Dialog gehackt: Daten der einflussreichsten Menschen der Welt geleakt

Dialog gehackt: Daten der einflussreichsten Menschen der Welt geleakt

Im Juni 2026 öffnete ein Datenleck ein unerwartetes Fenster zu Dialog, einem privaten Netzwerk, in dem sich politische Führungspersönlichkeiten, Tech-Milliardäre, hohe Beamte, Militärs, Wissenschaftler, Investoren und andere einflussreiche Persönlichkeiten begegnen. Der Dienst präsentiert sich als äußerst exklusiver Raum, in dem Mitglieder Beziehungen knüpfen und hinter verschlossenen Türen diskutieren können. Informationen über seine Funktionsweise und seine Teilnehmer sollten vertraulich bleiben.

Doch ein entwaffnend einfacher Entwicklungsfehler legte eine riesige Datenmenge offen: Identitäten, private E-Mail-Adressen, Kontaktdaten von Assistenten, Postanschriften, Telefonnummern, Ernährungsvorlieben, Buchempfehlungen, politische Antworten, Teilnahmeinformationen und sogar den Beziehungsstatus. Manche Datensätze verrieten, wer eine Partnerschaft suchte und wer lieber außerhalb der Partnervermittlung bleiben wollte.

Am erstaunlichsten ist, dass die Entdeckung weder ein ausgeklügeltes Eindringen noch Schadsoftware oder eine verdeckte Operation erforderte. Für einen Teil der Informationen genügte es, die Entwicklerwerkzeuge des Browsers zu öffnen. Eine Taste, F12, gewährte Zugang zu dem, was Dialog selbst an jeden Besucher gesendet hatte.

Diese Geschichte enthüllt, wie ein lange undurchsichtiger Zirkel funktioniert. Vor allem zeigt sie, dass der gesellschaftliche, finanzielle oder politische Rang der Betroffenen nicht vor elementaren Fehlern der Cybersicherheit schützt.

Ein Club, in den man nur auf Einladung kommt

Dialog ist der breiten Öffentlichkeit kaum bekannt, weil es kein Publikum sucht. Die Website erklärt, es handle sich um eine Gemeinschaft, die nur auf Einladung zugänglich ist. Wer hineinkommen möchte, muss etwas Außergewöhnliches geleistet haben und von einem Teilnehmer empfohlen werden. Der Satz auf der Startseite fasst die Positionierung zusammen: Führungspersönlichkeiten treten Dialog bei, um Themen zu besprechen, die ihnen nicht öffentlich zugeschrieben werden dürfen.

Das Netzwerk besteht seit 2006. Es wurde von Peter Thiel, Mitgründer von PayPal und Palantir, und dem Unternehmer Auren Hoffman gegründet. Letzterer hat ebenfalls Unternehmen aufgebaut, die Daten sammeln, Identitäten zusammenführen und Daten analysieren, insbesondere von Mobilgeräten. Dialog wurde als geschlossener Club konzipiert, der hohe Verantwortungsträger und Unternehmensführer aus aller Welt zusammenbringt.

Im Lauf der Jahre empfingen oder luden seine Treffen Senatoren, Wissenschaftler, Investoren, Vertreter großer Fonds und Denkfabriken sowie einige Filmpersönlichkeiten ein. Schauspieler bestimmen die Politik nicht direkt, doch sie sind oft das Gesicht nationaler, humanitärer oder globaler Initiativen. Für ein Netzwerk, das auf Einfluss und Beziehungen beruht, hat ihre Anwesenheit also offensichtlichen Wert.

Fast zwanzig Jahre lang hinterließ Dialog nur einen winzigen öffentlichen Fußabdruck. Sein tatsächlicher Einfluss ließ sich lediglich anhand von Bruchstücken aus der Presse und anonymen Berichten ehemaliger Teilnehmer abschätzen. Die meisten Bürger versuchten nicht einmal, ihn einzuschätzen, da sie von der Existenz der Organisation nichts wussten.

