Es kommt immer wieder zu gefälschten Schießereien in Schulen, und es gibt ein Muster: NPR

Von

Odette Yousef

,

Jenna McLaughlin

Polizeibeamte reagierten auf einen Anruf, wonach ein aktiver Schütze im September Berichten zufolge 24 Schüler der Chillicothe High School in Chillicothe, Ohio, verletzt hatte. Der Anruf stellte sich als Scherz heraus. Ähnliche Szenen spielten sich in den letzten Wochen an Schulen im ganzen Land ab. Chillicothe Police Department/Screenshot von NPR Bildunterschrift ausblenden

Polizeibeamte reagierten auf einen Anruf, wonach ein aktiver Schütze im September Berichten zufolge 24 Schüler der Chillicothe High School in Chillicothe, Ohio, verletzt hatte. Der Anruf stellte sich als Scherz heraus. Ähnliche Szenen spielten sich in den letzten Wochen an Schulen im ganzen Land ab.

Kurz vor 15 Uhr an einem sonnigen Freitag im September erhielt die Polizei in Chillicothe, Ohio, eine Nachricht von der Leitstelle: Berichten zufolge hatte ein aktiver Schütze 24 Schüler der Chillicothe High School verletzt und war immer noch vor Ort.

Das Bodycam-Video zeigt die angespannten Minuten, die darauf folgten. Beamte stürmten zur Schule, einige betraten sie mit gezogenen Gewehren und Pistolen und rannten atemlos durch die Flure, um das richtige Klassenzimmer zu finden.

Aber es gab keinen Schützen.

Als eine Falschmeldung ans Licht kam, wurden Schüler abgeriegelt, Polizeieinheiten eingesetzt und das Schulpersonal in minutenlange Angst versetzt. Nachdem in der Schule keine Bedrohung festgestellt wurde, versammelten sich die Beamten in einem Schulflur. Einer sagte zu den anderen: „Haben Sie die E-Mail gesehen, die wir heute bekommen haben? Schlagen. Jemand schlägt auf die Schulen ein.“

Ähnliche Szenen spielten sich in den letzten Wochen an Schulen im ganzen Land ab.

NPR hat lokale Berichte gefunden, aus denen hervorgeht, dass 182 Schulen in 28 Bundesstaaten zwischen dem 13. September und dem 21. Oktober falsche Anrufe wegen Drohungen erhalten haben. Diese haben zu einer Reaktion namens „Swatting“ geführt, bei der die Polizei einen Ort überschwemmt, an dem Berichten zufolge eine Straftat begangen wird. Swatting-Vorfälle können besonders gefährlich sein, da die Beamten häufig mit gezogener Waffe gewaltsam eindringen.

Aber an einigen dieser Orte kam mir das Muster hinter dieser Welle von Falschmeldungen bekannt vor. Behörden in Minnesota sagten, es spiegele das wider, was sie im März und April gesehen hatten, als ein Anrufer fälschlicherweise Bombenanschläge auf Schulen in mehreren Bundesstaaten meldete.

Jetzt hat NPR Aufzeichnungen erhalten, die darauf hindeuten, dass tatsächlich ein Zusammenhang bestehen könnte.

Der Ton einer dieser Falschmeldungen zu Bombenalarmen im Frühling ähnelt deutlich der Stimme, dem Akzent und der Erzählung hinter den jüngsten Anrufen aktiver Schützen, die NPR aus Virginia, Minnesota, Ohio und Florida gehört hat.

Durch eine offene Aktenanfrage hat NPR detaillierte Informationen über die Telefonnummer erhalten, die hinter diesem Anruf stand, der über eine High School in Louisiana getätigt wurde. Die Aufzeichnungen geben Aufschluss über die Person oder Organisation, die hinter diesen Systemen steht, und darüber, wie sie systematisch auf lokale Institutionen abzielen.

Am Morgen des 21. April erhielt das Büro des Sheriffs der Gemeinde Bossier in Louisiana einen Anruf von jemandem, der sagte, in einem Klassenzimmer der Benton High School sei „ein verdächtiger Rucksack“ gewesen.

