Pentagon: DMDC-Datenleck legte neun Monate lang Datensätze von 2,76 Millionen Lebenden offen

Das Pentagon hat mitgeteilt, dass eine Lücke im Dateiaustausch des Defense Manpower Data Center die persönlichen Datensätze von rund 2,76 Millionen lebenden Menschen sowie von etwa 294.000 Verstorbenen offengelegt hat, und dass unbefugte Nutzer fast neun Monate lang Zugriff auf die Dateien hatten, bevor dies entdeckt wurde.

Zum Weiterlesen: Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen · Capcom meldet Datenpanne mit 11,7 Millionen Datensätzen und 196 geänderten Passwörtern.

Das Zentrum, kurz DMDC, entdeckte die Schwachstelle am 16. Juli 2026, schloss die Lücke und stellte das System wieder her. Eine Untersuchung ergab anschließend, dass eine kleine Zahl unbefugter Nutzer irgendwann zwischen Oktober 2025 und dem Tag der Entdeckung an die Dateien gelangte, ein Zeitfenster von etwa neun Monaten. Die Dateien waren nicht verschlüsselt. Die Angaben zum Umfang stammen von einem Beamten des Verteidigungsministeriums, das sich unter dieser Regierung Department of War nennt.

CNN berichtete am 25. September über die Offenlegung. TIME, ABC News und Federal News Network folgten innerhalb weniger Tage mit dem Ausmaß des Eindringens. Ars Technica berichtete am 1. Oktober, das Pentagon habe begonnen, „mehr als 2 Millionen“ Menschen zu benachrichtigen, und beschrieb den Vorfall als Kompromittierung „der Datensätze von 2,8 Millionen lebenden Personen“.

Die beiden Zahlenreihen beschreiben dasselbe Ereignis. Die 2,76 Millionen Lebenden und die 294.000 Verstorbenen sind die präzisen Angaben des Ministeriums, zusammen etwa 3,05 Millionen Datensätze. „2,8 Millionen“ und „mehr als 3 Millionen“ sind Rundungen. Der Unterschied ist klein, doch es lohnt zu beobachten, auf welche Zahl sich das Ministerium festlegt.

Was das DMDC speichert und was durchsickerte

DMDC ist die zentrale Personalaktenstelle des Pentagons, und sie ist riesig. Im Haushaltsjahr 2024 hielt sie mindestens 60 Millionen Datensätze über Militär- und Zivilpersonal, Auftragnehmer, Familienangehörige, Rentner und Veteranen. Ein Speicher dieser Größe ist ein anderes Ziel als das Mitarbeiterverzeichnis einer einzelnen Behörde.

Die Mischung der Menschen in diesen Datensätzen macht den Vorfall schwer zu handhaben. Eine DMDC-Datei lässt sich nicht sauber einer Liste aktueller Beschäftigter zuordnen. Sie kann Ehepartner und Angehörige enthalten, Auftragnehmer, die nie eine Uniform trugen, Rentner, die vor Jahrzehnten ausgeschieden sind, und Veteranen, deren Dienstzeit vor den heutigen Identitätsschutzmaßnahmen liegt. Alle von ihnen korrekt zu benachrichtigen und Menschen zu erreichen, deren Kontaktdaten selbst veraltet sein können, ist ein langsames Unterfangen.

Die offengelegten Felder unterschieden sich von Person zu Person, doch das Ministerium teilt mit, dass jeder Datensatz eine Sozialversicherungsnummer und mindestens einen weiteren Identifikator enthielt: Name, Geburtsdatum, Kontaktdaten, Geschlecht, Ethnizität und militärische Personalangaben wie die Verwendungsfachrichtung.

Die Größenordnung verändert die Art des Schadens. Mit mindestens 60 Millionen Datensätzen an einem Ort ist die Sammlung groß genug, dass ein Eindringling nach Mustern statt nach Einzelpersonen suchen kann: aktive Soldatinnen und Soldaten, bestimmte Einheiten, konkrete Berufscodes, kürzlich ausgeschiedene Personen. Diese Art der Filterung verwandelt ein Massenleck in ein gezieltes.

Auch die fehlende Verschlüsselung spielt eine Rolle. Sie hätte einen Eindringling mit gültigem Zugang zu einem autorisierten Dateiaustausch nicht gestoppt, aber sie hätte den Wert kopierter Dateien begrenzt. Ohne Verschlüsselung lagen die Daten lesbar vor, sobald der Zugang einmal erlangt war.

Warum die Verwendungsfachrichtung zählt

Security Affairs hob die Verwendungsfachrichtung besonders hervor. Sie ist der Teil eines Datensatzes, der einem ausländischen Nachrichtendienst hilft, die gesuchten Personen zu finden.

