Handynummern von Top-Spionen im Netz: BND-Vize und europäische Geheimdienstchefs betroffen

Die Handynummer eines der mächtigsten Geheimdienstler Deutschlands war jahrelang für jeden im Internet zu finden. Das Profilbild bei WhatsApp zeigte einen Eisbären – passend zum Spitznamen des Mannes dahinter: Dag Baehr, Generalmajor der Bundeswehr und seit 2023 militärischer Vize-Präsident des Bundesnachrichtendienstes. Baehr leitet die strategische Militäraufklärung im Ausland. Seine Teams beschaffen Informationen über russische Atomwaffen, nordkoreanische Raketenprogramme, chinesische Weltraumwaffen. Fast alles, womit er arbeitet, unterliegt strikter Geheimhaltung. Und doch: Seine private Handynummer, seine E-Mail-Adressen und seine Wohnanschrift in Bayern waren seit Jahren öffentlich einsehbar.

Die Daten stammten aus einem Hack von 2020. Hacker drangen in ein amerikanisches Online-Auktionshaus ein – eine Plattform für Kunst, Antiquitäten und Sammlerstücke – und erbeuteten die Informationen von etwa 3,4 Millionen Kunden. Baehrs Daten landeten im Internet und blieben dort. Das Auktionshaus hatte seine Nutzer per E-Mail über den Vorfall informiert. Baehr kannte das Leak. Und nutzte die Nummer trotzdem weiter – bis kurz vor der Veröffentlichung dieser Recherche. Als WDR und SZ ihn am 9. September anriefen, erreichten sie ihn unter der geleakten Nummer. Im Gespräch sagte Baehr, er wisse schon lange von dem Leak. Er nutze die Nummer aber nur privat und in eingeschränktem Umfang, für Menschen, die sich schwer eine neue Nummer merken könnten. Das Handy werde regelmäßig auf Schadsoftware gescannt.

Sechs Tage später, kurz vor der Veröffentlichung, meldete sich Baehr erneut. Er habe die alte Nummer aus familiären Gründen beibehalten, teilte er mit. "Das war ein Fehler. Ich habe diesen inzwischen korrigiert." Der BND selbst wollte sich nicht äußern. Ein Sprecher des Bundeskanzleramtes, das die Aufsicht über den BND ausübt, sagte nur: Hinweise auf Datenleaks von Sicherheitsbeamten würden sehr ernst genommen. Mehr nicht.

Doch die Sicherheitsrisiken sind erheblich. Christopher Nehring, ein Geheimdienstexperte, erklärt, dass eine öffentlich bekannte Nummer es Angreifern erleichtert, ein Gerät zu lokalisieren und anzugreifen. E-Mail-Adressen und Handynummern sind Schlüssel zur digitalen Welt – oft verbunden mit Apps und Diensten. Mit solchen Daten können Angreifer ein Profil über eine Zielperson erstellen: Vorlieben, Aufenthaltsorte, Hobbys, möglicherweise kompromittierendes Material. Sie können Phishing-Anschläge starten, Social-Engineering-Methoden nutzen, um jemanden dazu zu bringen, auf einen Link zu klicken und Schadsoftware zu installieren. Sie können die Kontaktdaten auch nutzen, um Personen aus dem privaten oder beruflichen Umfeld der Zielperson anzugehen. Die NATO warnte intern sogar explizit vor russischen Geheimdiensten, die vermehrt Messenger-Konten wie WhatsApp und Signal nutzen, um Zielpersonen auszuspähen oder sich als diese auszugeben.

Besonders beunruhigend: Mehrere Beamte und Militärs aus dem deutschen Sicherheitsbereich, mit denen WDR und SZ sprachen, hatten in ihren Telefonen nur die geleakte Nummer als Erreichbarkeit von Baehr gespeichert. Sie kannten Baehr nur aus dem beruflichen Umfeld. Ob die Nummer also wirklich nur privat genutzt wurde, bleibt eine offene Frage. Baehr war zum Zeitpunkt des Hacks 2020 noch nicht beim BND, arbeitete aber bereits in einem äußerst sicherheitssensiblen Bereich: Er leitete das Kommando Strategische Aufklärung der Bundeswehr. Davor, von 2013 bis 2017, führte er das Kommando Spezialkräfte – die KSK, jene Bundeswehr-Eliteeinheit, die streng geheime Einsätze in Kriegs- und Krisengebieten ausführt.

Baehr ist kein Einzelfall. Recherchen zeigen, dass mehrere europäische Geheimdienstchefs von ähnlichen Datenpannen betroffen sind. Peter Reesink, Leiter des niederländischen Militärgeheimdienstes MIVD, konnte bis vor wenigen Wochen über eine Fitness-App verfolgt werden. Seine Fahrrad- und Laufrunden waren einsehbar – etwa sein Heimweg von der MIVD-Zentrale bis zu seiner privaten Wohnanschrift, inklusive Spitzengeschwindigkeiten und geschätztem Kalorienverbrauch. In einem Datenleak, bei dem vor Jahren die privaten Informationen von Millionen von Niederländern im Netz landeten, finden sich auch Reesinks Adresse und Handynummer. Auf Nachfrage sagte Reesink, ihm sei nicht bewusst gewesen, dass seine Privatadresse in der App einsehbar sei. Wenige Tage nach dem Anruf der Reporter erschien in einer niederländischen Zeitung ein Bericht über das Fitness-Leak. Der MIVD teilte mit, Reesink bedaure, sein Konto bei der Plattform nicht gelöscht zu haben. Inzwischen ist Reesink auch nicht mehr über WhatsApp zu erreichen. Der Fall Baehr weckt Erinnerungen an die Signal-Gate-Affäre in den USA im vergangenen Frühjahr, als die Handynummer des Pentagon-Chefs Pete Hegseth jahrelang offen in Leaks im Internet kursierte – eine eklatante Sicherheitspanne, die es feindlichen Mächten einfach gemacht hätte, sein Handy anzugreifen.