Chaos Computer Club analysiert in Afghanistan zurückgelassene Biometrie-Datenbank des US-Militärs

Der Chaos Computer Club (CCC) hat aus Afghanistan Geräte erhalten und analysiert, die dort vom US-Militär beim hastigen Abzug der NATO-Truppen zurückgelassen worden sind. Die Geräte enthalten kaum abgesicherte, aber brisante Daten: Es handelt sich um biometrische und weitere personenbezogene Daten, die es den Taliban leicht ermöglichen würden, eine Abschussliste zu erstellen.

Genutzt wurden die Geräte und Daten, um Personen an Check-Points zu identifizieren – z. B. auch Ortskräfte. Eine ungeschützte Biometrie-Datenbank enthielt beispielsweise Namen, Fingerabdrücke, Iris-Scans und Fotos von mehr als 2.600 Afghanen und Irakern, so der CCC in einer Mitteilung. Kleine Vorgeschichte: Man wollte in Afghanistan möglichst breit die Bevölkerung biometrisch katalogisieren, um „die Guten“ von „den Bösen“ zu unterscheiden. Die Taliban könnten diese Daten nun verwenden, um mit ihnen ehemalige Ortskräfte zu verfolgen.

Das ist freilich besonders brisant, denn im Gegensatz zu Passwörtern und Co. lassen sich biometrische Merkmale nicht mal eben ändern. Laut CCC wurde dabei die Sicherheit stark vernachlässigt. Es war der Organisation möglich, die komplett ungeschützten Daten locker auszulesen, zu kopieren und zu analysieren. Als Zugangsschutz musste lediglich ein gut dokumentiertes Standardpasswort eingegeben werden. Die Datenbanken selbst entsprachen Standard-Datenbanken in Standard-Datenformaten. Somit konnten sie mit minimalem Aufwand komplett exportiert werden.

Das ist umso bedenklicher, da die Informationen Namen und biometrische Daten zweier US-Militärs, GPS-Koordinaten vergangener Einsatzorte sowie eine umfassende Biometrie-Datenbank mit Namen, Fingerabdrücken, Iris-Scans und Fotos von 2.632 Personen enthielten. Der CCC informierte indessen die Hersteller der Geräte sowie das US Department of Defense und die deutsche Bundeswehr, welche die Modelle verwendet hatten. Die Reaktionen fielen allerdings ernüchternd aus. Beispielsweise verwies das Department of Defense auf den Hersteller, den das Thema nicht weiter interessierte. Die Bundeswehr quittierte die Angelegenheit mit einer simplen Empfangsbestätigung der Hinweis-Mail.

Laut CCC hatte man die brisanten Geräte online frei in Auktionshäusern erstanden und hätte sich auch zweieinhalb Monate nach Hinweisen an die oben genannten Parteien weiter derartige Geräte kaufen können. Bedauerlicherweise zeigt dies, wie die potenzielle Lebensgefahr für die ehemaligen Ortskräfte bewusst ignoriert wurde.

Der CCC mahnt zudem, dass der sorglose und desinteressierte Umgang mit den biometrischen Daten durch Hersteller und staatliche Stellen aufzeige, wie groß das Missbrauchspotential grundsätzlich sei. Daher sei es immer eine sehr, sehr schlechte Idee, solche Daten in großen Mengen zentral zu sammeln.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.