Wenn Unternehmenssicherheit zur Waffe wird: der Fall eBay

Im August 2019 betreiben Ina und David Steiner von ihrem Haus in Massachusetts aus EcommerceBytes, eine Fachpublikation über den Onlinehandel. Seit fast zwanzig Jahren berichten sie über Plattformen, deren Regeln und die Probleme von Händlern. Manche Artikel und Leserkommentare verärgern die eBay-Führung. Dieser redaktionelle Konflikt hätte eine Kommunikationsfrage bleiben müssen. Stattdessen wurde er zu einer Vergeltungsoperation.

Über mehrere Wochen schicken ehemalige Mitglieder der eBay-Sicherheitsorganisation anonyme Nachrichten und bewusst verstörende Lieferungen an das Ehepaar: lebende Insekten, einen Trauerkranz, eine blutige Schweinemaske und ein Buch über den Tod des Ehepartners. Im Namen der Opfer geschaltete Anzeigen laden zudem Fremde zu deren Wohnhaus ein. Anschließend reist ein Team nach Massachusetts, beobachtet ihre Wege und versucht, einen GPS-Sender an ihrem Auto anzubringen.

Die bizarren Details dürfen die zentrale Lehre nicht verdecken. Die Täter waren keine Eindringlinge, die eBays Mittel kaperten. Sie arbeiteten in der Organisation für Sicherheit, Aufklärung und Resilienz. Fähigkeiten, die Menschen und den Geschäftsbetrieb schützen sollten, wurden zur Einschüchterung zweier Journalisten eingesetzt.

Von öffentlicher Kritik zum internen Ziel

EcommerceBytes veröffentlichte Informationen für Onlinehändler: Gebühren- und Regeländerungen, Wettbewerb zwischen Plattformen und Aussagen von Führungskräften. Die Beiträge, die intern Wut auslösten, waren weder ein Cyberangriff noch eine körperliche Bedrohung. Sie griffen unter anderem öffentliche Zahlen zur Vergütung des Vorstandsvorsitzenden auf und kritisierten eBays Geschäftsstrategie.

Gerichtsunterlagen beschreiben aggressiv formulierte Gespräche zwischen Führungskräften. Die Publikation und ihre Autoren wurden nicht länger als externe Gesprächspartner oder kritische Journalisten behandelt, sondern als Problem, das beseitigt werden sollte. Dieser Kategorienwechsel ist entscheidend: Sobald Kritik als Bedrohung gilt, kann eine Organisation Maßnahmen rechtfertigen, die mit Schutz nichts mehr zu tun haben.

Eine Kampagne, die spontan wirken sollte

Die Operation verband drei Formen des Drucks. Zunächst kamen Lieferungen und demütigende Anzeigen. Danach folgten falsche Konten, die angeblich unzufriedenen Händlern gehörten. Die Nachrichten sollten immer bedrohlicher werden und schließlich die Wohnadresse des Ehepaars veröffentlichen. In der dritten Phase ging die Aktion von der digitalen in die physische Welt über: Beobachtung des Hauses, Reisen aus Kalifornien und ein Plan zur GPS-Ortung des Autos.

Nach dem von eBay anerkannten strafrechtlichen Sachverhalt sollte anschließend ein anderer Sicherheitsverantwortlicher den Steiners Hilfe gegen das von seinen eigenen Kollegen verursachte Stalking anbieten. Diese Scheinintervention sollte Wohlwollen gegenüber dem Unternehmen erzeugen und möglicherweise die Berichterstattung beeinflussen. Es handelte sich daher nicht um außer Kontrolle geratene Streiche, sondern um eine Operation mit Eskalation, Legende und beabsichtigtem Ergebnis.

Sicherheitsmittel gegen die Opfer eingesetzt

Die Beteiligten verfügten über Fachwissen, das die Operation glaubwürdig machte: Open-Source-Recherche, anonyme Konten, temporäre Telefone und Zahlungsmittel, unauffällige Reisen und Überwachung. Als die örtliche Polizei ermittelte, versuchten sie außerdem, ihre Position zu nutzen, um Spuren zu verwischen.

Hier liegt der Unterschied zwischen individuellem Fehlverhalten und einem Governance-Versagen. Mehrere Personen wirkten mit, Besprechungen fanden statt und Kosten wurden verursacht. Kollegen konnten Teile des Vorgangs wahrnehmen. Dennoch stoppten interne Barrieren die Aktion nicht, bevor die Opfer selbst das Fahrzeug bemerkten, das ihnen folgte.

Der GPS-Plan scheiterte. David Steiner fotografierte das Kennzeichen eines verdächtigen Autos und übergab die Information der Polizei von Natick. Der Mietwagen führte die Ermittler zu eBay-Beschäftigten. Als die Untersuchung näher kam, wurden digitale Beweise gelöscht, falsche Erklärungen vorbereitet und Unterlagen verfälscht. Damit kamen Behinderung der Ermittlungen und Beweismanipulation zu den Belästigungshandlungen hinzu.

