumen und antwortet im Rahmen des anwendbaren Rechts. Dies ist nichts Außergewöhnliches; es ist die grundlegende Verpflichtung jedes legitimen Technologieunternehmens.
Die relevante Frage ist nicht, ob solche Anfragen eingehen, sondern wie sie verifiziert werden, welche Informationen tatsächlich bereitgestellt werden können und welche Schutzmaßnahmen für Nutzer sowohl gegen rechtswidrige Überwachung als auch gegen identitätsfälschungsbasierten Missbrauch bestehen. Der Rest dieses Artikels behandelt diese drei Punkte im Detail.
Die Architektur von Onion Mail: Wie Nutzer ihre eigene Privatsphäre kontrollieren
Onion Mail ist um ein grundlegendes Prinzip herum konzipiert: Der Nutzer, nicht der Anbieter, sollte das Maß an Anonymität und Schutz bestimmen, das auf seine Kommunikation angewendet wird. Der Dienst ist so aufgebaut, dass dies keine Marketingbehauptung, sondern eine technische Realität ist, die vom Nutzer selbst jederzeit überprüfbar ist.
Netzwerkzugriffsoptionen
Benutzer können auf Onion Mail über standardmäßige HTTPS-Verbindungen, über ein VPN ihrer Wahl oder nativ über das Tor-Netzwerk zugreifen. Onion Mail betreibt eine dedizierte .onion-Adresse, was bedeutet, dass der Dienst direkt von innerhalb von Tor ohne Durchquerung eines Exit-Knotens erreichbar ist. Wenn ein Benutzer sich über Tor oder über die .onion-Adresse verbindet, erzeugt die Verbindung keine Ursprungs-IP-Adresse, die mit der realen Netzwerkidentität des Benutzers in Verbindung gebracht werden kann.
Nachrichtenverschlüsselung
Onion Mail integriert PGP-Verschlüsselung nativ in die Benutzeroberfläche. Wenn Benutzer Nachrichten mit PGP austauschen, ist der Inhalt dieser Nachrichten Ende-zu-Ende verschlüsselt; der Anbieter besitzt nicht die Entschlüsselungsschlüssel und kann den Nachrichteninhalt nicht lesen. Dies ist keine proprietäre kryptografische Implementierung, sondern eine Integration des offenen, auditierten und weitverbreiteten OpenPGP-Standards.
Kontowiederherstellung ohne Telefonnummern
Onion Mail erfordert keine Telefonnummer für die Kontoerstellung oder -wiederherstellung. Die Kontowiederherstellung wird über eine Tox-ID abgewickelt, wobei das Open-Source-Tox-Protokoll für dezentralisierte Nachrichtenübermittlung genutzt wird. Dies bedeutet, dass der Dienst keine Telefonnummer besitzt, die vorgeladen, geleakt oder als Korrelationsidentifikator verwendet werden könnte.
Das benutzerseitige Sicherheits-Widget
Jeder Onion Mail-Benutzer sieht in seinem Profil einen Echtzeit-Indikator für den Sicherheitszustand seiner Sitzung und seines Kontos. Das Widget zeigt an, ob die Verbindung derzeit über Tor oder ein VPN geleitet wird, ob empfangene Nachrichten mit PGP verschlüsselt sind und ob die Gesamtkonfiguration das vom Benutzer erwartete Schutzniveau erreicht. Der Benutzer muss nicht den Datenschutzbehauptungen des Anbieters vertrauen; das Widget kommuniziert die technische Realität jeder Sitzung.
Das Sicherheitsereignis-Panel
Jeder Benutzer kann auf https://onionmail.org/account/security/events zugreifen und die für sein eigenes Konto aufgezeichneten Verbindungs-IP-Adressen einsehen. Wenn ein Benutzer über Tor auf den Dienst zugegriffen hat, erscheinen in diesem Protokoll keine verwendbaren IP-Adressen, weil es keine zu erfassen gibt. Dies ist von jedem Benutzer, für sein eigenes Konto, jederzeit überprüfbar.
Die Philosophie hinter dieser Architektur ist das, was manchmal als vertrauensloser Ansatz bezeichnet wird: Der Benutzer wird nicht gebeten, dem Anbieter beim Wort zu nehmen. Der Benutzer wird aufgefordert, durch in das Produkt integrierte Indikatoren und durch Vertrauen auf Open-Source-Drittanbieter-Tools (Tor, OpenPGP, Tox) zu überprüfen, dass die Schutzmaßnahmen wie beschrieben funktionieren.