Eine Sozialversicherungsnummer ermöglicht Identitätsdiebstahl, was für die betroffene Person schon schlimm genug ist. Ein Berufscode plus ein Name plus eine SSN ermöglichen eine gezielte Ansprache. Funkaufklärer, Spezialkräfte, Cyberspezialisten und Personal mit Bezug zu Nuklear- oder Raketenprogrammen sind genau die Menschen, deren Verwendungsfachrichtung sie für einen ausländischen Dienst interessant macht. Wer den vollständigen Datensatz besitzt, kann diese Codes in großem Umfang filtern und dann Namen, Geburtsdaten und Kontaktdaten abgleichen, um eine Auswahlliste zu erstellen. Das ist der Unterschied zwischen einem Benachrichtigungsschreiben und einem nachrichtendienstlichen Problem.

Nicht jeder betroffene Datensatz enthielt die Fachrichtung, und das Ministerium hat nicht gesagt, wie viele es waren. Die Offenlegung ist unterschiedlich, also ist auch das praktische Risiko unterschiedlich.

Der Wert eines Feldes wie der Verwendungsfachrichtung wächst zudem mit jedem weiteren Leck. Ein Berufscode ist nützlicher, wenn er sich einem Namen, einem Geburtsdatum oder einer Adresse zuordnen lässt, die in einem separaten Vorfall aufgetaucht sind. Personaldaten haben eine lange Haltbarkeit, und über Jahre hinweg gesammelte Datensätze lassen sich zu einem Profil verbinden, das keine einzelne Offenlegung tragen würde.

Ein leises Eindringen neben einer lauten Kampagne

Dies ist der zweite große Vorfall bei einer US-Bundesbehörde, der innerhalb eines Monats bekannt wurde, und die beiden sehen völlig verschieden aus.

Die Erpressergruppe ShinyHunters behauptete, FBI-Systeme gehackt und Datensätze über Tausende aktuelle oder ehemalige FBI-Beschäftigte gestohlen zu haben. Reuters berichtete, die Datensätze hätten auch Berufsbezeichnungen mit Bezug zu China- oder Russland-Ermittlungen enthalten. Die niederländische Polizei nahm ein mutmaßliches ShinyHunters-Mitglied fest, einen 24-jährigen Mann in Amsterdam. Brett Leatherman, stellvertretender Direktor der Cyberdivision des FBI, veröffentlichte ein Video, in dem er die Gruppenmitglieder aufforderte, sich zu stellen.

„Je länger Sie dabei bleiben, desto mehr erfahren wir über Sie … wir wissen, wie wir Sie finden. Ich würde Ihnen raten, sich zuerst zu melden, solange die Wahl noch bei Ihnen liegt.“ — Brett Leatherman, stellvertretender Direktor, Cyberdivision des FBI

ShinyHunters will Aufmerksamkeit, und die Kampagne kam mit einem öffentlichen Bekenntnis, einem benannten Opfer und einer Festnahme. Das DMDC-Eindringen kam umgekehrt: kein Bekenntnis, kein benannter Täter und kein öffentlicher Bericht darüber, wie es geschehen konnte. Für Verteidiger ist der leise Fall der schwerere, weil es keine kriminelle Identität zum Nachverfolgen und keine Lösegeldforderung zum Analysieren gibt.

Die beiden Kampagnen unterscheiden sich auch darin, was sie den Ermittlern liefern. Ein öffentliches Bekenntnis, selbst ein eigennütziges, bietet einen Ausgangspunkt: eine Gruppe, die man verfolgen, eine Infrastruktur, die man kartieren, ein Motiv, das man prüfen kann. Ein Eindringen ohne Bekenntnis bietet nichts davon. Der DMDC-Fall muss aus Protokollen und Systemforensik rekonstruiert werden, und das Ministerium hat nicht gesagt, was diese zeigten.

Der OPM-Präzedenzfall

Das Leck beim U.S. Office of Personnel Management von 2015 ist der Vergleich, der in der Berichterstattung über den DMDC-Fall immer wieder auftaucht. Mit dem chinesischen Staat verbundene Hacker erbeuteten 22,1 Millionen Datensätze aus Sicherheitsüberprüfungen, darunter Fingerabdruckdaten, und der Fall gilt weiterhin als Maßstab für Schäden an Personaldaten der US-Regierung. An diesem Maßstab gemessen werden die DMDC-Zahlen selbst mit rund 3,05 Millionen ernst genommen und nicht als weitere Routinebilanz gelesen.

OPM legte zudem mehr als Identitäten offen: Es zeigte, wer an was arbeitete, dieselbe Kategorie an Erkenntnissen, die hier die Verwendungsfachrichtung liefert. Das Ausmaß bei DMDC ist kleiner. Die Sensibilität pro Datensatz überschneidet sich.

In beiden Fällen sind die geleakten Daten dauerhaft auf eine Weise, die ein Passwort nicht ist. Eine Sozialversicherungsnummer lässt sich nicht neu ausstellen, und ein geleakter Berufstitel und ein Geburtsdatum verfallen nicht. Personal-Leaks gelten aus diesem Grund als lebenslanges Risiko.

