Lilith Wittmann

Lilith Wittmann (* 26. September 1995) ist eine deutsche Softwareentwicklerin, IT-Sicherheitsexpertin und Aktivistin aus Berlin, die sich selbst als „Krawall-Influencerin“ bezeichnet.

Lilith Wittmann (2021)

Leben

Wittmann brach nach eigenen Angaben mit 16 Jahren die Schule ab und absolvierte anschließend eine Berufsausbildung zur Fachinformatikerin für Anwendungsentwicklung. Neben ihrer Arbeit u. a. bei einer internationalen Unternehmensberatung, studierte sie Politikwissenschaften, Soziologie und Verwaltungswissenschaften. 2021 nahm sie als Fellow an dem Programm Work4Germany teil.

IT-Sicherheit

Sie erhielt im Mai 2021 durch Aufdecken von Sicherheitslücken in der App Luca und der Wahlkampf-App CDU connect größere mediale Aufmerksamkeit; der Bundesgeschäftsführer der CDU Stefan Hennewig stellte im Juli Strafanzeige gegen Wittmann, nachdem sie sein Angebot nicht angenommen hatte, für seine Partei zu arbeiten, und sie auch nicht die geforderte Schweigeverpflichtung unterzeichnete. Er zeigte sie an, obwohl Wittmann vor der Veröffentlichung sowohl den App-Hersteller als auch die zuständigen Behörden informiert und die Sperrung der Wahlkampf-App abgewartet hatte. Ihr Vorgehen orientierte sich an dem Konzept der Responsible Disclosure, eine verantwortungsvolle Art der Offenlegung von Sicherheitslücken. Der Vorgang wurde als Blamage für die CDU eingeschätzt.

Der Chaos Computer Club (CCC) zog daraus die Konsequenz, „bei Schwachstellen auf Systemen der CDU zukünftig auf Meldung zu verzichten“, um künftig rechtliche Auseinandersetzungen zu vermeiden.

Später zog die CDU die Anzeige nach öffentlichem Druck angeblich zurück. Der Bundesgeschäftsführer der CDU Stefan Hennewig äußerte dazu, es sei im Zusammenhang mit der Sicherheitslücke der CDU-App auch zu einer Veröffentlichung personenbezogener Daten durch Dritte sowie zu öffentlichen Hinweisen auf die Sicherheitslücke vor der Information an die CDU gekommen. Mit beiden Vorgängen habe Wittmann allerdings nichts zu tun, daher sei die Nennung ihres Namens in der Anzeige ein Fehler gewesen, für den er sie um Entschuldigung bitte. Beim LKA habe er die Anzeige gegen sie zurückgezogen. August 2021 wurde das Verfahren eingestellt. Grund war nicht der Rückzug der Strafanzeige, sondern die Tatsache, dass die fraglichen Daten gar nicht geschützt und ohne Zugriffskontrolle öffentlich zugänglich waren. Damit war der sogenannte „Hackerparagraph“ nicht anwendbar: Öffentlich zugängliche Daten können nicht gehackt werden.

Im Juli 2021 entdeckte Wittmann eine Sicherheitslücke in der Videokonferenzsoftware Visavid, die auch an bayerischen Schulen eingesetzt wird. Trotz vorgeschalteten Warteraums war es möglich, ohne Freigabe an einer Konferenz teilzunehmen.

Ende September 2021 beschrieb Wittmann, dass bei der App ID Wallet unter Umständen Daten und Identitäten gestohlen werden könnten. Sie hatte gemeinsam mit Fabian Lüpke darauf hingewiesen, dass Angreifer nachweislich eine Subdomain des App-Herausgebers übernehmen könnten. Daraufhin wurde ID Wallet wenige Tage nach der Veröffentlichung wieder vom Markt genommen. Mit der App sollte unter anderem eine digitale Version des Führerscheins aufbewahrt werden können.

Im Juli 2023 veröffentlichte Wittmann eine vermeintliche Mieterauskunft unter dem Namen des CDU-Politikers Jens Spahn. Diese hatte sie über eine Schwachstelle in der Bonitätsprüfungs-Plattform Bonify erstellt. Nach der Veröffentlichung wurde der Dienst von Bonify vorübergehend abgeschaltet.

Lilith Wittmann ist Mitglied der Gruppe zerforschung, die unter anderem die Sicherheit von Informationstechnischen Systemen untersucht.

Aktivismus

Im August 2021 erstellte sie eine Webseite, auf der offene Programmierschnittstellen (APIs) von Behörden beschrieben werden. Die Intention dieses Projektes ist es, die Tatenlosigkeit von Behörden in Bezug auf Open Data zu kritisieren. Die Webseite wird um öffentlich frei zugängliche Git-Repositories unter dem Namen bundesAPI ergänzt.

Ende 2021 enttarnte sie den Bundesservice Telekommunikation als Legende des Bundesamtes für Verfassungsschutz (BfV). Nach eigenen Angaben möchte sie mit der Enttarnung von BfV-Legenden die Arbeit des Verfassungsschutzes behindern. Aufgrund ihrer politischen Einstellung lehnt sie die Arbeit des Verfassungsschutzes ab.