Das Programm des Treffens in Irland

Das Leck im Juni enthüllte die Vorbereitungen für eine Klausur, die für August 2026 in der Nähe von Dublin geplant war. Zu den Freizeitaktivitäten gehörten private Brennereibesichtigungen, ein Besuch der St.-Patrick's-Kathedrale, ein Guinness-Erlebnis und mehrere Aktivitäten in der irischen Landschaft. Der Kontrast zwischen der vermeintlichen Macht der Gäste und dem sehr klassischen Charakter dieses Programms entbehrt nicht einer gewissen Ironie.

Aufschlussreicher waren die Arbeitssitzungen. Das Programm umfasste Diskussionen mit Titeln wie „Die Kernkraft zurückholen“, „Durch den Dritten Weltkrieg navigieren“, „Technologien auf dem Schlachtfeld“, „Desinformation und Deepfakes“ oder „Drei Prognosen für den Iran“. Eine Sitzung über Demokratie unter Überwachung gewann besondere Bedeutung in einem Netzwerk, das von Akteuren mitbegründet wurde, die eng mit der globalen Daten- und Überwachungsindustrie verbunden sind.

Andere Titel schienen direkt aus einer Gesprächsrunde von Filmschurken zu stammen: „Wie steht es um Ihr Sexleben?“, „Kann man Glück kaufen?“, „Eine Sekte aufbauen“ und „Eine Partei aufbauen“. Die Dokumente erlauben weder zu rekonstruieren, was bei diesen Gesprächen gesagt werden sollte, noch die genaue Position der Eingeladenen zu bestimmen.

Nach Bekanntwerden des Lecks und der darauffolgenden Kontroverse in Irland sagte das Powerscourt Hotel das für den 12. bis 16. August geplante Treffen ab. Eine Einladung oder ein Eintrag in den Dateien beweist im Übrigen nicht, dass jemand an einem Treffen teilgenommen hat, die Ansichten eines Gründers teilt oder noch Mitglied des Netzwerks ist.

Eine Liste, auf der sich Macht, Technologie und Finanzen begegnen

Die geleakten Dateien enthielten mehr als zweihundert Namen im Zusammenhang mit der Klausur 2026, während ein umfassenderes Verzeichnis Mitglieder, ehemalige Teilnehmer, Redner und Gäste versammelte. Darunter waren hohe saudische Funktionsträger, ehemalige Minister, Finanzmanager, militärische Führungskräfte, US-Senatoren beider Parteien und mehrere Persönlichkeiten aus dem Silicon Valley.

Zu den genannten Namen gehörten Elon Musk, über die Geschichte von PayPal seit Langem mit Peter Thiel verbunden, Jonathan Levin, Präsident der Stanford University, der Neurowissenschaftler Sam Harris, die Hohe Vertreterin der Europäischen Union Kaja Kallas, der Unternehmer Bryan Johnson, bekannt für seine Langlebigkeitsexperimente, und der Journalist Ezra Klein.

Auf der Liste standen außerdem Sarah Bond, Präsidentin von Xbox, Strauss Zelnick, Chef von Take-Two Interactive, Jason Kwon, Strategiechef von OpenAI, der ehemalige pakistanische Premierminister Shahid Khaqan Abbasi und der ehemalige japanische Digitalminister Taro Kono. Garry Kasparow erschien als Schachweltmeister und ehemaliges Mitglied des Koordinationsrats der russischen Opposition.

Diese Namen sind mit Vorsicht zu interpretieren. Die Dateien vermischten verschiedene Kategorien und Zeiträume. Einige Personen erklärten nach dem Leck, sie hätten nur an einem früheren Treffen teilgenommen, seien eingeladen worden, ohne zuzusagen, oder wüssten nicht, warum ihr Name im Verzeichnis stehe. Selbst mit diesem Vorbehalt bietet das Ganze einen seltenen Einblick in ein Netzwerk, in dem sich staatliche Macht, Finanzwelt, Nachrichtendienste, Technologiebranche und Ideenproduktion kreuzen.