Was weiterhin unklar ist

Keine bekannte Cybercrime-Gruppe hat die Verantwortung für das DMDC-Leck übernommen. Das Pentagon hat nicht gesagt, wie die Angreifer hineinkamen, ob es die Verantwortlichen kontaktiert hat oder ob es Lösegeldforderungen gab.

Beamte sagen, die gestohlenen Daten seien nicht missbraucht worden. Sie haben nicht erklärt, wie sie zu diesem Schluss kamen. Eine Negativaussage über gestohlene persönliche Daten zu belegen ist nahezu unmöglich: Missbrauch zeigt sich oft erst Monate oder Jahre später als Betrug, Phishing oder gezielte Ansprache, und ein neunmonatiges Fenster unentdeckten Zugriffs ist lang genug, dass das bisherige Ausbleiben beobachteten Missbrauchs kein starker Beleg für dessen Abwesenheit ist.

Neun Monate sind ein langes Fenster. Es gab den Eindringlingen Zeit, Dateien zu kopieren, den Zugang auszuweiten und Spuren zu verwischen, und es verlängerte den Zeitraum, in dem ein möglicher Missbrauch vorbereitet werden konnte. Beamte haben nicht gesagt, was die Protokolle zeigten.

Was Betroffene tun sollten

Wer erfährt, dass er betroffen ist, sollte sich für die Kreditüberwachung anmelden, die DMDC über IDX bereitstellt, und dies vor dem 19. August 2027 tun statt in letzter Minute. Eine Kreditsperre bei den großen Auskunfteien ist eine stärkere Kontrolle als die Überwachung, doch sie muss aufgehoben werden, sobald die Person einen Kredit beantragt. Die Überwachung ist vor allem nützlich, weil sie ein im Namen einer anderen Person eröffnetes Konto nachträglich aufdeckt.

Da die geleakten Datensätze eine SSN mit einem Namen und in vielen Fällen mit Kontaktdaten verbinden, sind Identitätsbetrug und gezieltes Phishing die wahrscheinlichste Nutzung, nicht eine einmalige Kontoübernahme. Phishing, das einen echten Berufscode und eine echte Einheit nennt, ist überzeugender als ein generischer Köder, und es ist die Art von Sache, die in keiner Kreditauskunft auftaucht. Betroffene sollten unerwarteten Nachrichten über ihre Dienstgeschichte mit mehr Misstrauen begegnen als sonst.

Worauf zu achten ist

Drei Dinge lohnen eine Beobachtung. Attribution: ob die US-Regierung einen Täter benennt oder das Eindringen formell mit einem Staat oder einer kriminellen Gruppe verbindet. Korrektur des Umfangs: ob die Zahl von 2,76 Millionen Bestand hat, wenn die Benachrichtigung abgeschlossen ist, oder ob das Ministerium sie revidiert, wie es bei den OPM-Zahlen geschah. Und Erklärung: ob Beamte für die Behauptung, die Daten seien nicht missbraucht worden, irgendeinen Beleg liefern oder sie als Zusicherung ohne Grundlage stehen lassen.

Dateiaustauschsysteme sind aus einem einfachen Grund ein wiederkehrender Schwachpunkt in großen Organisationen. Sie existieren, um Dokumente zwischen Menschen zu bewegen, was bedeutet, dass sie darauf ausgelegt sind, erreichbar zu sein und Daten in nutzbarer Form zu halten. Eine Kontrolle, die einen Dateiaustausch sicherer macht, etwa die ausdrückliche Genehmigung für jede Datei und die Verschlüsselung aller ruhenden Daten, macht ihn zugleich unbequemer. Diese Spannung ist der Grund, warum geteilte Repositorien und nicht gehärtete Datenbanken so oft in Leck-Berichten auftauchen. Das Ministerium hat die konkrete DMDC-Lücke nicht beschrieben, doch die Kontur, ein unverschlüsselter Speicher, der monatelang für unbefugte Nutzer erreichbar war, folgt einem vertrauten Muster.

Eine formelle Attribution wäre ein bedeutender Schritt. Einen Staat oder eine kriminelle Gruppe zu benennen ist ebenso ein politischer und rechtlicher Akt wie ein technischer, und Regierungen warten oft auf eine Einschätzung, hinter der sie stehen können. Ein öffentliches Bekenntnis einer Gruppe oder eine Festnahme wären ein schnelleres Signal. Bisher gibt es weder das eine noch das andere, was den Vorfall ohne öffentliche Antwort auf seine grundlegendste Frage lässt: Wer hat die Dateien genommen.

Bis sich dieses Muster bei den Personalbehörden des Bundes ändert, werden die Benachrichtigungsschreiben weiter verschickt.

Titelbild: Ein US-Soldat steckt eine Common Access Card in eine Tastatur. Foto über das U.S. Marine Corps, gemeinfrei.