Vergessene Teams-Aufnahme überführt Hacker-Zwillinge: Eine Lehrstunde über Insider-Bedrohungen
Zwei Zwillingsbrüder, gefeuert bei einem US-IT-Dienstleister für Behörden, löschten aus Rache binnen einer Stunde 96 Datenbanken der US-Regierung – und überführten sich dabei selbst: Einer hatte zu Beginn des Kündigungsgesprächs eine Microsoft-Teams-Aufnahme gestartet und vergessen, sie zu stoppen. Die etwa einstündige Aufnahme lieferte den Ermittlern ein wortgetreues Protokoll. Jenseits der Ironie ist der Fall eine Lehrstunde über Insider-Bedrohungen, sauberes Offboarding und den bewussten Umgang mit Aufnahmen.
Das Wichtigste in Kürze
- Was: Zwei Brüder löschten nach ihrer Kündigung 96 Behörden-Datenbanken eines IT-Dienstleisters.
- Der Patzer: Eine vergessene Teams-Aufnahme zeichnete Planung und Tat rund eine Stunde lang auf.
- Die Lücke: Der Zugang eines Bruders war beim Offboarding nicht entzogen worden.
- Die Pointe: Sie fragten zur Vertuschung eine KI um Rat – was nicht funktioniert und nur mehr Spuren hinterlässt.
- Lehre: Sofortiger, vollständiger Zugriffsentzug und Monitoring sind beim Offboarding entscheidend.
Was passiert ist
Nach Berichten von Ars Technica und WIRED sowie Gerichtsdokumenten handelt es sich um die 34-jährigen Zwillinge Muneeb und Sohaib Akhter aus Virginia, die beim Behörden-IT-Dienstleister Opexus (Fall- und Aktenmanagement, u. a. für Behördenanfragen) arbeiteten. Am 18. Februar 2025 wurden sie in einem Teams-Gespräch von der Personalabteilung gekündigt – nachdem frühere Verurteilungen bekannt geworden waren (unter anderem für einen Hack von US-Außenministeriums-Systemen Jahre zuvor). Zu Beginn des Termins startete einer der Brüder eine Aufnahme; die HR-Mitarbeiter verließen das Meeting nach gut zweieinhalb Minuten – doch die Aufnahme lief etwa eine Stunde weiter und hielt fest, wie die beiden ihre Rache planten und ausführten.
Während der Zugang des einen Bruders bereits gesperrt war, hatte der andere noch Rechte. Innerhalb kurzer Zeit löschten sie laut Anklage 96 Datenbanken der US-Regierung, luden über tausend Dateien samt sensibler Daten auf einen USB-Stick und fragten anschließend ein KI-Werkzeug, wie sich Protokolle löschen ließen, um Spuren zu verwischen. Die selbst erzeugte Aufnahme lieferte den Ermittlern am Ende ein wortgetreues Protokoll der Tat. Zum Verfahrensstand: Sohaib wurde im Mai 2026 von einem Geschworenengericht verurteilt; ihm droht ein hohes Strafmaß, die Strafzumessung steht noch aus. Muneeb bekannte sich im April 2026 schuldig und versucht seither, dieses Geständnis zurückzunehmen. Wir geben den berichteten Stand wieder.
Insider-Bedrohung
Ein Sicherheitsrisiko, das von Personen mit legitimem Zugang ausgeht – aktuelle oder ehemalige Mitarbeiter, Dienstleister, Partner. Gerade beim Ausscheiden („Offboarding") ist die Gefahr hoch, wenn Zugänge nicht sofort und vollständig entzogen werden.
Die eigentliche Schwachstelle: mangelhaftes Offboarding
So kurios der Patzer mit der Aufnahme ist – die sicherheitsrelevante Lücke liegt woanders: Mindestens einem der gekündigten Mitarbeiter wurden die Zugriffsrechte nicht rechtzeitig entzogen. Genau dieser fortbestehende Zugang machte die Zerstörung erst möglich. Der Fall zeigt lehrbuchartig, warum Offboarding kein Formalakt ist, sondern ein sicherheitskritischer Prozess: Wer geht, darf im selben Moment keinen Zugriff mehr haben – schon gar nicht auf Produktivsysteme.
Die kuriose Pointe: Selbstüberwachung und ein KI-„Komplize"
Dass ausgerechnet die Täter die beste Beweisquelle lieferten, ist die Ironie des Falls. Noch aufschlussreicher ist der zweite Reflex: Die Brüder fragten eine KI, wie man Protokolle beseitigt. Das verdeutlicht zweierlei. Erstens: „Operational Security" scheitert oft an simplen menschlichen Fehlern, nicht an fehlender Technik. Zweitens: Eine KI ist kein Komplize – seriöse Systeme helfen nicht beim Verwischen von Straftaten, und solche Versuche hinterlassen am Ende nur zusätzliche Spuren. Wie KI Angriff und Verteidigung verschiebt, ordnen wir laufend im Zukunfts-Bereich ein.