Ein „Hack“, der aus einer einzigen Taste bestand

Die Entdeckung wurde von maia arson crimew öffentlich gemacht, einer Schweizer Hacktivistin und Sicherheitsforscherin. Sie war zuvor durch ihre Beteiligung an der Gruppe Arson Cats und durch die Verkada-Affäre 2021 bekannt geworden, bei der der Zugang zu rund 150.000 Überwachungskameras offengelegt wurde, unter anderem in einer Tesla-Fabrik und einem Gefängnis in Alabama. Diese Aktion sollte das Ausmaß der Überwachung durch Technologieunternehmen zeigen.

Im Fall Dialog lenkten zwei anonyme Quellen die Recherche. Die erste durchsuchte die vom US-Justizministerium veröffentlichten Akten zu Jeffrey Epstein. Sie bemerkte, dass eine für einen anderen Redner bestimmte Einladung von Dialog 2012 an ihn weitergeleitet worden war. Ein weiterer Austausch aus dem Jahr 2016 spielte auf Peter Thiels gescheiterten Versuch an, eine Geheimgesellschaft zu gründen. Diese Dokumente legten zumindest eine indirekte Kenntnis von Dialog nahe, ohne zu belegen, ob Epstein Mitglied gewesen war.

Die zweite Quelle riet, die Website der Klausur in Irland zu untersuchen. Hier wird die Geschichte fast absurd: Ein Teil der Daten musste gar nicht gehackt werden. Er war bereits auf Dialogs eigenen Diensten ohne angemessenen Schutz zugänglich.

Eine Webseite enthält nicht nur das, was der Bildschirm anzeigt. Der Browser empfängt HTML, Skripte, Stylesheets und oft Datenobjekte, mit denen die Oberfläche aufgebaut wird. Ein Element optisch auszublenden, verhindert nicht, dass es übertragen wird. Gelangen vertrauliche Daten in den Browser, müssen sie als für den Nutzer zugänglich betrachtet werden, auch wenn keine Schaltfläche sie anzeigt.

Durch Öffnen der Entwicklerwerkzeuge, in den meisten Browsern mit F12 erreichbar, fand maia arson crimew im Code der Seite ein Teilnehmerverzeichnis. Die Website wirkte fast leer, doch ihr Code enthielt Informationen, deren Veröffentlichung die Organisation stets abgelehnt hatte. Eine Version mit diesem Verzeichnis war sogar von einem Webarchivierungsdienst gespeichert worden, bevor sie entfernt wurde.

Den von einem Server gelieferten Code einzusehen, ist an sich keine Umgehung eines Schutzes. Der Browser braucht diesen Code, um die Seite darzustellen. Der entscheidende Fehler bestand darin, Daten an den Client zu senden, die eine authentifizierte und autorisierte Umgebung nie hätten verlassen dürfen.

Eine Anmeldung ohne Passwort und offene Datensätze

Die Untersuchung der zweiten Website, über die man sich für das Treffen in Dublin anmeldete, offenbarte eine weitere Schwäche. Man konnte sich mit praktisch jeder beliebigen E-Mail-Adresse anmelden, ohne Passwort. Einmal eingeloggt, konnte der Nutzer die Datensätze der anderen Gäste einsehen.

Die Formulare wurden über den Dienst Fillout ausgefüllt und dann in einer Airtable-Datenbank gespeichert. Die Daten umfassten private Informationen und personalisierte Zugriffstoken, die wie Zugangsdaten funktionieren konnten. Die Ironie ist bemerkenswert: Der Gründer und CEO von Airtable stand selbst auf der Gästeliste der Klausur.

Spektakulär ist die Lage wegen der betroffenen Personen und wegen des geheimen Charakters von Dialog. Technisch ist sie jedoch ganz gewöhnlich. Viele Dienste werden schnell aus Drittanbieter-Werkzeugen, vorgefertigten Formularen und Online-Datenbanken zusammengesetzt. Altern sie jahrelang ohne echtes Berechtigungsmodell, legen elementare Fehler irgendwann erhebliche Datenmengen offen.

Derselbe Fehler, immer wieder

Eine Datenbank ohne Passwort zu lassen oder Objekte anderer Nutzer anzuzeigen, ohne deren Rechte zu prüfen, gehört zu den häufigsten Fehlern. Eine App für Dating und Gespräche über Beziehungen legte so Profile, Nachrichten, Dokumente und Fotos Zehntausender Nutzerinnen offen, weil eine Verwaltungsdatenbank direkt aus dem Internet erreichbar war.

