Was heißt Doxing?
Begriff und Definition
Unter Doxing oder Doxxing versteht man das gezielte Sammeln, Zusammenführen und Veröffentlichen personenbezogener oder privater Informationen über eine Person, in der Regel ohne deren Einwilligung.
Der Begriff leitet sich vom englischen Ausdruck „docs“ beziehungsweise „documents“ für „Dokumente“ ab.
Kennzeichnend für Doxing ist häufig, dass Informationen über eine Person öffentlich zugänglich gemacht werden, um deren Anonymität oder Pseudonymität aufzuheben, sie bloßzustellen, einzuschüchtern oder sie für Belästigungen, Bedrohungen und andere Übergriffe leichter erreichbar zu machen.
Dabei müssen die veröffentlichten Informationen nicht zwangsläufig geheim oder illegal beschafft worden sein. Auch Daten, die einzeln bereits öffentlich zugänglich sind, können problematisch werden, wenn sie gezielt zusammengetragen, miteinander verknüpft und in einem Kontext veröffentlicht werden, der eine Gefährdung der betroffenen Person ermöglicht oder begünstigt.
Welche Informationen können Gegenstand von Doxing sein?
Beim Doxing können sehr unterschiedliche personenbezogene Informationen gesammelt und veröffentlicht werden. Dazu gehören beispielsweise:
● vollständiger Name und frühere Namen,
● private Wohnanschrift,
● Telefonnummern und E-Mail-Adressen,
● Geburtsdatum und andere persönliche Identifikationsdaten,
● Arbeitsplatz, berufliche Tätigkeit oder Ausbildungsstätte,
● Schule oder Aufenthaltsorte von Familienangehörigen,
● Informationen über Partner, Kinder, Freunde oder andere nahestehende Personen,
● private Fotos und Videos,
● Benutzerkonten und Profile in sozialen Netzwerken,
● Informationen über regelmäßig besuchte Orte oder alltägliche Gewohnheiten,
● finanzielle oder geschäftliche Informationen,
● private Nachrichten oder Dokumente,
● Fahrzeugdaten oder andere Informationen, die Rückschlüsse auf die Identität oder den Aufenthaltsort einer Person ermöglichen.
Besonders gefährlich kann die Veröffentlichung einer Kombination verschiedener Informationen sein. Eine einzelne Information mag zunächst harmlos erscheinen. Werden jedoch beispielsweise Name, Wohnadresse, Arbeitsplatz, Telefonnummer und Angaben über Familienangehörige miteinander verknüpft, entsteht ein detailliertes persönliches Profil, das für Belästigungen oder andere Übergriffe missbraucht werden kann.
Motive und Kontext
Doxing kann aus unterschiedlichen Motiven erfolgen. Häufig steht es im Zusammenhang mit persönlichen Konflikten, politischen oder gesellschaftlichen Auseinandersetzungen, Online-Streitigkeiten oder gezielten Einschüchterungskampagnen.
Mögliche Motive sind insbesondere:
● Rache nach persönlichen oder beruflichen Konflikten,
● Einschüchterung und Machtausübung,
● öffentliche Bloßstellung oder Demütigung,
● Schädigung des beruflichen oder gesellschaftlichen Ansehens,
● politische oder ideologische Einschüchterung,
● Unterdrückung unerwünschter Meinungsäußerungen,
● Mobilisierung anderer Personen zur Belästigung des Betroffenen,
● Aufdeckung der Identität einer anonym oder unter einem Pseudonym auftretenden Person.
Besonders betroffen können Menschen sein, die öffentlich sichtbar auftreten, beispielsweise Journalisten, Politiker, Aktivisten, Wissenschaftler, Künstler, Streamer oder andere Personen mit einer größeren Online-Präsenz. Grundsätzlich kann jedoch jede Person zum Ziel von Doxing werden.
Das eigentliche Ziel besteht häufig darin, die Grenze zwischen der digitalen und der realen Identität einer Person aufzuheben. Eine Person, die beispielsweise unter einem Pseudonym an einer Online-Diskussion teilnimmt, kann durch die Veröffentlichung ihres Klarnamens, ihrer Wohnadresse und ihres Arbeitsplatzes plötzlich auch außerhalb des Internets erreichbar und damit verwundbarer werden.
Wie gelangen Täter an die Informationen?
Doxing beruht häufig nicht auf einer einzigen Informationsquelle. Vielmehr werden Daten aus unterschiedlichen Quellen gesammelt und anschließend miteinander kombiniert.
1. Öffentlich zugängliche Informationen
Viele Informationen lassen sich bereits über öffentlich zugängliche Quellen finden. Dazu können gehören:
● soziale Netzwerke,
● berufliche Profile,
● persönliche Webseiten,
● Forenbeiträge,
● öffentliche Verzeichnisse und Register,
● Presseberichte,
● Vereins- oder Unternehmenswebseiten.