Sieben Verurteilungen und unabhängige Aufsicht über eBay

Sieben ehemalige Beschäftigte oder Auftragnehmer des Sicherheitsteams wurden angeklagt und verurteilt. Jim Baugh, früherer Senior Director of Safety and Security, erhielt 57 Monate Haft. David Harville, früherer Director of Global Resiliency, wurde zu 24 Monaten verurteilt. Weitere Beteiligte erhielten Haftstrafen, Hausarrest, Bewährungsaufsicht und Geldstrafen. Das letzte Urteil erging im Juli 2024.

Die Verantwortung endete nicht bei Einzelpersonen. Im Januar 2024 schloss eBay mit dem US-Justizministerium eine Vereinbarung zur Aussetzung der Strafverfolgung. Das Unternehmen erkannte den dort festgehaltenen Sachverhalt an, akzeptierte die gesetzlich höchstmögliche Geldstrafe von 3 Millionen Dollar und musste für drei Jahre einen unabhängigen Compliance-Monitor einsetzen. Die Anklage kann nur fallengelassen werden, wenn eBay die Vereinbarung erfüllt und in dieser Zeit keine neue Straftat begeht.

Diese Maßnahme greift tiefer als eine bloße Geldbuße. Ein unabhängiger Monitor kann Verantwortlichkeiten, Eskalationswege, Beweissicherung, Schulungen und die tatsächliche Möglichkeit zur Meldung missbräuchlicher Anweisungen untersuchen.

2026 endet der Zivilprozess

Ina und David Steiner hatten eBay und mehrere ehemalige Führungskräfte zusätzlich zivilrechtlich verklagt. Nach einer ersten, nicht endgültig abgeschlossenen Einigung gaben die Parteien im Juli 2026 einen öffentlichen Vergleich bekannt.

Das Ehepaar erhält 48,7 Millionen Dollar Entschädigung: 46,15 Millionen von eBay, 2 Millionen vom ehemaligen CEO Devin Wenig, 500.000 Dollar von der ehemaligen Führungskraft Wendy Jones und 50.000 Dollar vom früheren Kommunikationschef Steve Wymer. Hinzu kommen 7 Millionen Dollar für gemeinnützige Zwecke, insgesamt also 55,7 Millionen Dollar. Die drei früheren Führungskräfte in diesem Zivilvergleich waren im Strafverfahren nicht angeklagt worden.

Das Fehlen einer Vertraulichkeitsklausel ist ebenso bedeutsam wie die Summe. Die Opfer können über den Fall sprechen, Forschung und Compliance-Verantwortliche können seine Mechanismen untersuchen, und die Öffentlichkeit kann strafrechtliche Verurteilungen von zivilrechtlichen Vorwürfen unterscheiden, die durch Vergleich beendet wurden.

Was Sicherheitsverantwortliche daraus lernen sollten

Der Fall eBay ist ein Lehrstück für Unternehmen, Behörden und Verbände mit Sicherheits- oder Ermittlungsfunktionen.

• Personenschutz und Reputationsmanagement müssen klar getrennt sein. Öffentliche Kritik wird nicht zum Sicherheitsvorfall, nur weil sie der Führung missfällt.
• Jede Untersuchung einer außenstehenden Person benötigt einen schriftlichen Auftrag und eine Genehmigung auf zwei Ebenen. Ziel, Rechtsgrundlage, erlaubte Mittel und Dauer müssen dokumentiert sein.
• Ungewöhnliche Ausgaben, Eilreisen, temporäre Telefone und Dienstleister sind gemeinsam zu prüfen. Einzeln wirken diese Signale harmlos; zusammen können sie eine Operation ohne legitimen Zweck offenlegen.
• Ein Meldekanal muss die betroffene Hierarchie umgehen. Beschäftigte können eine missbräuchliche Anweisung nicht sicher melden, wenn der einzige Empfänger ihr Urheber ist.
• Sobald eine Beschwerde, Polizeianfrage oder interne Meldung eingeht, muss eine automatische Beweissicherung starten. Das Löschen von Nachrichten sollte technisch erschwert und sofort sichtbar werden.
• Vorfälle mit Beteiligung von Führungskräften oder des Sicherheitsteams gehören in die Hände einer unabhängigen Stelle mit Zugriff auf Protokolle, Ausgaben und geschäftliche Kommunikation.

KI senkt die Kosten der Einschüchterung

Die Kampagne von 2019 erforderte mehrere Personen, falsche Konten, Reisen und manuelle Koordination. Generative Werkzeuge können heute schnell Nachrichtenvarianten, synthetische Stimmen, gefälschte Bilder und den Eindruck kollektiver Empörung erzeugen. Sie beseitigen keine Zahlungsdaten, Zugriffsprotokolle oder physischen Bewegungen, senken aber die Kosten der Einschüchterung und erschweren die erste Bewertung einer Bedrohung.

Die Antwort besteht nicht nur aus besserer Erkennungstechnik. Sie beginnt mit einer Governance, die verhindert, dass eine Organisation den Missbrauch selbst genehmigt: klare Aufträge, Gewaltenteilung, Protokollierung, Ausgabenkontrolle und Schutz von Hinweisgebern.

Fazit

Im Fall eBay wurde Technologie nicht von selbst unkontrollierbar. Menschen wählten ein Ziel, setzten professionelle Mittel ein, umgingen Kontrollen und versuchten anschließend, ihre Taten zu verbergen. Technologie vergrößerte ihre Reichweite; interne Kultur und fehlende Gegenmacht öffneten ihnen den Weg.