Datengau II – SchülerVz mit erheblichen Sicherheitsmängeln

Ein Fall von unberechtigtem Datenzugriff folgt dem anderen. Auch bei den deutschen Social-Networks der Holtzbrinck Gruppe MeinVZ, StudiVZ und insbesondere SchülerVZ wurde an diesem Wochenende bekannt, dass massiv personenbezogene Daten heruntergeladen, kopiert und verteilt wurden. Mehrere Hacker haben mittels selbstgeschriebener Scripte und crawler automatisiert massen von Datensätzen aus dem SchülerVZ und dem StudiVZ ausgelesen.

Dabei wurde insbesondere durch einen Zugriff auf die Suche der VZ-Software und die Überlistung des Captchas (eine grafische Sicherheitsabfrage, zur Verhinderung von automatisierten Suchen) hunderte von Datensätze aus den Netzwerken heruntergeladen und verteilt. Der Umfang der entwendeten Daten ist zur Zeit nicht absehbar, doch es zeichnet sich ab, dass es verschiedene Zugriffe auf die Datenbestände der Netzwerke gab. Das Unternehmen reagierte auf die ersten Meldungen vor dem Wochenende zögerlich.

Dies ist gerade hinsichtlich des SchülerVZ äußerst bedenklich, denn hier handelt es sich um Daten minderjähriger Schüler und gerade hier hätte man erwarten müssen, dass die Daten der User besonders geschützt vor missbräuchlicher Verwendung geschützt sind. Ein Sprecher von SchülerVZ scheint dies aber lediglich als ärgerlichen “Verstoß gegen die AGB” eines einzelnen “Hackers” anzusehen.

Auch wenn das Unternehmen beschwichtigt, so ist der Fall überaus ernstzunehmen. Sollte die Vermutung stimmen, dass hier verschiedene Personen unterschiedliche Daten aus dem Netzwerk kopiert haben, so liegt ein gravierender Fehler in den Sicherheitsmechanismen der Software vor. Da Schwachstellen der Suche (für eingeloggte User) ausgenutzt wurden, stellt sich die Frage, warum die Suche eben nicht auf eine bestimmte Anzahl von Anfragen pro Tag begrenzt ist bzw. bei massiven Anfragen kein Sicherheitsmechanismus Alarm schlägt.

Letztlich bleibt allen Nutzern solche Netzwerke zu immer wieder zu raten, dass sie so wenig wie möglich persönlicher Daten in solchen Netzwerken veröffentlichen und gleichzeitig die Sicherheitseinstellungen so hoch wie möglich einschalten. Bei facebook, StudiVZ etc. sind die User letztlich selbst verantwortlich. Das ist allerdings der Unterschied, der den aktuellen Fall besonders tragisch macht: Kinder, die ihre Daten im SchülerVZ bereitstellen, können die Trag- und Reichweite dieser Handlungen nicht erkennen. Das Familienministerium wirbt daher derzeit mit einer Aktion an Eltern “schau hin!”

Die aktuellen Ereignisse zeigen: Hinschauen allein reicht nicht!