Einzelne Informationen können dabei miteinander verknüpft werden. Beispielsweise kann ein Foto Hinweise auf einen Wohnort geben, während ein berufliches Profil den Arbeitgeber nennt und ein älterer Beitrag weitere persönliche Informationen enthält.
2. Social-Media-Recherche und Data Mining
Soziale Netzwerke können zahlreiche Informationen enthalten, die zusammengenommen ein detailliertes Bild einer Person ergeben. Fotos, Ortsangaben, Markierungen, Freundeslisten, Kommentare und ältere Beiträge können beispielsweise Hinweise auf Wohnort, Arbeitsplatz, Familienangehörige oder regelmäßig besuchte Orte liefern.
Problematisch ist dabei, dass Menschen häufig über viele Jahre hinweg kleine persönliche Informationen veröffentlichen, deren Bedeutung isoliert betrachtet gering erscheint. Durch systematische Zusammenführung können daraus jedoch umfangreiche persönliche Profile entstehen.
3. Datenlecks
Bei früheren Datenpannen oder Hackerangriffen können große Mengen personenbezogener Daten öffentlich oder in kriminellen Kreisen verfügbar werden.
Dazu gehören beispielsweise:
● E-Mail-Adressen,
● Telefonnummern,
● Benutzernamen,
● Passwörter oder Passwort-Hashes,
● Adressdaten,
● Geburtsdaten.
Solche Informationen können mit öffentlich zugänglichen Daten abgeglichen werden, um eine Person eindeutig zu identifizieren oder weitere Informationen über sie zu finden.
4. Social Engineering
Beim sogenannten Social Engineering versuchen Täter, Menschen durch Täuschung oder Manipulation dazu zu bringen, persönliche Informationen preiszugeben. Dabei können sie sich beispielsweise als Mitarbeiter eines Unternehmens, technischer Support, Bekannte oder andere vertrauenswürdige Personen ausgeben.
Eine besondere Form ist Phishing, bei dem beispielsweise gefälschte E-Mails, Nachrichten oder Webseiten verwendet werden, um Zugangsdaten oder persönliche Informationen zu erlangen.
5. Technische Informationsquellen
Unter bestimmten Umständen können auch technische Informationen Hinweise auf eine Person geben. Dazu können beispielsweise Metadaten in Dokumenten oder Bildern gehören.
Fotos können etwa – sofern entsprechende Informationen gespeichert und nicht entfernt wurden – Angaben über Aufnahmezeitpunkt, verwendetes Gerät oder Standortinformationen enthalten.
Unterschied zwischen Recherche und Doxing
Nicht jede Recherche über eine Person ist automatisch Doxing. Journalisten, Wissenschaftler, Behörden oder Privatpersonen können aus legitimen Gründen öffentlich zugängliche Informationen recherchieren. Entscheidend sind insbesondere Art, Umfang, Kontext und Zweck der Sammlung und Veröffentlichung.
Problematisch wird die Veröffentlichung vor allem dann, wenn personenbezogene Informationen gezielt so verbreitet werden, dass eine Person dadurch eingeschüchtert, verfolgt, bedroht oder einer konkreten Gefährdung ausgesetzt werden kann.
Doxing ist daher nicht lediglich „Recherche über jemanden“. Es kann vielmehr eine Form digitaler Gewalt darstellen, bei der Informationen als Mittel zur Einschüchterung oder Schädigung eingesetzt werden.
Mögliche Folgen für Betroffene
Die Auswirkungen von Doxing können erheblich sein und weit über das Internet hinausreichen.
Mögliche Folgen sind:
● massenhafte beleidigende oder bedrohende Nachrichten,
● Cybermobbing und öffentliche Diffamierung,
● Stalking und Nachstellung,
● unerwünschte Kontaktaufnahme am Arbeitsplatz oder zu Hause,
● Bedrohung von Familienangehörigen,
● Identitätsmissbrauch oder Identitätsdiebstahl,
● Rufschädigung und berufliche Nachteile,
● finanzielle Schäden,
● Erpressungsversuche,
● konkrete Gefährdung der körperlichen Sicherheit.
Besonders belastend ist häufig der Verlust der Kontrolle über persönliche Informationen. Einmal veröffentlichte Daten können kopiert, weiterverbreitet, archiviert und auf anderen Plattformen erneut veröffentlicht werden.
Zusammenhang mit „Swatting“
Eine besonders gefährliche mögliche Folge von Doxing ist das sogenannte Swatting. Dabei täuscht eine Person gegenüber Polizei oder Rettungsdiensten eine schwere Notlage oder Straftat vor und nennt dabei die Adresse des Opfers. Beispielsweise wird fälschlicherweise behauptet, an einer bestimmten Adresse finde gerade eine Geiselnahme oder eine andere schwere Gewalttat statt.
