Teilweise Schwärzungen in Epstein-Dokumenten durch Hacking aufgehoben

• Es wurde bekannt, dass sich einige Schwärzungen in den vom US-Justizministerium veröffentlichten Dokumenten zum Fall Jeffrey Epstein durch Photoshop-Bearbeitung oder einfaches Kopieren von Text leicht aufheben lassen
• Die zuvor verdeckten Inhalte umfassen Förderung und Vertuschung des sexuellen Missbrauchs von Kindern, Zahlungsaufstellungen sowie Anweisungen zur Vernichtung von Beweismitteln
• Besonders in Unterlagen aus der Zivilklage der Jungferninseln gegen Darren Indyke und Richard Kahn wurde offengelegt, dass Indyke zwischen 2015 und 2019 mehr als 400.000 US-Dollar an weibliche Models zahlte
• Die Dokumente enthalten außerdem Immobilientransaktionen, bei denen Steuerzahlungen nicht in den Finanzberichten auftauchten; ob dies mit den Vorgaben des Epstein Files Transparency Act des Justizministeriums vereinbar ist, bleibt unklar
• Die Enthüllung wirft Fragen zur Dokumentensicherheit des Justizministeriums und zur Angemessenheit seiner Geheimhaltungsstandards auf

---

Entdeckung der aufgehobenen Schwärzungen

• Es wurde bestätigt, dass sich einige Schwärzungen in den vom US-Justizministerium veröffentlichten Dokumenten zu Jeffrey Epstein allein durch Photoshop-Bearbeitung oder das Kopieren von Text entfernen lassen
  • Dadurch verbreitete sich der zuvor geschwärzte Originaltext seit Montagabend über soziale Medien
• Bei den betreffenden Unterlagen handelt es sich um Beweismaterial aus der Zivilklage der Regierung der Jungferninseln gegen Indyke und Kahn, das beschreibt, wie Epstein und sein Umfeld sexuellen Missbrauch von Kindern förderten und vertuschten

Wichtigste offengelegte Inhalte

• In Abschnitt 85 des Dokuments steht, dass Indyke von September 2015 bis Juni 2019 mehr als 400.000 US-Dollar an weibliche Models und Schauspielerinnen zahlte
  • Ein Model russischer Herkunft erhielt demnach dreieinhalb Jahre lang monatlich 8.333 US-Dollar, insgesamt mehr als 380.000 US-Dollar
• In einem weiteren geschwärzten Teil wird erwähnt, dass die Beklagten Zeugen hohe Geldbeträge zahlten und Anwaltskosten übernahmen, um Prostitution und Missbrauch zu vertuschen
• Laut den Unterlagen verhinderte Epstein das Bekanntwerden seiner Verbrechen durch Drohungen gegen Opfer oder die Verbreitung verleumderischer Artikel sowie durch Anweisungen zur Vernichtung von Beweismitteln

Offengelegte Inhalte zu Finanzfragen

• In den Abschnitten 184 bis 192 des Dokuments finden sich Angaben zu von Epstein gegründeten Firmen, darunter Grundsteuerzahlungen für Immobilien, die in den Finanzberichten nicht auftauchten
  • So meldete die Firma Cypress Ende 2018 lediglich 18.824 US-Dollar an Bargeld als Vermögen, zahlte im selben Jahr jedoch 106.394,60 US-Dollar Grundsteuer für eine Immobilie in Santa Fe
  • Auch 2017 wurden in ähnlicher Weise 55.770,41 US-Dollar und 113.679,56 US-Dollar an Steuern gezahlt, während in den Finanzberichten nur 29.736 US-Dollar an Bargeld und 150 US-Dollar an Ausgaben verzeichnet waren

Rechtlicher Hintergrund und weitere Schritte

• Die Staatsanwaltschaft der Jungferninseln einigte sich 2022 in der Zivilklage wegen Menschenhandels zum Zweck sexueller Ausbeutung mit der Epstein-Stiftung sowie Indyke und Kahn auf 105 Millionen US-Dollar und die Hälfte des Verkaufserlöses von Little Saint James Island
  • Das Vergleichsdokument enthält kein Schuldeingeständnis
• Gegen Indyke wurde auf Bundesebene keine Anklage erhoben; 2022 wurde er von der Parlatore Law Group eingestellt
  • Die Kanzlei vertritt Verteidigungsminister Pete Hegseth und hatte zuvor Donald Trump im Fall der Geheimdokumente verteidigt
  • Indyke und die Kanzlei reagierten nicht auf Presseanfragen nach einer Stellungnahme

