Fifa-Hack von Solidar Suisse: Eine Anleitung zum Selbermacher

Seit Sonntag, 23. Juni 2013, wirbelte ein wild tanzender Sepp Blatter über die Website der FIFA. Bereits nach 12 Stunden hatten weltweit über 150’000 Menschen an der Online-Aktion «Sambahack» von Solidar Suisse teilgenommen. Am Schluss stand der Zähler, welcher die Seitenbesuche dokumentierte, auf über 320’000.

In 72 Stunden wurden auf Twitter weltweit mehr als 10'500 Tweets über den Sambahack verschickt. Gemäss TweetReach entspricht dies einer beachtlichen Reichweite von 9.5 Millionen Menschen.

Gerne möchten wir kurz ausführen, wie wir den Sambahack aufgegleist haben und was unsere Learnings sind. Vorneweg: Die Online-Aktion war kein Hack des FIFA-Servers, sondern ein «Hoack» (Hoax-Hack). Die FIFA-Seite wurde clientseitig mit Javascript modifiziert.

Making of Sambahack

Die Grundidee der Online-Aktion war simpel: Wir ahmten eine Hacker-Attacke auf die offizielle FIFA-Website nach. Wer den Aktions-Link www.fifa-brazil-2014.com anklickte, gelangte auf live Kopie der offiziellen FIFA-Website. Nach wenigen Sekunden erschien das Spruchband «Wir wollen eine faire WM » und ein Samba tanzender Sepp Blatter hüpfte aufgeregt über den Bildschirm (Video).

Die Online-Aktion war Teil einer langfristigen Kampagne von Solidar Suisse, die sich für eine faire WM in Brasilien einsetzte. Der Sambahack lieferte das lautstarke Begleitprogramm für eine Petitionsübergabe. Die bereits gesammelten 28'000 Unterschriften übergab Solidar Suisse am zweiten Tag der Kampagne am FIFA-HQ in Zürich. Zu unserer Überraschung nahm FIFA-Präsident Sepp Blatter die Petition persönlich entgegen.

Der Sambahack hatte die Aufgabe, die Übergabe auf die Medienagenda zu setzen und gleichzeitig öffentlichen Druck auf die FIFA auszuüben, die Petition nicht in der Schublade verschwinden zu lassen. Darüber hinaus wollten wir die Chance nutzen, möglichst viele Menschen über die Menschenrechtsverletzung im Vorfeld der WM zu informieren.

Welle schwapp nach Brasilien

Für den Kickoff konnte Solidar Suisse auf mehr als 50'000 Email-Adressen zurückgreifen. Die Initialzündung in dieser Community brauchte in wenigen Stunden rund 20'000 Menschen auf die Aktionswebsite, rund die Hälfte davon über die einsetzende virale Verbreitung.

Zum Fliegen brachten die Kampagne Tweets von englischen Fussballfans und Sport-Plattformen, die kurz nach Mitternacht mehrere 100'000 Followers erreichten. Dies war der Auslöser einer Riesenwelle, die nach Brasilien überschwappte und über die ganze Nacht ein Top-Thema auf Social Media blieb.

Die Reaktionen auf den Sambahack blieben unterschiedlich. Unter den lauten Lacher, wie etwa von Anonymous, mischten sich auch kritische Stimmen. Die öffentliche Diskussion drehte sich um die Frage, ob die Aktion als «echter» Hack gelten dürfe oder nur die Leute «verarsche».

Hinter den Kulissen

Statt die Zielseite statisch nachzubauen, hatten wir FIFA WM 2014 gespiegelt. Dabei wurde der original Sourcecode periodisch vom Server heruntergeladen und anschliessend der Sambahack-Code eingepflanzt.

Wir nahmen bewusst die Hauptseite der FIFA ins Fadenkreuz, weil wir davon ausgingen, dass das Layout kaum geändert würde. Da das Javascript die Webseite modifiziert, liefen wir so nicht Gefahr, kurzfristig den Code anpassen zu müssen.