Was Onion Mail als Antwort auf eine rechtliche Anfrage bereitstellen kann und was nicht
Eine Konsequenz der oben beschriebenen Architektur ist, dass die für den Anbieter verfügbaren Informationen und damit die Informationen, die potenziell als Antwort auf eine rechtmäßige Anfrage herausgegeben werden könnten, vollständig von den Entscheidungen abhängen, die der Benutzer getroffen hat.
Wenn ein Benutzer ausschließlich über das Tor-Netzwerk auf Onion Mail zugreift und PGP-Verschlüsselung für seine Korrespondenz verwendet, besitzt der Anbieter keine aussagekräftigen identifizierenden IP-Informationen und verfügt nicht über den Inhalt von Nachrichten in lesbarer Form. Es gibt keine Entscheidung darüber zu treffen, ob diese Informationen “offengelegt” werden sollen, weil sie in unseren Systemen nicht in einem verwendbaren Zustand existieren.
Wenn ein Benutzer über ein VPN auf den Dienst zugreift und PGP verwendet, zeichnet der Anbieter die IP-Adresse des VPN-Exit-Points auf, nicht die echte IP des Benutzers, und der Nachrichteninhalt bleibt verschlüsselt.
Wenn ein Benutzer über eine Standardverbindung ohne PGP-Verschlüsselung auf den Dienst zugreift, zeichnet der Anbieter die Ursprungs-IP-Adresse auf und speichert den Nachrichteninhalt in der Standardform, die für den Betrieb eines E-Mail-Dienstes erforderlich ist.
In jedem Fall können wir das bereitstellen, was technisch in unseren Systemen vorhanden ist. Die Architektur ist absichtlich so konzipiert, dass der Benutzer, nicht der Anbieter, diese Grundlage bestimmt.
Dies ist die Bedeutung unserer Position, dass Datenschutz und Anonymität grundlegende Werte sind: Sie sind in die technische Struktur des Dienstes eingebaut, nicht als Richtlinie versprochen, die rückgängig gemacht werden könnte.
Onion Search Engine LLC und die Strafverfolgungsplattform
Es ist wichtig, einen strukturellen Punkt zu klären, da wir gesehen haben, dass dies in der öffentlichen Diskussion verwechselt wird. Onion Mail ist ein E-Mail-Dienst. Onion Search Engine LLC ist das US-amerikanische Unternehmen, das Onion Mail sowie andere Dienste besitzt und betreibt, einschließlich einer Plattform, die entwickelt wurde, um verifizierten Strafverfolgungsbehörden die Einreichung von Datenanfragen auf strukturierte, überprüfbare Weise zu ermöglichen.
Diese Plattform wurde konzipiert, um ein reales Problem zu adressieren: Strafverfolgungsbehörden reichen Datenanfragen häufig per E-Mail ein, in inkonsistenten Formaten, mit unterschiedlichen Graden der Verifizierbarkeit. Ein zweckgebundenes Portal ermöglicht es, Anfragen zu standardisieren, zu protokollieren und mit größerer verfahrenstechnischer Klarheit zu beantworten als durch Ad-hoc-E-Mail-Korrespondenz. Ähnliche Plattformen existieren bei großen Anbietern in der gesamten Branche.
Der Zugang zu dieser Plattform steht nicht der Öffentlichkeit offen. Er ist auf verifizierte staatliche Stellen beschränkt. Bis vor kurzem stützte sich die Verifizierung dieser Stellen wesentlich auf die Authentizität der während des Registrierungs- und Anfrageprozesses verwendeten staatlichen E-Mail-Domains. Dies bringt uns zum zentralen Thema, das dieser Artikel behandelt.
Das aktuelle Problem: Kompromittierte staatliche E-Mail-Kanäle
Das Modell der Verifizierung von Strafverfolgungsanfragenden durch die Authentizität ihrer staatlichen E-Mail-Domain beruhte auf einer impliziten Annahme: dass staatliche E-Mail-Konten angemessen geschützt sind und dass eine Nachricht, die von einer legitimen .gov-, .gov.xx-, police.xx– oder gleichwertigen Domain eintrifft, als von einem legitimen Beamten dieser Behörde stammend behandelt werden kann.
Diese Annahme wurde durch das dokumentierte Phänomen großangelegter Zugangsdaten-Kompromittierungen, die Strafverfolgungs- und staatliche E-Mail-Systeme in mehreren Jurisdiktionen betreffen, erheblich untergraben. Wie vom FBI in der oben zitierten Benachrichtigung vom November 2024, von KrebsOnSecurity und von anderen seriösen Quellen berichtet, sind kompromittierte staatliche E-Mail-Zugangsdaten inzwischen eine Handelsware auf kriminellen Märkten. Der Angriffsvektor ist nicht die technische Infrastruktur von Anbietern wie Onion Mail; es ist die Sicherheitslage der institutionellen E-Mail-Konten selbst, die anfällig für Phishing, Wiederverwendung von Zugangsdaten, Infostealer-Infektionen und Insider-Kompromittierung sind.