Reaktion des Justizministeriums und offene Fragen

• Der kürzlich verabschiedete Epstein Files Transparency Act erlaubt es dem Justizministerium, persönliche Daten von Opfern oder Informationen zu laufenden Ermittlungen zurückzuhalten
• Ob die nun offengelegten immobilienbezogenen Unterlagen unter diese Kriterien fallen, ist jedoch unklar; eine Antwort des Justizministeriums auf entsprechende Nachfragen liegt bislang nicht vor

Bedeutung des Falls

• Eine einfache technische Schwachstelle bei PDF-Schwärzungen führte zum Abfluss sensibler Informationen über Sexualstraftaten
• Damit werden Fragen zur Zuverlässigkeit der Sicherheitsmaßnahmen für öffentliche Dokumente und der rechtlichen Geheimhaltungskriterien aufgeworfen
• Es ist möglich, dass die Debatte über das Gleichgewicht zwischen Transparenz im Fall Epstein und dem Schutz der Opfer erneut aufflammt

[GN⁺]

Hacker-News-Kommentare

• Beim Teilen sensibler Dokumente will man oft nur einen Teil zeigen und den Rest verbergen
  Deshalb schwärze ich den Text immer, mache einen Screenshot und speichere ihn dann als PDF
  Ich hatte immer dieses vage Unbehagen, dass es bei reiner Software-Bearbeitung irgendwann wiederhergestellt werden könnte

  • Wenn man auf ein komprimiertes Bild schwarze Blöcke legt, können durch den Schatten des Kompressionsalgorithmus Informationen durchsickern
    Mit meinem selbst gebauten Tool jpguncrop habe ich solche Fälle bestätigt
  • Ich verschicke einfach nur Bilder und benutze PDF gar nicht
    In PDFs bleiben auch Metadaten erhalten, wodurch ungewollte Informationen offengelegt werden können
  • Wenn man sich die Reihe solcher Vorfälle in letzter Zeit ansieht, wirkt das wie der Gipfel der Inkompetenz. Da fragt man sich, ob es überhaupt noch tiefer gehen kann
  • Ich vertraue nur pixelbasierten Bildeditoren. Ein Verfahren, das ohne Bezug auf die Originalpixel vollständig überdeckt, halte ich für sicher
    Das PDF-Format ist zu komplex, um ihm wirklich zu vertrauen
  • Ich war schockiert, als ich früher Beispiele gesehen habe, in denen sich ein Blur-Effekt rekonstruieren ließ. Deshalb überdecke ich auch mehrfach und mache dann einen Screenshot

• Es ist absurd, dass so etwas schon wieder passiert
  Schon früher haben unzählige Institutionen beim Schwärzen von PDFs versagt
  Beispiele: der Fall Paul Manafort 2019, das TSA-Handbuch 2009, ein Dokument des britischen Verteidigungsministeriums 2011, das Urteil in Apple v. Samsung usw.
  Gemeinsam war ihnen allen derselbe Fehler: Der Text wurde nicht entfernt, sondern nur mit schwarzen Rechtecken überdeckt
  Die PDF Association hat solche Fälle in einem Bericht gesammelt

  • Ich habe mich gefragt, was passiert, wenn so ein Fehler vor Gericht vorkommt
    Anwälte dürfen diese Information aus ethischen Gründen nicht verwenden, aber Dritte wie Medien unterliegen keiner solchen Beschränkung
  • Bei diesen sich wiederholenden Fehlern könnte man fast an böswillige Pflichterfüllung (malicious compliance) denken
  • Es wirkt wie ein typischer Fall, in dem man sich an den Wortlaut des Gesetzes hält und seinen Geist ignoriert
  • Auch bei der Veröffentlichung von Slack-Nachrichten zum Ursprung von Covid konnten Forschende Inhalte dank schlecht geschwärzter PDFs wiederherstellen
  • Es könnte auch absichtliche Behinderung oder interner Widerstand mit politischem Hintergrund sein. Die Zuständigen scheinen von Personal geschult worden zu sein, das noch aus der vorherigen Regierung stammt, daher wohl der Konflikt