Der Anrufer, der wie ein erwachsener Mann mit nordafrikanischem Akzent klang, gab an, ein Student zu sein. Die Schüler wurden aus der Schule evakuiert, die Gemeindefeuerwehr wurde eingesetzt und das Gelände wurde durchsucht. Es wurde keine Bombe gefunden.

Wird geladen...

Eine Untersuchung und ein Bericht des Büros des Sheriffs, die NPR im Rahmen einer Offenlegungsanfrage erhalten hatte, ergaben, dass der Anruf von einer Internet- bzw. VoIP-Telefonnummer kam. Es wurde außerdem festgestellt, dass das VOIP-Konto mit IP-Adressen in Äthiopien verknüpft war, die dem AFRINIC-Netzwerk gehörten, und zwar insbesondere mit dem staatlichen äthiopischen Telefon- und Internetdienst Ethio Telecom mit Sitz in Addis Abeba. An dem Tag, an dem Bossier Parish einen Anruf von dieser Nummer erhielt, waren auch 79 andere Orte in Louisiana, Arizona und New Mexico angerufen worden.

Eine NPR-Analyse der Anrufprotokolle der Nummer zwischen dem 12. März und dem 21. April bietet einen Überblick darüber, wie eine Massenkampagne mit Falschmeldungen durchgeführt werden könnte.

Wird geladen...

Innerhalb von 40 Tagen wurden über die VoIP-Nummer 437 Anrufe entgegengenommen oder getätigt – und das alles an nur 10 dieser Tage. Das Nutzungsmuster lässt jedoch darauf schließen, dass diese Telefonnummer tatsächlich zum Zweck des Telefonierens erstellt wurde, da 80 Prozent dieser Aktivitäten ausgehende Anrufe waren. Der eingehende Datenverkehr schien hauptsächlich aus Rückrufen von Personen oder Institutionen zu bestehen, die dieser VOIP-Benutzer angerufen hatte.

Eine Untersuchung der ausgehenden Anrufe der Nummer zeigt ein merkwürdiges Aktivitätsmuster.

Mehr als drei Viertel der getätigten Anrufe wurden an nur drei Tagen getätigt: 15. März, 5. April und 21. April. An diesen Tagen verbrachte der VOIP-Benutzer zwischen 6 und 8 Stunden damit, Telefonnummern systematisch zu wählen – und oft erneut zu wählen. Manchmal reichten nur vier Sekunden zwischen dem Auflegen eines Anrufs und dem Wählen des nächsten Anrufs, sodass die Nummer 125 Stellen erreichte.

Das schnelle Wählen von Nummern weist auch darauf hin, dass der Benutzer eine Liste mit Zielen parat hatte und sich speziell auf Schulen, Strafverfolgungsbehörden, Feuerwehren und Notfalldienstleiter konzentrierte. Zusammen machten diese 92 % der Orte aus, die von der VOIP-Nummer angerufen wurden. Und während der Anrufer 19 verschiedene Bundesstaaten abdeckte, konzentrierte er sich an den Tagen, an denen er am aktivsten war, tendenziell auf eine kleine Anzahl von Bundesstaaten. Am 5. April führte die Nummer nur ausgehende Anrufe nach North Carolina und Ohio. Am 21. April waren es nur Anrufe nach Louisiana, New Mexico und Arizona.

Wird geladen...

NPR hat Ethio Telecom um einen Kommentar gebeten sowie die E-Mail-Adresse, die zum Erstellen des VOIP-Kontos verwendet wurde. Bisher hat keiner geantwortet. NPR rief auch die mit dieser Aktivität verbundene VoIP-Nummer an und erreichte die automatische Voicemail-Aufzeichnung für den Dienstanbieter, ein in Kanada ansässiges Unternehmen namens TextNow.

Für Experten im Bereich VOIP und Telefonbetrug ist die Verbindung zu TextNow nicht überraschend.