Im Jahr 2022 deckte sie Datenschutzmängel im deutschen Registerportal des Handelsregisters auf, das auch persönliche Daten wie Ausweiskopien oder Wohnadressen in Registereinträgen zum Abruf bereitstellte. Seit 1. August 2022 sind Auskünfte im Portal für jedermann kostenfrei und ohne Anmeldung möglich.

Wittmann ist Mitglied der Vereinigung der Verfolgten des Naziregimes – Bund der Antifaschistinnen und Antifaschisten (VVN-BdA) sowie der Roten Hilfe.

Weblinks

• NDR Podcast 'She Likes Tech - der Podcast über Technologie' vom 28. September 2021 mit dem Titel '#30 Wahl, Hack und Krawall mit Lilith Wittman' (35 Minuten)
• Lilith Wittmann über Digitalpolitik und die Lehren aus dem ID-Wallet-Fiasko | c't-Gespräch - YouTube, 31. Januar 2022 (86 Minuten)
• ZEIT Podcast 'Frisch an die Arbeit' vom 9. Mai 2023 mit dem Titel 'Wie enttarnt man eine Tarnorganisation des Verfassungsschutzes, Lilith Wittmann?' (46 Minuten)
• Blog von Lilith Wittmann

Einzelnachweise

1. Johannes Drosdowski: Lilith Wittmann über Wahlkampf-Apps: „Manche spielen Sudoku. Ich hacke“. In: Die Tageszeitung: taz. 25. September 2021, ISSN 0931-9085 (taz.de [abgerufen am 29. September 2021]). 
2. #30 Wahl, Hack und Krawall mit Lilith Wittman. Abgerufen am 17. Oktober 2021. 
3. Lilith Wittmann: Transparenz, Hierarchien und die Verwaltung. In: Medium. 10. September 2020, abgerufen am 17. Oktober 2021 (englisch). 
4. CDU, CSU und Volkspartei: Wahlkampf-Apps gaben persönliche Daten preis. heise online, abgerufen am 17. Mai 2021. 
   Je mehr Digital, desto weniger Lockdown? In: Digitalistan. WDR, 17. März 2021, abgerufen am 17. Mai 2021. 
5. Eva Wolfangel: Danke für den Hinweis, Anzeige ist raus. Die Zeit, 5. August 2021, abgerufen am 9. August 2021. 
   Lücken in der connect-App: Wenn eine Hackerin bei der CDU anruft. heise.de, abgerufen am 13. Oktober 2021. 
6. Simon Hurtz: CDU Connect: Erst die Anzeige, dann die Blamage. Süddeutsche Zeitung, abgerufen am 9. August 2021. 
7. CDU zieht Anzeige gegen IT-Sicherheitsforscherin zurück. 4. August 2021, abgerufen am 9. August 2021. 
   Markus Reuter: CDU Connect: Berliner LKA ermittelt gegen IT-Expertin, die Sicherheitslücken in Partei-App fand. Abgerufen am 18. August 2021. 
8. Markus Reuter: CDU Connect: Ermittlungsverfahren gegen Sicherheitsforscherin Lilith Wittmann eingestellt. netzpolitik.org, abgerufen am 17. September 2021. 
9. Unsichere Corona-Software: Start-ups haben andere Ziele als das Gemeinwohl. Der Spiegel, abgerufen am 9. August 2021. 
10. Patrick Beuth: Verantwortungslos und gefährlich, In: Der Spiegel, 12. Oktober 2021, abgerufen am 12. Oktober 2021.
    Führerschein am Smartphone gefloppt: Digitale Kopie bereits wieder eingestellt. Chip, abgerufen am 5. Oktober 2021. 
11. Golem.de: IT-News für Profis. Abgerufen am 26. Juli 2023. 
12. Forscher*innen. zerforschung, 30. September 2020, abgerufen am 28. Dezember 2021 (deutsch). 
13. Jakob von Lindern: Hacken für das Gute. In: Zeit Campus. Nr. 5/2021. Zeitverlag, 28. September 2021 (zeit.de). 
14. Sebastian Grüner: Aktivistin gründet fingierte Bundesstelle für Open Data. golem.de, 9. August 2021, abgerufen am 9. August 2021. 
15. Lilith Wittmann: Wenn die Zivilgesellschaft bei Open Data hilft. 8. August 2021, abgerufen am 9. August 2021. 
16. Bundesstelle für Open Data, auf github.com
17. Christian Hensen: Karteileiche? Geheimdienst? Hackerin entdeckt zufällig eine mysteriöse Behörde – und niemand will sich dazu äußern. In: stern.de. 13. Januar 2022, abgerufen am 20. Januar 2022. 
18. Lilith Wittmann: Transportmanagement der Bundesverwaltung — wo der Verfassungsschutz Büros anmietet. In: Medium. 20. März 2022, abgerufen am 21. März 2022. 
19. Schufa und Bonify - Kritik an Datenschutz und Transparenz. 29. Juli 2023, abgerufen am 29. Juli 2023. 
20. Jens Tönnesmann: Lilith hackt den Staat. In: Die Zeit. Nr. 38/2022, 16. September 2022 (zeit.de).