Lilith Wittmann

Lilith Wittmann (* 26. September 1995) ist eine deutsche Softwareentwicklerin, IT-Sicherheitsexpertin und Aktivistin aus Berlin, die sich selbst als „Krawall-Influencerin“ bezeichnet.

Wittmann brach nach eigenen Angaben mit 16 Jahren die Schule ab und absolvierte anschließend eine Berufsausbildung zur Fachinformatikerin für Anwendungsentwicklung. Neben ihrer Arbeit u. a. bei einer internationalen Unternehmensberatung, studierte sie Politikwissenschaften, Soziologie und Verwaltungswissenschaften. 2021 nahm sie als Fellow an dem Programm Work4Germany teil.

Sie erhielt im Mai 2021 durch Aufdecken von Sicherheitslücken in der App Luca und der Wahlkampf-App CDU connect größere mediale Aufmerksamkeit; der Bundesgeschäftsführer der CDU Stefan Hennewig stellte im Juli Strafanzeige gegen Wittmann, nachdem sie sein Angebot nicht angenommen hatte, für seine Partei zu arbeiten, und sie auch nicht die geforderte Schweigeverpflichtung unterzeichnete. Er zeigte sie an, obwohl Wittmann vor der Veröffentlichung sowohl den App-Hersteller als auch die zuständigen Behörden informiert und die Sperrung der Wahlkampf-App abgewartet hatte. Ihr Vorgehen orientierte sich an dem Konzept der Responsible Disclosure, eine verantwortungsvolle Art der Offenlegung von Sicherheitslücken. Der Vorgang wurde als Blamage für die CDU eingeschätzt.

Der Chaos Computer Club (CCC) zog daraus die Konsequenz, „bei Schwachstellen auf Systemen der CDU zukünftig auf Meldung zu verzichten“, um künftig rechtliche Auseinandersetzungen zu vermeiden.

Später zog die CDU die Anzeige nach öffentlichem Druck angeblich zurück. Der Bundesgeschäftsführer der CDU Stefan Hennewig äußerte dazu, es sei im Zusammenhang mit der Sicherheitslücke der CDU-App auch zu einer Veröffentlichung personenbezogener Daten durch Dritte sowie zu öffentlichen Hinweisen auf die Sicherheitslücke vor der Information an die CDU gekommen. Mit beiden Vorgängen habe Wittmann allerdings nichts zu tun, daher sei die Nennung ihres Namens in der Anzeige ein Fehler gewesen, für den er sie um Entschuldigung bitte. Beim LKA habe er die Anzeige gegen sie zurückgezogen. August 2021 wurde das Verfahren eingestellt. Grund war nicht der Rückzug der Strafanzeige, sondern die Tatsache, dass die fraglichen Daten gar nicht geschützt und ohne Zugriffskontrolle öffentlich zugänglich waren. Damit war der sogenannte „Hackerparagraph“ nicht anwendbar: Öffentlich zugängliche Daten können nicht gehackt werden.

Im Juli 2021 entdeckte Wittmann eine Sicherheitslücke in der Videokonferenzsoftware Visavid, die auch an bayerischen Schulen eingesetzt wird. Trotz vorgeschalteten Warteraums war es möglich, ohne Freigabe an einer Konferenz teilzunehmen.

Ende September 2021 beschrieb Wittmann, dass bei der App ID Wallet unter Umständen Daten und Identitäten gestohlen werden könnten. Sie hatte gemeinsam mit Fabian Lüpke darauf hingewiesen, dass Angreifer nachweislich eine Subdomain des App-Herausgebers übernehmen könnten. Daraufhin wurde ID Wallet wenige Tage nach der Veröffentlichung wieder vom Markt genommen. Mit der App sollte unter anderem eine digitale Version des Führerscheins aufbewahrt werden können.

Im Juli 2023 veröffentlichte Wittmann eine vermeintliche Mieterauskunft unter dem Namen des CDU-Politikers Jens Spahn. Diese hatte sie über eine Schwachstelle in der Bonitätsprüfungs-Plattform Bonify erstellt. Nach der Veröffentlichung wurde der Dienst von Bonify vorübergehend abgeschaltet.

Lilith Wittmann ist Mitglied der Gruppe zerforschung, die unter anderem die Sicherheit von Informationstechnischen Systemen untersucht.

Im August 2021 erstellte sie eine Webseite, auf der offene Programmierschnittstellen (APIs) von Behörden beschrieben werden. Die Intention dieses Projektes ist es, die Tatenlosigkeit von Behörden in Bezug auf Open Data zu kritisieren. Die Webseite wird um öffentlich frei zugängliche Git-Repositories unter dem Namen bundesAPI ergänzt.

Ende 2021 enttarnte sie den Bundesservice Telekommunikation als Legende des Bundesamtes für Verfassungsschutz (BfV). Nach eigenen Angaben möchte sie mit der Enttarnung von BfV-Legenden die Arbeit des Verfassungsschutzes behindern. Aufgrund ihrer politischen Einstellung lehnt sie die Arbeit des Verfassungsschutzes ab.

Im Jahr 2022 deckte sie Datenschutzmängel im deutschen Registerportal des Handelsregisters auf, das auch persönliche Daten wie Ausweiskopien oder Wohnadressen in Registereinträgen zum Abruf bereitstellte. Seit 1. August 2022 sind Auskünfte im Portal für jedermann kostenfrei und ohne Anmeldung möglich.

Wittmann ist Mitglied der Vereinigung der Verfolgten des Naziregimes – Bund der Antifaschistinnen und Antifaschisten (VVN-BdA) sowie der Roten Hilfe.