Familien warten auf die Wiedervereinigung mit ihren Kindern, nachdem am 11. Oktober an der Riverview High School in Sarasota, Florida, ein Bericht eines aktiven Schützen ergangen war, der sich als Falschmeldung herausstellte. Die Strafverfolgungsbehörden von Sarasota, Staatstruppen, Krankenwagen und Feuerwehrautos reagierten alle zur falschen Drohung. Thomas Bender/Herald-Tribune/USA TODAY NETWORK/Reuters Bildunterschrift ausblenden

Familien warten auf die Wiedervereinigung mit ihren Kindern, nachdem am 11. Oktober an der Riverview High School in Sarasota, Florida, ein Bericht eines aktiven Schützen ergangen war, der sich als Falschmeldung herausstellte. Die Strafverfolgungsbehörden von Sarasota, Staatstruppen, Krankenwagen und Feuerwehrautos reagierten alle zur falschen Drohung.

Seit mehreren Jahren verfolgt Fred Posner in seiner Freizeit Betrügereien im Callcenter, beim technischen Support, gefälschte Drohanrufe vom IRS und mehr.

Posner, ein pensionierter Polizist aus Florida, der jetzt VoIP-Berater ist, sagt, dass diese Nummern am Ende oft TextNow-Nummern sind. Er hat sie an die Firma TextNow geschickt und manchmal frustriert getwittert. Manchmal antwortet er, macht sich aber Sorgen, dass es nie schnell genug geht.

TextNow ist eine von vielen kostenlosen oder kostengünstigen internetbasierten Anrufplattformen, ähnlich wie Zoom, Skype oder WhatsApp. Es ist ganz einfach, sich für eine neue TextNow-Nummer anzumelden. Mit einer NPR-E-Mail-Adresse dauerte es weniger als eine Minute, eine Vorwahl auszuwählen und eine neue Nummer zu generieren, mit der Anrufe oder SMS über einen Internetbrowser oder ein Telefon getätigt werden können.

Diese einfache Erstellung einer Nummer bedeutet jedoch, dass der Dienst anfällig für Betrug und Missbrauch ist. Es ist bekannt, dass Betrüger diese Nummern für Spam-Anrufe nutzen, die letztendlich darauf abzielen, Zielpersonen zu Geldüberweisungen zu bewegen. Auch die Zahlen sind Einwegartikel. Benutzer können sich registrieren, die Nummer für eine Weile verwenden und eine neue erstellen, wenn sie gemeldet wird. Posner sagte, dass TextNow zwar ein beliebter Anbieter für diese Betrüger sei, es sich jedoch um ein branchenweites Problem handele.

TextNow-Sprecher Nick de Pass sagte gegenüber NPR: „Wir legen großen Wert auf die Sicherheit und den Datenschutz unserer Kunden.“ Konkret fuhr er fort: „Unser internes Sicherheitsteam arbeitet fleißig daran, Konten zu identifizieren und zu deaktivieren, die für illegale Aktivitäten verwendet werden oder gegen unsere Nutzungsbedingungen verstoßen.“ Das Unternehmen lehnte es ab, sich zu der konkreten falschen Bombenwarnung in Louisiana zu äußern.

Laut den von NPR erhaltenen Ermittlungsakten erhielt Bossier Parish jedoch Aufzeichnungen von TextNow, in denen die E-Mail-Adresse, der Benutzername, das Registrierungsdatum, die ursprüngliche IP-Adresse und die IP-Protokolle der Person hinter den Bombenangst im Frühjahr aufgeführt sind.

„Wir stellten schnell fest, dass er über ein Gmail-Konto und die IP-Adresse der Registrierung verfügte, zusammen mit einer konsistenten IP-Adresse an dem Tag, an dem dies geschah, [und dass alles aus Äthiopien kam]“, sagte Captain Shannon Mack, ein Ermittler bei der Büro des Sheriffs der Gemeinde Bossier.

Der High-School-Junior Eldrige Coronel, 17, umarmt seine Mutter Veronica Padilla, nachdem am 11. Oktober an der Riverview High School in Sarasota, Florida, ein Bericht über einen aktiven Schützen ergangen war, der sich als Scherz herausstellte. Verzweifelte Eltern warteten auf ihre Kinder Die Polizei, die Staatspolizei, Krankenwagen und Feuerwehrautos von Sarasota reagierten alle auf die falsche Drohung. Thomas Bender/Herald-Tribune/USA TODAY NETWORK/Reuters/ Bildunterschrift ausblenden

Der High-School-Junior Eldrige Coronel, 17, umarmt seine Mutter Veronica Padilla, nachdem am 11. Oktober an der Riverview High School in Sarasota, Florida, ein Bericht über einen aktiven Schützen ergangen war, der sich als Scherz herausstellte. Verzweifelte Eltern warteten auf ihre Kinder Die Polizei, die Staatspolizei, Krankenwagen und Feuerwehrautos von Sarasota reagierten alle auf die falsche Drohung.