Wir haben auch direkte Mitteilungen erhalten, auch von feindlichen Quellen, die auf ein Bewusstsein innerhalb krimineller Kreise hinweisen, dass dieser Angriffsvektor aktiv ausgenutzt wird. Diese Mitteilungen, kombiniert mit öffentlich dokumentierten Vorfällen, die mehrere Dienstanbieter in der gesamten Branche betreffen, führen zu einer einzigen Schlussfolgerung: Die staatliche E-Mail-Domain kann, isoliert betrachtet, nicht länger als ausreichender Nachweis einer legitimen Strafverfolgungsherkunft behandelt werden.
Ein Vorfall auf unserer Strafverfolgungsplattform: Was geschah und wie wir reagiert haben
Im Einklang mit unserer Verpflichtung zur Transparenz werden wir einen Vorfall ansprechen, der auf unserer Strafverfolgungsplattform aufgetreten ist.
Ein Angreifer erlangte Zugang zur Plattform, indem er sich mit Zugangsdaten registrierte, die von einem kompromittierten staatlichen E-Mail-Kanal stammten. Da die Registrierung über eine scheinbar legitime institutionelle Quelle eintraf — eine verifizierte staatliche E-Mail-Domain — bestand die Anfrage unseren damaligen Standard-Verifizierungsprozess. Dies entspricht dem vom FBI dokumentierten Muster: Wenn der vorgelagerte institutionelle Kanal selbst kompromittiert ist, wird eine nachgelagerte Verifizierung, die auf diesem Kanal basiert, ein falsch positives Ergebnis erzeugen.
Der Vorfall umfasste keine Kompromittierung der technischen Infrastruktur von Onion Mail oder Onion Search Engine LLC. Unsere Systeme wurden nicht verletzt. Der Angriff war gegen den Verifizierungsprozess erfolgreich, nicht gegen die Systeme.
Unsere interne Überwachung identifizierte Anomalien in der Aktivität dieses Kontos. Der Zugriff wurde ausgesetzt, das Konto wurde widerrufen, und unsere Verifizierungsverfahren wurden verstärkt, um Kontrollen über die reine E-Mail-Domain-Verifizierung hinaus hinzuzufügen. Die Plattform selbst wurde offline genommen, während wir ihre Zugriffsverfahren umstrukturieren, um die veränderte Bedrohungslage widerzuspiegeln.
Wir dokumentieren diesen Vorfall hier, weil wir glauben, dass er genau die Dynamik veranschaulicht, die dieser Artikel beschreibt, und weil wir glauben, dass Dienstanbieter die Verantwortung haben, transparent zu sein, wenn ihre Prozesse an die Grenzen vorherrschender Branchenannahmen stoßen. Derselbe kontinuierliche Überwachungsansatz, der Anomalien auf der Strafverfolgungsplattform identifiziert hat, wurde auch auf der Onion Mail-Seite angewendet, wo verdächtige Muster in der Strafverfolgungskorrespondenz uns dazu veranlasst haben, die Zusammenarbeit mit bestimmten Kanälen zu widerrufen, wenn Verifizierungsanomalien festgestellt wurden.
Wie Onion Search Engine LLC künftig arbeiten wird
Angesichts der dokumentierten Kompromittierung staatlicher E-Mail-Kanäle als Verifizierungsfaktor entwickeln sich unsere Prozesse weiter. Wir werden weiterhin mit legitimen Strafverfolgungsbehörden auf den durch geltendes Recht vorgeschriebenen Wegen zusammenarbeiten. Was sich ändert, ist die Art und Weise, wie Antragsteller verifiziert werden.
Die Verifizierung wird sich nicht mehr auf einen einzelnen Faktor verlassen, einschließlich der scheinbaren Authentizität einer staatlichen E-Mail-Domain. Mehrkanalige Verifizierung, unabhängige Bestätigung der Identität von Beamten durch institutionelle Kontakte, die über verifizierte Mittel hergestellt wurden, und Verfahrenskontrollen, die über die Dokumentenprüfung hinausgehen, werden künftig Teil unseres Prozesses sein. Wir veröffentlichen keine operativen Details dieser Kontrollen, da dies genau den Bedrohungsakteuren helfen würde, die dieser Artikel beschreibt.
