WeAct: Datenleck mitgeteilt, verursacht durch kläglich gescheiterten Datenschutzversuch

Vielleicht seid ihr einer von über 2 Millionen Nutzern der Plattform WeAct. Bei denen gab es nun ein Datenleck, über das der Anbieter informiert. Theoretischen Zugriff gab es etwa auf Namen, E-Mail-Adressen und die Postleitzahl von Nutzern, wie der Anbieter informiert. Die Daten stammen aus unterzeichneten Petitionen, wurden also von den Besitzern durchaus bewusst geteilt. Allerdings ist es so, dass jeder Petitonsersteller eben jene Liste herunterladen kann, was ja auch völlig richtig ist.

Problematisch in diesem Fall: Die Dateien waren nicht gestützt abgelegt. So konnte quasi jeder, der den Dateinamen kannte, solche Listen herunterladen. Laut WeAct gibt es keinen Hinweis darauf, dass dies auch geschehen ist. Das Problem sei behoben und man entschuldigt sich für die Panne. Die Information erfolgt übrigens nicht etwa, weil WeAct das so wichtig findet, sondern es wird direkt in der Einleitung betont, dass man nach Vorgaben der Datenschutzgrundverordnung zu dieser Information verpflichtet sei (und deshalb auch eine Mail an Leute schickt, die keinen weiteren Mails von der Plattform zugestimmt haben).

Witzigerwiese liefert WeAct auch den technischen Hintergrund der Panne mit, den man sich durchaus einmal auf der Zunge zergehen lassen kann. Die Sicherheit der Daten wurde nämlich aufs Spiel gesetzt, um – und jetzt kommt der echt schräge Teil an der Story – für mehr Datenschutz zu sorgen. Denn anstatt die Software – wie vorgesehen – auf Amazon Web Servern laufen zu lassen, hat man sie einfach auf eigene Server gepackt. Die Kompatibilität sollte eine Open-Source-Software übernehmen:

Zum “Design-Problem”:

Wer auf WeAct eine Petition startet, hat die Möglichkeit, sie an die Adressat*innen der Petition zu übergeben – etwa verantwortliche Politiker*innen oder Unternehmenschef*innen. So kann der jeweiligen politischen Forderung mehr Nachdruck verliehen werden. Jede*r Petitionsstarter*in kann sich hierfür die Liste mit den Namen und Postleitzahlen der Unterstützer*innen ihrer*seiner Petition als PDF-Datei herunterladen und gegebenenfalls ausdrucken.

Leider wurden diese Dateien auf dem WeAct-Server in einem Ordner abgelegt, auf den auch ohne Identifizierung zugegriffen werden konnte. Das bedeutet: Wer die exakte Bezeichnung dieser Dateien gekannt hätte, hätte auf sie zugreifen können – und herausfinden können, ob und welche Petition Sie unterzeichnet haben.

Zum “Kompatibilitäts-Problem”:

Die für WeAct eingesetzte Software wurde vom Hersteller ursprünglich dafür entwickelt, auf virtuellen Servern der Firma “Amazon” betrieben zu werden. Aus Gründen des Datenschutzes hatten wir uns aber dafür entschieden, die WeAct-Software nicht in der Amazon-Cloud, sondern lieber auf unseren eigenen Servern in einem deutschen Rechenzentrum zu betreiben. Dazu war eine Open-Source-Software nötig, die die Funktionen der Amazon-Cloud ersetzt.

Leider unterstützte diese Open-Source-Software eine Methode nicht, mit der Dateien als privat markiert werden können. Die Namen, Postleitzahlen und teilweise auch E-Mail-Adressen von WeAct-Nutzer*innen, die durch diese Markierung geschützt sein sollten, waren also theoretisch ohne Authentifizierung zugänglich. Die Folge hätte sein können, dass Sie unerwünschte Mails (Spam) erhalten. Für einen Zugang zu den Daten wäre aber auch hier Voraussetzung gewesen, die exakte Bezeichnung der Dateien zu kennen.

Hausgemachter Fehler, der schon ein wenig von Arroganz zeugt. Gekonnt hat man das „Mehr an Datenschutz“ durch Nutzung eigener Server verbrannt, weil man dachte, man könne es besser. Kann man machen, aber dann sollte man halt auch nicht mit Daten von so vielen Nutzern hantieren. Oder die selbst manipulierten Systeme einfach mal besser prüfen. So klingt das alles sehr fahrlässig. Besser machen wollen heißt eben nicht immer auch besser machen können.

Danke Benjamin!