Für Mack war der Beweis, dass der Anrufer von Äthiopien aus operierte, eindeutig.

Die mit der TextNow-Aktivität und dem Gmail-Konto des Anrufers verknüpften IP-Adressen befanden sich alle in diesem Land. Sie und andere Experten sagten, es scheine nicht so zu sein, dass der Anrufer ein Virtual Private Network (VPN) nutzte, um seinen Standort zu verschleiern. Mack bemerkte beispielsweise, dass der Anrufer an dem Tag, an dem ihr Büro den falschen Bombenalarm erhielt, über mehrere Stunden hinweg Hunderte von Anrufen auf derselben IP-Adresse blieb.

„Ein VPN ändert sich im Allgemeinen etwa alle 30 Sekunden von selbst, unabhängig davon, ob Sie sich an- oder abmelden“, sagte sie.

Darüber hinaus hat TextNow öffentlich erklärt, dass es seinen Benutzern die Nutzung seines Dienstes nicht erlaubt, wenn es feststellt, dass sie sich in einem VPN befinden.

Das bedeutet jedoch nicht, dass der Anrufer nicht auch andere Techniken eingesetzt hat, um fälschlicherweise den Eindruck zu erwecken, er sei in Äthiopien. Beispielsweise ist es möglich, dass der Anrufer die digitale Infrastruktur in Äthiopien gehackt oder auf andere Weise darauf zugegriffen hat, um seine Anrufe über das kompromittierte Netzwerk weiterzuleiten.

„Ich habe eine ganze Reihe kompromittierter IP-Adressen von Ethio Telecom gefunden, die auf verschiedenen Märkten wie Genesis und Russian Market verfügbar sind“, sagte Keven Hendricks und bezog sich dabei auf zwei Online-Marktplätze im sogenannten Darknet, auf denen es häufig illegale Waren und Dienstleistungen gibt verkauft. Hendricks, ein Experte für Cyberkriminalität, der Swatting-Anrufe und VoIP-Missbrauch untersucht hat, sagte, die Aktivität des Anrufers hinter den Bombenfälschungen sei nicht beispiellos.

„Ich habe ähnliche Anrufmuster von Swatters und Leuten gesehen, die Voice Over IP-Dienste missbrauchen, um Massenpanik auszulösen“, sagte er.

Letztendlich kann es schwierig sein, genau herauszufinden, wo sich dieser Anrufer befindet und wer er ist. Dies ist jedoch ein wesentlicher Grund dafür, dass Experten wie Fred Posner zusätzliche Vorschriften oder Schutzmaßnahmen fordern, damit VoIP-Anbieter betrügerische und missbräuchliche Anrufschemata in ihren Netzwerken besser erkennen können.

Ein wichtiger Schritt von TextNow am vergangenen Freitag bestand darin, dem gesamten Land Äthiopien die Nutzung seines Dienstes zu verbieten, um ein hohes Maß an betrügerischen Aktivitäten einzudämmen.

„Unser engagiertes Trust & Safety-Team ergreift aggressive Maßnahmen und arbeitet proaktiv mit den Strafverfolgungsbehörden zusammen, um auf diese Vorfälle zu reagieren, einschließlich der Sperrung aller mit diesen Anrufen verbundenen Konten“, schrieb Nick de Pass, Sprecher von TextNow, in einer E-Mail an NPR. „Das haben wir.“ Außerdem haben wir Äthiopien zu unserer Liste der nicht unterstützten Länder hinzugefügt, um diese Aktivität von unserer Plattform zu eliminieren, was bedeutet, dass alle Anrufe und SMS-Nachrichten aus dem Land von unserem Dienst ausgeschlossen wurden.“

Einer Quelle aus der Branche zufolge haben VOIP-Dienste in der Vergangenheit beschlossen, andere Länder von ihrer Plattform auszuschließen, wenn ein Missbrauchsmuster festgestellt wurde. Dennoch können Kriminelle Wege finden, solche Maßnahmen zu umgehen.