Die Website BeautifulPeople.com erlitt 2015 ein vergleichbares Leck: Eine unzureichend geschützte Datenbank konnte von jedem eingesehen werden, der ihre Adresse fand. Im Oktober 2025 wurden Gespräche des Dienstes für virtuelle Freundinnen MyLovelyAI über eine Kafka-Messaging-Infrastruktur offengelegt, die ohne ausreichende Kontrolle zugänglich war.

Anfang 2026 veranschaulichte das vernetzte Spielzeug Bondu, ein kleiner Dinosaurier mit Gesprächsagent, eine weitere Variante des Problems. Die Gespräche der Kinder wurden in die Cloud übertragen, damit die Eltern sie einsehen konnten. Das Portal prüfte jedoch nicht richtig, ob das angemeldete Konto auf ein bestimmtes Gespräch zugreifen durfte. Ein Nutzer konnte so die Unterhaltungen anderer Familien erreichen.

Dialog wiederholte diese Fehler auf besonders sensibler Ebene. Die Präsentationsseite und das Veranstaltungsformular galten vermutlich als Nebenfunktionen. Möglicherweise wurden sie einem kleinen Team anvertraut, schnell entwickelt und ohne gründliche Sicherheitsprüfung an externe Dienste angebunden. Die Erklärung ist banal: Der menschliche Faktor genügt. Die Folgen sind es nicht.

Was die Dateien wirklich über das Netzwerk verrieten

Das Leck betraf nicht nur Ernährungsvorlieben, Lieblingsbücher oder amüsante Antworten in einem Formular. Es enthüllte auch die interne Struktur der Organisation.

Dialog vergab an Mitglieder und Gäste Bewertungen nach Bekanntheit, Vermögen und Nutzen für das Netzwerk. Die Akten enthielten Kategorien und einen Wert für den „Mehrwert“. Wer als weniger einflussreich, weniger bekannt oder weniger passend für die Gruppenkultur galt, konnte keine Einladungen mehr erhalten. Die Bewertungen dienten auch dazu, die Sitzordnung festzulegen, zu entscheiden, wer wem vorgestellt wird, und in manchen Fällen den Teilnahmepreis zu bestimmen.

Die Dateien legten zudem ein System für berufliche und romantische Vermittlung offen. Die vorgeschlagenen Paarungen, ob zum Netzwerken oder für Verabredungen, blieben an die Profile gebunden. Durch die Kombination dieser Informationen ließ sich ein sozialer Graph rekonstruieren: wer wen kennt, wer wem vorgestellt werden soll, welche Beziehungen gemieden werden und wer Einfluss auf eine andere Person ausüben kann.

Ein solcher Datensatz interessiert naturgemäß Nachrichtendienste, unlautere Wettbewerber, kriminelle Gruppen und Urheber gezielter Angriffe. Schon die Anwesenheit von Unternehmensführern wäre sensibel. Die von militärischen Führungskräften, Generälen und Beamten im Umfeld der nationalen Sicherheit macht die detaillierte Verfolgung ihrer Interaktionen zu einem strategischen Risiko.

Idealer Rohstoff für gezieltes Phishing

Jede persönliche Information über eine einflussreiche Persönlichkeit kann zur Vorbereitung eines Angriffs genutzt werden. Eine Privatadresse, der Name eines Assistenten, ein Reisedatum, eine Allergie, ein kürzlich empfohlenes Buch oder eine erwartete Vorstellung verleihen einer betrügerischen Nachricht ungewöhnliche Glaubwürdigkeit.

Ein Angreifer muss keine allgemeine E-Mail mehr verschicken. Er kann sich als Organisator einer Sitzung ausgeben, den genauen Namen eines Teilnehmers verwenden, eine geplante Aktivität erwähnen und darum bitten, ein Dokument zu öffnen oder einen Datensatz zu bestätigen. Je genauer der Kontext, desto eher hält das Opfer die Anfrage für legitim.