Da die Aktion einen sichtbaren Absender hatte, verzichteten wir darauf, die Urheberschaft zu verschleiern. Solidar Suisse bezog die Domain über einen externen Anbieter. Wir wussten, dass jeder via WHOIS Abfrage herausfinden konnte, dass es sich nicht um eine offizielle FIFA-Website handelt.

Über einen Proxyserver luden wir den Sourcecode der Zielseite in normaler und mobiler Version auf unseren Server. Falls die FIFA einen unserer Proxyserver blockiert hätte, standen weitere Proxy bereit, um automatisiert die Anfrage zu übernehmen. Dieses Wechselspiel lief so solange, bis wir den Sourcecode abgesaugt hatten oder die Abfragen der Proxyserver-Liste zu Ende war.

Auf unserem Server modifizierten wir den geladenen Quellcode. Zuerst ersetzen wir alle URLs der Zielseite so, dass sie wieder auf die ursprünglichen Files zeigen. Dazu modifizierten wir auch die Open Graph Tags der FIFA. So erschien beim Sharing via Facebook das Sambahack-Vorschaubild und der Claim «WE WANT A FAIR WORLD CUP». Als letzter Schritt pflanzten wir das Sambahack-Skript in die Seite. Die so modifizierte Seite wurde auf unserem Server gespeichert.

Für eine breite, internationale Streuung war es entscheidend, dass die Aktion auf möglichst vielen Betriebssysteme und Browserin Deutsch, Französisch und Englisch läuft. Deshalb entschieden wir uns, die Animation mit «Spritesheets» zu realisieren. Der Makel daran war, dass wir den Sound nicht präzis synchronisieren konnten. Die etwas zufällige Collage von Ton und Bild passt wiederum zur Hacker-Ästethik.

Nicht ausknipsen lassen

Das grösste Risiko für uns war, dass es der FIFA irgendwie gelingen könnte, unsere Server zu blockieren und die Domain zu sperren. Wir waren deshalb in der Testphase sehr vorsichtig und haben stets mit der gleichen gespeicherten Seite gearbeitet, um nicht aufzufallen. Ein externer Server, den wir gemietet hatten, garantierte die Skalierbarkeit der Aktion, falls die Last zu gross wird.

Für den Fall, dass die FIFA reagiert, hatten wir drei Szenarien vorbereitet:

1. Wir holten uns in kurzen Zeitabständen einen Desktop- und Mobile-Screenshot der Zielseite. Dieser wurde auf Amazon S3 hinterlegt und wäre zum Einsatz kommen, falls alle Proxyserver versagen.

2. Als nächster Fallback hatten wir vor dem Start der Aktion den Sambahack abgefilmt und bereits auf Youtube deponiert.

3. Hätten wir die Seite vom Netz nehmen müssen, bestand für den Administrator die Möglichkeit, per Mausklick einen Redirect zu aktiveren, der die Aktionsseite umleitet. Auf diese Weise hätten wir die Besucher auf einen Youtube Channel oder auf die Solidar Suisse Kampagnenseite umgeleitet.

4. Da der Sambahack die Seite «runtime» modifizierte, konnte mit einfachen Mitteln eine «Bookmarklet»-Version erstellt werden, mit Hilfe dessen man Blatter auf den meisten Webseiten tanzen lassen kann.

Weitersagen und selber machen

Die Idee des Sambahacks ist noch lange nicht ausgereizt. Wie im Fall der FIFA ist es möglich, selbst mit einem kleinen Budget, eine virale Schubkraft zu generieren, die in eine internationale Kampagne mündet.

Wir glauben auch, dass das Spiel mit der Hoax-Kultur, die im Internet weit verbreitet ist, viel Potenzial hat. Modifizierte Webseiten sind eine Weiterentwicklung von klassischen Kampagnen-Interventionen. Sie überraschen, verblüffen und kokettieren mit Grenzüberschreitungen. Deshalb bieten solche Online-Aktionen einen hohen News- bzw. Unterhaltungswert und werden, wie der Sambahack beispielhaft zeigt, sehr gerne geteilt.

Wir sind gespannt auf eure Ideen und freuen uns auf einen regen Austausch.