TextNow veröffentlicht eine Übersicht über Betrugsfälle, um Benutzer vor potenziellem Betrug zu warnen, und es gibt Drittanbieter, die Betrug automatisch erkennen, mit denen viele Sprach- und Textanbieter zusammenarbeiten – obwohl sie nicht unfehlbar sind. (Ohne die Möglichkeit, Anrufe mitzuhören, ist es schwierig, böswilliges Verhalten eindeutig festzustellen.)

Letztendlich gibt es Herausforderungen und vielleicht auch einen Mangel an Anreizen, VOIP-Plattformen proaktiv auf Betrug zu überwachen, bevor die Strafverfolgungsbehörden einen Durchsuchungsbefehl erlassen. Letztendlich ist es das Ziel der Unternehmen, den Menschen die Kommunikation zu erleichtern und nicht zu erschweren.

Mack vom Bossier Parish Sheriff's Office sagte, sie habe die Ermittlungen im Zusammenhang mit der Falschmeldung der Benton High School so weit wie möglich vorangetrieben.

„Weil wir natürlich nicht nach Äthiopien gehen können“, sagte sie, „und ich habe in meiner persönlichen Erfahrung als Polizistin noch nie erlebt, dass jemand aus Äthiopien bei einer Untersuchung in den Vereinigten Staaten kooperiert.“

Mack sagte, als sie den falschen Bombenalarm im April untersuchte, gab es keinen Hinweis darauf, dass die Bundesbehörden dem Plan Aufmerksamkeit schenkten. Doch angesichts der jüngsten Welle von Falschmeldungen aktiver Schützen zeigt die Polizei auf Landesebene an mehreren Orten und das FBI Interesse. Die Behörde erklärte: „Wir werden weiterhin mit unseren Strafverfolgungspartnern auf lokaler, bundesstaatlicher und bundesstaatlicher Ebene zusammenarbeiten, um Bedrohungsinformationen zu sammeln, zu teilen und darauf zu reagieren, sobald sie uns bekannt werden.“

Mehrere Orte lehnten Anfragen von NPR bezüglich offener Aufzeichnungen mit der Begründung ab, dass noch Untersuchungen durch höhere Behörden anhängig seien. Nichtsdestotrotz haben von anderen veröffentlichte Informationen gezeigt, dass der Aktiv-Schützen-Plan weitaus weitreichender sein könnte als der Bombenschwindel im Frühjahr.

Zwischen dem 19. und 23. September wurden mindestens acht verschiedene Telefonnummern verwendet, um falsche Angaben zu aktiven Schützen zu machen. Davon bestätigte NPR, dass sechs Nummern über TextNow angeboten werden. Anrufe zu den anderen beiden Nummern schlugen entweder fehl oder wurden nicht beantwortet.

Obwohl bekannt ist, dass Swatting gefährliche und manchmal sogar tödliche Folgen haben kann, sagen Experten, dass die Untersuchung zu oft den örtlichen Behörden überlassen wird. In einem weit verbreiteten und scheinbar koordinierten System wie der aktuellen Welle von Bedrohungen durch aktive Schützen reicht dieser Ansatz möglicherweise nicht aus. Hendricks sagte, es sei ermutigend zu sehen, dass die Bundesbehörden Interesse zeigen.

„Ich habe wirklich das Gefühl, dass es für uns eher ein Ärgernis ist und nicht etwas, das untersucht werden kann und diese Leute zur Rechenschaft ziehen kann“, sagte er. „Das ist etwas, das sich hoffentlich ändert.“

Dabei bleibt das Motiv selbst ein Rätsel.

„Ich weiß es nicht. [Vielleicht ist es] ihrer Meinung nach ein Angriff auf die amerikanische Lebensart“, sagte Mack. „Vor allem Schulen stören, Eltern, Lehrer und Kinder verängstigen. Ich weiß also nicht, ob das ihr Gewinn ist, nur dieses Chaos zu verursachen.“

Daniel Wood und Kaitlyn Radde von NPR haben zu dieser Geschichte beigetragen.