Ziel ist es, einen umfangreichen Polizeieinsatz an der Wohnadresse der betroffenen Person auszulösen. Damit ein solcher Angriff möglich ist, benötigen Täter häufig die tatsächliche Wohnanschrift des Opfers. Doxing kann daher eine Grundlage für derartige weitergehende Übergriffe schaffen.
Beispiel für Doxing
- Eine Person beteiligt sich unter einem Pseudonym an kontroversen Diskussionen in einem Internetforum.
- Ein anderer Nutzer versucht daraufhin, ihre tatsächliche Identität herauszufinden. Er durchsucht ältere Beiträge, soziale Netzwerke und öffentlich zugängliche Informationen und findet schließlich den vollständigen Namen, die Wohnadresse und den Arbeitgeber der Person.
- Anschließend veröffentlicht er diese Informationen zusammen mit der Aufforderung, die betreffende Person zu kontaktieren oder „zur Rede zu stellen“.
- Dadurch wird die ursprünglich pseudonym auftretende Person identifizierbar und möglicherweise einer konkreten Gefahr von Belästigung, Bedrohung oder Nachstellung ausgesetzt.
Rechtliche Einordnung in Deutschland
Doxing ist in Deutschland rechtlich insbesondere dann relevant, wenn personenbezogene Daten in einer Weise verbreitet werden, die geeignet ist, die betroffene Person oder ihr nahestehende Personen einer Gefahr auszusetzen.
Eine zentrale strafrechtliche Vorschrift ist § 126a StGB – Gefährdendes Verbreiten personenbezogener Daten. Die Vorschrift wurde geschaffen, um bestimmte Formen der gefährdenden Veröffentlichung personenbezogener Daten ausdrücklich strafrechtlich zu erfassen.
Vereinfacht gesagt kann eine Strafbarkeit insbesondere dann in Betracht kommen, wenn personenbezogene Daten öffentlich verbreitet oder einer Vielzahl von Personen zugänglich gemacht werden und dies nach den konkreten Umständen geeignet und dazu bestimmt ist, die betroffene Person oder eine ihr nahestehende Person der Gefahr bestimmter gegen sie gerichteter Straftaten auszusetzen.
Nicht jede Veröffentlichung personenbezogener Informationen erfüllt daher automatisch den Straftatbestand des § 126a StGB. Entscheidend sind immer die konkreten Umstände des Einzelfalls, insbesondere die Art der Daten, die Art ihrer Verbreitung, der Kontext, die erkennbare Zielrichtung und die daraus entstehende Gefährdung.
Darüber hinaus können – abhängig vom jeweiligen Sachverhalt – weitere strafrechtliche Vorschriften relevant sein, beispielsweise im Zusammenhang mit:
● Bedrohung,
● Nachstellung beziehungsweise Stalking,
● Beleidigung oder Verleumdung,
● Nötigung,
● Verletzungen des höchstpersönlichen Lebensbereichs,
● unbefugtem Zugriff auf Daten oder Computersysteme.
Auch datenschutzrechtliche und zivilrechtliche Ansprüche können eine Rolle spielen. Die unzulässige Verarbeitung oder Veröffentlichung personenbezogener Daten kann unter bestimmten Voraussetzungen gegen datenschutzrechtliche Bestimmungen verstoßen. Betroffene können außerdem beispielsweise Unterlassungs-, Löschungs- oder gegebenenfalls Schadensersatzansprüche geltend machen.
Die rechtliche Bewertung hängt jedoch stets vom konkreten Einzelfall ab. Deshalb ist die vereinfachte Aussage „Doxing ist immer strafbar“ juristisch zu pauschal. Richtig ist vielmehr: Bestimmte Formen des Doxing können in Deutschland ausdrücklich strafbar sein und zugleich weitere straf-, zivil- und datenschutzrechtliche Folgen haben.
Zusammenfassung
Doxing bezeichnet das gezielte Sammeln, Zusammenführen und Veröffentlichen personenbezogener Informationen über eine Person ohne deren Zustimmung, häufig mit dem Ziel oder der Folge, ihre Anonymität aufzuheben und sie einzuschüchtern, bloßzustellen oder einer Gefährdung auszusetzen.
Die besondere Gefahr liegt darin, dass Informationen aus der digitalen Welt unmittelbare Auswirkungen auf das reale Leben haben können. Durch die Veröffentlichung von Wohnadresse, Telefonnummer, Arbeitsplatz oder Informationen über Angehörige können Betroffene für Belästigung, Stalking, Bedrohungen und andere Übergriffe leichter erreichbar werden.
Doxing ist deshalb nicht lediglich als unerwünschte Veröffentlichung persönlicher Informationen zu verstehen. In schwerwiegenden Fällen stellt es eine Form digitaler Gewalt dar, die erhebliche psychische, soziale, berufliche und körperliche Folgen für die betroffenen Personen haben kann.
Werner Eberwein