• Das Napoleon-Zitat „Störe deinen Feind nicht, wenn er gerade einen Fehler macht“ kommt mir in den Sinn
  Man sollte erst warten, bis alle Dateien veröffentlicht sind, und das Problem erst danach offenlegen

  • Aber das ist kein „Hacking“, sondern einfach ein typischer Anfängerfehler, bei dem Text nicht korrekt entfernt wurde
    Mit schwarzen Rechtecken oder Hervorhebungen kann man die Textauswahl nicht verhindern
  • Natürlich kann man die Möglichkeit eines absichtlichen Fehlers nicht ausschließen
  • Es haben schon zu viele Leute die Dokumente angefasst, daher ist eine Nachverfolgung der Verantwortung unmöglich geworden

• Ich frage mich, ob das bloß Inkompetenz ist oder eher eine bewusste Widerstandshandlung
  Hanlon’s Razor — „Schreibe nicht der Bosheit zu, was durch Dummheit hinreichend erklärt werden kann“ — fällt mir dazu ein

  • Wer schon einmal mit PDFs gearbeitet hat, kennt den Unterschied zwischen schwarzen Rechtecken und einem echten Schwärzungswerkzeug
    Vermutlich wurden ungeschulte Kräfte unter Zeitdruck eingesetzt
  • Eine andere Möglichkeit ist bewusste Ablenkung; gefährlicheres Beweismaterial könnte auf andere Weise verborgen worden sein
  • Manche Fälle könnten schlicht Gleichgültigkeit sein. Wichtige Unterlagen wurden vielleicht schon entfernt, und was übrig blieb, hat irgendwer halbherzig bearbeitet
    Was ich wirklich sehen will, ist das Überwachungskameramaterial. Das FBI dürfte es haben; warum wurde es nicht veröffentlicht?

• Die sicherste Methode ist wohl, auf Papier zu drucken, physisch auszuschneiden und dann wieder zu scannen
  Trotzdem würde ich mich fragen, ob nicht doch per Steganografie noch Daten zurückbleiben

  • Dabei könnte aber die Identität über Mikropunkte offengelegt werden
  • Auch die Printer Tracking Dots eines Druckers könnten im Scan sichtbar bleiben
    Siehe dieses Dokument

• Wenn man solche Wiederherstellungstechniken kennt, wäre es vielleicht besser, sie geheim zu halten, bis mehr Dokumente veröffentlicht wurden

• Text einfach per Copy-and-paste auszulesen, ist kein Hacking
  Das ist keine technische Intrusion, sondern Inkompetenz der Verantwortlichen, die die Regeln nicht beachtet haben

  • Aber auch das Erraten des Passworts für den Laptop einer anderen Person gilt als Hacking
    Es muss nicht komplex sein; wenn man Berechtigungen umgeht, ist es Hacking
  • Das ist die digitale Version von mit einem Post-it abdecken. So ein Fehler passiert viel zu oft
  • In der Überschrift sollte wenigstens kurz erklärt werden, worin dieses „Hacking“ konkret bestand
  • „Hacking“ muss nicht zwingend Hightech sein; ein nicht autorisierter Zugangsweg reicht schon
  • Heute wird es, wie bei „life hack“, auch im Sinn eines unerwarteten Tricks verwendet

• Ich frage mich, wie man korrekt schwärzt

  1. Mit einem Bildeditor schwarze Kästen darüberlegen und als Screenshot speichern
  2. Gleich wegschneiden (crop)
     Gibt es noch andere gute Methoden?

• „Dass man das Hacking nennt, ist lächerlich“
  Als Nächstes wird wohl sogar Ctrl+Alt+Del als geheimes Ritual bezeichnet

  • Hacking muss nicht elegant sein — wenn es funktioniert, ist es Hacking
    Mein früherer „Hack“, um ins Schulsystem zu kommen:
    Benutzername admin / Passwort password

• Das Lustige ist, dass der ganze Inhalt einfach erscheint, wenn man ihn kopiert und in Word einfügt
  Es wurden nur schwarze Rechtecke über das PDF gelegt

  • Ich verstehe allerdings nicht, warum man diese Methode erklärt, bevor alle Dokumente veröffentlicht wurden
  • Ich frage mich, warum man dafür überhaupt nach Word wechselt