Das Internet Archive schickt ein neues Passwort und sonst nichts

Zusammenfassung

• Der veröffentlichte Wiederherstellungsweg besteht aus einem Satz: Forgot your password? wählen und die Anweisungen per E-Mail abwarten. Keine der eingesehenen Hilfeseiten erklärt, wie ein eigener zweiter Faktor eingeschaltet wird.
• Die beiden Beiträge, die das Archiv zum Angriff veröffentlichte, tragen den 9. und den 14. Oktober 2024 in ihren Adressen; ihr Verfassertext war hier jedoch nicht lesbar, sodass die Mitteilung selbst mit dem Hilfecenter nicht verglichen werden konnte.

Das Internet Archive (archive.org, AS7941) ist eine eigentümliche Institution, um Zugangsdaten zu verwahren. Es verdient seinen Unterhalt damit, fremdes Material zu halten — Bücher, Filme, Webseiten, das langsam abgelagerte Sediment des offenen Netzes — und verlangt von denen, die es nutzen, eine E-Mail-Adresse und ein Passwort. Diese Doppelung macht es zweifach zum Verwahrer: der Bestände und der Erzählung über die Bestände. Ist die zweite dünner als die erste, trifft die Rechnung diejenigen, deren Passwörter noch darin lagen.

Beginnen wir mit dem, was der Verwahrer für jemanden veröffentlicht, der den Zugang verloren hat. Die Hilfeseite zur Kontoproblematik ist schlicht und brauchbar: Forgot your password? auf der Anmeldeseite wählen, dann kommt per E-Mail Anleitung. Wörtlich steht dort: „You will receive an email with instructions on how to reset your password“ (Konten – Hinweise und Fehlerbehebung). Dieselbe Seite führt angemeldete Nutzer zu den Kontoeinstellungen, wo das Passwort erneut eingegeben werden muss, bevor Change Account Settings die Kontodaten öffnet.

Der begleitende Leitfaden erklärt, wie man überhaupt hineinkommt. Drei Wege: „a) use your email and password, b) sign in via Google, or c) receive a one time code to your email“ (Konten – Ein Basis-Leitfaden). Dieser Satz verdient einen Moment, weil er bestimmt, wie stark die Kontosicherheit von einem Postfach abhängt. Der per E-Mail verschickte Einmalcode ist eine Alternative zum Passwort, kein Zusatz dazu; die Wiederherstellung läuft über dieselbe Adresse. Derselbe Leitfaden listet, was sich in den Einstellungen ändern lässt — Anzeigename, E-Mail-Adresse — und erklärt an keiner Stelle, wie ein eigener zweiter Faktor aktiviert wird. Das beweist nicht, dass der Dienst keinen hat. Es heißt aber, dass ein Leser, der der Dokumentation des Archivs folgt, keinen Schalter zum Umlegen findet.

Der bildliche Befund ist älter als die Frage. Ein offizieller Screenshot des Hilfecenters zeigt eine Einstellungsseite mit „Change Password“, „New Password“ und „Confirm Password“ sowie einem Change-Knopf (Screenshot Kontoeinstellungen). Er steht in einem Artikel, den das Hilfecenter mit dem Stand vom 10. Juni 2019 führt, und zeigt eine Option zum Löschen der Ausleihhistorie, die der aktuelle Leitfaden für nicht vorhanden erklärt. Das deutlichste Bild der Passwortkontrolle ist sieben Jahre alt und widerspricht sich selbst: Dokumentation, kein Bestandsverzeichnis.

Das Ziel selbst lässt sich nicht prüfen. Die verlinkte Einstellungsadresse liefert einen Hinweis, der JavaScript verlangt, keine Kontooberfläche (Kontoeinstellungen von archive.org). Eine angemeldete Oberfläche wurde nicht eingesehen, hier ist also nicht belegt, welche Kontrollen heute laufen. Belegt ist etwas Engeres und Nützlicheres: Die eine Seite, die die Frage entscheiden würde, ist außerhalb einer Browsersitzung nicht lesbar, weshalb der Hilfetext das einzige kontobezogene Beweismittel bleibt, das jemand abwägen kann.

Nun der Vorgangsbefund. Das Archiv hat zum Angriff durchaus etwas veröffentlicht, an zwei Adressen, deren Pfad den 9. und den 14. Oktober 2024 trägt — A Message from Brewster Kahle und Update on the Recent Cyberattack. Beim Öffnen für diese Arbeit erschien keiner der beiden als Verfassertext; an ihrer Stelle stand eine Zusammenfassung, nicht die Worte des Archivs. Wer mit einem gewöhnlichen Browser nachsieht, wird beide vermutlich vollständig lesen, und sollte das tun. Die Grenze ist exakt und sie wiegt: Das Mitteilungsinstrument — benannte Gruppe, Datum der Mitteilung, gegebene Anweisung — ließ sich nicht zitieren und nicht neben das Hilfecenter stellen. Die beiden Hälften des Befunds standen damit nie in demselben Rahmen, in dem ein Dritter sie gegeneinander halten könnte.

Eine unabhängige Prüfung wurde versucht. Die Suche nach einer Meldung an eine Generalstaatsanwaltschaft eines US-Bundesstaats, die das Internet Archive nennt, ergab keine Kandidatendokumente. Ein Nullergebnis ist keine Abwesenheit: Es heißt, dass die nicht von Betreibern stammende Spur fehlt, die es einer Aufsichtsakte erlaubt hätte, für das Archiv zu sprechen. Die eigene Erzählung des Verwahrers bleibt die einzige in Reichweite.

Legen wir die Prüfung flach aus. Wer informiert wurde: kein hier zitierbares Dokument sagt es. An welchem Datum: nur die beiden Oktoberadressen von 2024. In welchem Instrument: ein Blogbeitrag, dessen Text für diese Arbeit nicht lesbar war. Mit welcher Anweisung: mit der dauerhaften Reset-Anleitung, die für jeden Tag gilt und damit keinen bestimmten mittteilt. Und die dauerhafte Reparatur — der Teil, der den Inhaber handeln statt hoffen ließe — ist ein Passwortformular von 2019, und nichts Veröffentlichtes sagt, wie ein zweites Schloss hinzukommt.

Die frühere Berichterstattung von BTW über diese Institution, darunter ein Forschungsartikel vom Juli 2026, der die Krise von 2024 als mehrere unterschiedliche Risiken mit unterschiedlichen Antworten behandelte, fragte, was versagte und was wieder aufgebaut wurde. Dieser Text stellt die engere Frage: Was hat jemand tatsächlich in der Hand, dessen Zugangsdaten im Einbruch lagen?

Zwei Dokumente würden die Einordnung ändern, und keines ist teuer. Das erste ist die Mitteilung selbst, erneut veröffentlicht oder verlinkt in einer Form, die Dritte lesen können, mit den Betroffenen und der erhaltenen Anweisung. Das zweite ist eine Zeile Dokumentation, die erklärt, wie ein zweiter Faktor aktiviert wird, falls es einen gibt — der Unterschied zwischen Schutz und Zusicherung. Solange beides nicht in prüfbarer Form existiert, besteht der Kontobefund des Archivs aus einer Reset-Mail und einem Formular aus dem vorigen Jahrzehnt, und die Pflicht gegenüber denen, deren Passwörter es hält, wird im Stillen abgewickelt.

Ein Verwahrer, der seine Ausfälle in einer Form veröffentlicht, die niemand zitieren kann, wurde nicht beim Verbergen erwischt. Er hat den billigeren Befund gewählt, und dieser Befund wird zitiert werden, solange seine Bestände bestehen.