Was Unternehmen daraus lernen
- Zugänge sofort und vollständig entziehen: Beim Offboarding alle Konten, Tokens und vor allem Admin-Rechte gleichzeitig deaktivieren – idealerweise vor oder mit dem Kündigungsgespräch.
- Least Privilege: Niemand sollte mehr Rechte haben als nötig; breite Produktiv-Zugriffe sind ein unnötiges Risiko.
- Funktionstrennung & Vier-Augen-Prinzip: Kritische Aktionen wie Massenlöschungen sollten nicht von einer Person allein auslösbar sein.
- Monitoring und Alarme: Ungewöhnliche Aktivitäten – etwa massenhafte Löschungen oder große Downloads – sollten sofort Warnungen auslösen.
- Sichere, unveränderliche Backups: Offline- bzw. immutable Backups begrenzen den Schaden, wenn doch etwas passiert.
Wie Organisationen Schwachstellen früh erkennen, behandelt der Beitrag „Cybersecurity-Scanner"; weitere Schutzthemen im Sicherheits-Bereich.
Was es für dich persönlich bedeutet
Auch ohne kriminellen Hintergrund steckt eine Alltagslektion im Fall: Wisse stets, ob ein Online-Meeting aufgezeichnet wird. In Teams, Zoom & Co. zeigt ein Hinweis die laufende Aufnahme an – man sollte ihn aktiv wahrnehmen, statt darauf zu vertrauen, dass „schon nichts mitläuft". Microsoft führt zudem zusätzliche Schutzfunktionen für Meetings ein, etwa gegen unbefugte Bildschirmaufnahmen. Praktisch heißt das:
- Aufnahme-Status prüfen: Achte zu Beginn und während eines Calls auf den Aufnahme-Hinweis.
- Bewusst sprechen und teilen: Gehe davon aus, dass Gesagtes und Gezeigtes aufgezeichnet werden könnte.
- Sensibles trennen: Vertrauliche Inhalte gehören nicht beiläufig in ein laufendes, womöglich aufgezeichnetes Meeting.
Die eigentliche Lehre
Der spektakuläre Patzer lenkt von der nüchternen Wahrheit ab: Der größte Hebel lag beim Arbeitgeber, nämlich im sauberen Entzug der Zugriffsrechte. Insider-Risiken managt man nicht mit Hoffnung, sondern mit Prozessen – sofortiges Offboarding, minimale Rechte, Monitoring und gute Backups.
Werkzeuge und Grundlagen dazu findest du im Tools-Bereich.
Häufige Fragen (FAQ)
Was ist im Fall der „Hacker-Zwillinge" passiert?
Wie konnten sie überhaupt Daten löschen?
Was ist eine Insider-Bedrohung?
Hilft eine KI dabei, Spuren zu verwischen?
Wie schütze ich mich in Online-Meetings?
Der Beitrag zeigt, wie Organisationen Lücken früh aufspüren – auch solche, die Insider ausnutzen könnten. Monitoring und Rechte-Hygiene sind zentrale Bausteine. Eine sinnvolle Vertiefung zu diesem Fall.
Im Sicherheits-Bereich behandeln wir Insider-Bedrohungen, Zugriffskontrolle und digitale Selbstverteidigung. Wir erklären, welche Prozesse wirklich schützen. So bist du vorbereitet.
Im Tools-Bereich ordnen wir Werkzeuge für Zugriffsverwaltung, Monitoring und Privatsphäre ein. Wir zeigen, worauf es bei sicherer Konfiguration ankommt. Praktisch für Teams und Einzelne.
Im Zukunfts-Bereich beleuchten wir, wie KI Angriff und Verteidigung verändert. Wir ordnen ein, was das für Sicherheit und Alltag bedeutet. So erkennst du Entwicklungen früh.
Im Blog greifen wir aktuelle Entwicklungen aus Sicherheit, KI und Technik auf und ordnen sie ein. Statt reiner Schlagzeilen findest du hier Kontext und praktische Relevanz. Regelmäßige Beiträge halten dich auf dem Laufenden.
Quellen u. a.: investigative Berichterstattung von Ars Technica auf Basis von Gerichtsdokumenten sowie WIRED. Angaben zum Verfahren geben den berichteten Stand wieder; für nicht rechtskräftig Verurteilte gilt die Unschuldsvermutung. Angaben ohne Gewähr, Informationsstand: Juni 2026.
Dieser Beitrag dient der Aufklärung und Prävention und stellt keine Rechtsberatung dar. Er enthält bewusst keine technischen Anleitungen zu Datenlöschung, Sabotage oder Spurenverwischung.