Der Mann nennt sich Computerexperte, und das hat er wahrlich bewiesen. Vor den Schranken zweier US-Gerichte schimpft man ihn dagegen "Hacker" und "Cyberterrorist". Wohl nicht ganz ohne Grund: Der 36 Jahre alte Gary M. gilt als überführt, in 92 verschiedene Rechner von Nasa, Pentagon und anderen US-Regierungsstellen eingedrungen zu sein, dort Passworte gestohlen, Daten eingesehen und gelöscht zu haben. Gary M. bewies unbestritten ein gerütteltes Maß an krimineller Energie, obwohl nicht bekannt ist, ob er überhaupt persönlichen Nutzen aus seinen Cracks zog.

Peinlich für die US-Behörden: Gary M. trieb sich von Februar 2001 bis März 2002 augenscheinlich frei in ihren Netzwerken herum, ohne dass er zu stoppen gewesen wäre. Im Februar 2002 schließlich gelang ihm sein spektakulärster Coup: Gary M. hackte sich in das Militärnetzwerk des District Washington und brachte rund 2000 Rechner zum Absturz. Verursachter Schaden nach Schätzung des amerikanischen Militärs: 900.000 Dollar.

Juristisches Exempel als Botschaft an die Hacker-Community?

Dafür, so scheint es, wollen die Geschädigten ihm nun umso grimmiger an die Wäsche: Schon, sagt US-Staatsanwalt Paul McNulty, arbeite seine Behörde mit der Abteilung Hightech-Kriminalität der britischen Polizei an Gary M.s Auslieferung.

Das allerdings wäre ein echtes Novum, das erste Auslieferungsbegehren der USA an einen anderen Staat wegen eines Datenverbrechens. Noch nicht einmal der "Lovebug"-Verbreiter Guzman war den US-Behörden einen Auslieferungsantrag wert, trotz eines durch ihn verursachten Schadens, der angeblich Milliardenhöhe erreichte. Doch nach dem 11. September 2001 hat sich das Klima in den USA für Cracker wie Hacker deutlich verschlechtert: Die Bush-Regierung arbeitet an der generellen Kriminalisierung des Hackens.

Hack ist nicht Crack, doch den Behörden ist das einerlei

Versuche der Hacking-Community, auf den grundsätzlichen Unterschied zwischen (kostruktivem) Hacken und (destruktivem) Cracken hinzuweisen, verpuffen wirkungslos. Allerdings läuft derzeit die Diskussion darüber, Hacker, die durch ihre Aktionen auf Sicherheitsprobleme aufmerksam machen wollen, eventuell weniger hart zu bestrafen als Cracker, die nur Schaden verursachen wollen. Angriffe auf Regierungsserver sollen künftig grundsätzlich als terroristische Akte gewertet und entsprechend geahndet werden. Wie die US-Behörden den Fall Gary M. bewerten, dokumentieren sie allein schon durch eine Personalie: Bekannt wurde Staatsanwalt McNulty, weil er auch die Klage gegen den "amerikanischen Taliban" John Walker Lindh führte.

Noch sind die entsprechenden Gesetze nicht in Kraft, doch bereits jetzt könnte sich Gary M. mit einem drakonischen Strafmaß konfrontiert sehen. Acht Anklagen stehen gegen ihn, entsprechend könnte er achtmal verurteilt werden: Die beantragten Strafmaße für die Einzelvergehen variieren zwischen fünf und zehn Jahren. Im Höchstfall käme dabei eine wahrhaft lebenslängliche Strafe heraus - in Verbindung mit Geldbußen in Millionenhöhe. Staatsanwalt McNulty lässt wenig Zweifel daran, dass er vorhat, an Gary M. ein Exempel zu statuieren.

McNulty wörtlich: "Dieser Fall sollte Hackern eines klar machen: Man kann im Internet nicht anonym agieren. Wenn Ihr uns hackt, dann finden wir Euch. Wir werden Euch anklagen und hinter Gitter schicken." Noch ist Gary M. frei, und noch ist auch seine Schuld nicht bewiesen: Kommentieren will er die gegen ihn anhängigen Verfahren nicht.

Der Prozess könnte peinlich werden

Seine Verteidigung wird der vermeintliche Superhacker aber wohl auf eine ganze Reihe von für die US-Behörden hoch peinliche Fakten stützen: Aus Gary M.s Sicht waren die Cracks ein Kinderspiel. M. tat nicht mehr, als seit Jahren bekannte Sicherheitslücken in Windows NT und Windows 2000 auszunutzen. Zu rund 65.000 Regierungsrechnern bekam er nur deshalb Zugang, weil es die Militärbehörden versäumt hatten, Sicherheitspatches auszuführen, die der Betriebssystem-Hersteller Microsoft teils schon seit zwei Jahren kostenlos anbot.

Einmal in den Netzwerken soll es für Gary M. kein großes Problem gewesen sein, Zugang zu den einzelnen Rechnern zu finden. Ansatzpunkt war für ihn angeblich die gezielte Suche nach einer Security-Todsünde: Zahlreiche PC-Nutzer in Nasa, Pentagon und anderen Behörden hatten es demnach versäumt, ihre Rechner und Netzwerk-Accounts mit einem individuellen Passwort zu schützen. Zu viele von ihnen ließen einfach das stehen, was das System als Default-Passwort vorgab. So wurde ein Allerweltsbegriff zum Standard-Passwort, das Gary M. die freie Bewegung in den Systemen erst ermöglicht haben soll.