Das Leck erleichtert auch Angriffe auf das Umfeld. Assistenten, Kommunikationsteams, Fahrer, Dienstleister und Angehörige haben mitunter indirekten Zugang zu Terminkalendern und Dokumenten der Zielperson. Ihre Sicherheit ist womöglich schwächer, während ihre Informationen einen ersten Schritt zum Hauptziel ermöglichen.

Das Risiko beschränkt sich also nicht auf die Personen, deren Kontaktdaten offengelegt wurden. Ein Beziehungsgraph ermöglicht es, Mittelsleute, Vertrauenspunkte und die vielversprechendsten Kanäle zu identifizieren. Für Nachrichtendienste oder organisierte Kriminalität kann eine solche Karte mehr wert sein als eine Liste von Passwörtern.

Der Browser darf nur erhalten, was er anzeigen darf

Die erste Lehre ist technisch und grundlegend: Daten in der Oberfläche zu verstecken, ist niemals eine Zugriffskontrolle. Berechtigungen müssen serverseitig geprüft werden, für jedes angeforderte Objekt und jeden Nutzer. Der Server darf nur die Datensätze zurückgeben, die die authentifizierte Person einsehen darf.

Eine Anwendung muss außerdem ihre öffentlichen Umgebungen, Veranstaltungsformulare, das private Verzeichnis und die Administrationswerkzeuge trennen. Jede Integration eines Drittanbieterdienstes muss bewertet werden: Welche Daten werden übermittelt, wo werden sie gespeichert, welche Links geben Zugang zu Datensätzen, wie lange bleiben sie gültig und was passiert, wenn jemand sie kopiert?

Token in URLs müssen kurzlebig, widerrufbar und auf eine bestimmte Aktion beschränkt sein. Eine passwortlose Anmeldung kann sicher sein, wenn sie auf einem einmaligen, schnell ablaufenden Link beruht, der an eine zuvor verifizierte Adresse gesendet wird. Eine beliebige Adresse zu akzeptieren und dann ein ganzes Verzeichnis zu öffnen, ist keine vereinfachte Anmeldung: Es ist das Fehlen jeder Berechtigungsprüfung.

Schließlich verdienen öffentliche Seiten und temporäre Formulare dieselbe Prüfung wie das Hauptprodukt. Eine Organisation kann massiv in die Sicherheit ihrer zentralen Plattform investieren und ihre Daten dennoch über eine Microsite verlieren, die für ein einziges Ereignis erstellt wurde.

Sich auf das Leck vorbereiten, bevor es eintritt

Jede geheime Information kann eines Tages öffentlich werden. Wer vertrauliche Daten besitzt, muss sie schützen, aber auch im Voraus entscheiden, wie er reagiert, wenn der Schutz versagt. Kein System garantiert ein Nullrisiko.

Ein Reaktionsplan muss vorsehen, die betroffenen Daten zu identifizieren, Token sofort zu widerrufen, die Betroffenen zu informieren, Beweise zu sichern, Zugriffe zu analysieren und Phishing-Kampagnen zu überwachen, die das Leck ausnutzen könnten. Die Teams müssen wissen, wer entscheidet, wer kommuniziert und wer die am stärksten gefährdeten Konten schützt.

Die zweite Lehre betrifft den menschlichen Faktor. Das schwächste Glied eines Sicherheitssystems kann ein Nutzer, ein Entwickler, ein Administrator oder die Person sein, die eine Produktivsetzung freigibt. Das gilt für das Telefon einer Privatperson ebenso wie für ein Netzwerk, in dem die mächtigsten Menschen der Welt verkehren.

Sicherheit hängt daher nicht vom Prestige einer Organisation ab. Sie hängt von konkreten Praktiken ab: die erhobenen Daten begrenzen, jede Berechtigung serverseitig prüfen, Anwendungen so testen, wie es ein externer Nutzer tun würde, Integrationen überprüfen, Offenlegungen überwachen und die Reaktion auf Vorfälle vorbereiten. Dialog wollte seinen Mitgliedern einen Raum bieten, in dem alles vertraulich bleibt. Eine fast leere Seite und ein schlecht geschütztes Formular genügten, um das Gegenteil zu beweisen.