Diese Entwicklung stellt keinen Rückzug von unseren rechtlichen Verpflichtungen dar. Onion Search Engine LLC bleibt ein Unternehmen der Vereinigten Staaten, das dem Recht der Vereinigten Staaten unterliegt, und wird weiterhin auf rechtmäßige Verfahren reagieren. Was sich ändert, ist der Beweisstandard, den wir anwenden, bevor wir akzeptieren, dass eine Anfrage von der Behörde stammt, die sie vorgibt zu repräsentieren.
Für Strafverfolgungsbehörden: Wie die Exposition gegenüber Identitätsdiebstahl verringert werden kann
Wir erkennen an, dass die Institutionen, die von dieser Kategorie des Missbrauchs am stärksten betroffen sind, die legitimen Strafverfolgungsbehörden sind, deren Anmeldedaten gestohlen und nachgeahmt werden. Wir bieten die folgenden Beobachtungen an, die mit allgemeinen Best Practices für Sicherheit übereinstimmen:
Beamtenanmeldedaten, die für institutionelle E-Mails verwendet werden, sollten durch Multi-Faktor-Authentifizierung unter Verwendung von Hardware-Tokens oder vergleichbaren Mechanismen anstelle von SMS-basierten Codes geschützt werden. Institutionelle E-Mail-Systeme sollten auf anomale Zugriffsmuster überwachen, insbesondere auf Authentifizierung von unerwarteten geografischen Standorten oder über anonymisierende Netzwerke. Ausgehende rechtliche Anfragen an Dienstanbieter sollten, wo möglich, über dokumentierte und verifizierte Kanäle anstelle von Ad-hoc-E-Mails übermittelt werden, und Anbieterantworten sollten über dieselben Kanäle erwartet werden. Behörden, die glauben, dass ihre Anmeldedaten oder die eines Kollegen kompromittiert worden sein könnten, sollten betroffene Anbieter über verifizierte institutionelle Kanäle kontaktieren und in Betracht ziehen, das FBI über IC3 zu benachrichtigen.
Dies sind keine neuen Empfehlungen. Es sind die Empfehlungen, die die Bedrohungslage nun unvermeidbar gemacht hat.
Unsere Position
Onion Mail existiert, um die Privatsphäre und Anonymität seiner Nutzer zu schützen. Diese Werte sind keine Slogans; sie sind in der technischen Architektur des Dienstes kodiert. Nutzer greifen über Tor oder VPN zu, verschlüsseln ihre Nachrichten mit PGP, stellen ihre Konten ohne Telefonnummern wieder her und verifizieren den Zustand ihres eigenen Schutzes durch in das Produkt integrierte Indikatoren. Der Anbieter hält konstruktionsbedingt weniger Informationen über den Nutzer, als der Nutzer die Möglichkeit hat zu teilen.
Diese Werte sind vollständig kompatibel mit dem Betrieb als legales Unternehmen. Onion Search Engine LLC ist ein registriertes Unternehmen der Vereinigten Staaten, das die für es geltenden Gesetze einhält. Schutz der Privatsphäre und Rechtskonformität stehen nicht in Spannung zueinander, wenn der Dienst korrekt gestaltet ist. Wir schützen Nutzer vor unrechtmäßiger Überwachung, missbräuchlicher Identitätstäuschung und der Kompromittierung institutioneller Kanäle, die sie nicht kontrollieren können. Wir arbeiten mit legitimen Behörden über verifizierte Mittel zusammen, im Rahmen des Gesetzes.
Wir sind nicht und waren niemals ein Dienst, der dazu konzipiert wurde, denen zu helfen, die versuchen, sich legitimer rechtlicher Aufsicht zu entziehen. Wir sind auch kein Dienst, der betrügerische Anfragen als legitim behandeln wird, nur weil sie über Kanäle eintreffen, die die Branche bisher als maßgeblich behandelt hat.
Das Vertrauensmodell, das die Branche für die Verifizierung von Strafverfolgungsbehörden verwendet hat, ändert sich, weil sich die Bedrohungsumgebung geändert hat. Dieser Artikel ist Teil unserer Reaktion auf diese Veränderung: eine öffentliche, dokumentierte, verifizierbare Erklärung dessen, was wir tun, was wir getan haben, was wir gelernt haben und wie wir künftig arbeiten werden.
Für weitere Informationen beschreiben unsere Datenschutzerklärung und Nutzungsbedingungen detailliert den rechtlichen Rahmen, innerhalb dessen Onion Mail operiert. Nutzer, die den Zustand ihrer eigenen Kontosicherheit verifizieren möchten, können dies jederzeit unter https://onionmail.org/account/security/events tun.