Verbraucherzentrale berichtet von erneuter Datenpanne bei SchülerVZ

Dem Verbraucherzentrale Bundesverband (VZBV) sind über 100.000 Datensätze aus dem Netzwerk SchülerVZ zugespielt worden. Eine nicht näher bekannte Person hatte sie zunächst dem Blog netzpolitik.org die Datensätze zukommen lassen, der sie an den Verband weiterreichte.

Bislang hatten die Betreiber angegeben, private Daten, die nur für Freunde sichtbar sind, seien vor dem Zugriff unbefugter Dritter sicher. Zu den beim VZBV aufgetauchten Datensätzen gehören aber auch Daten von Teilnehmern, die als nur für Freunde sichtbar eingestellt sind. Neben Geburtsdaten zählen dazu etwa auch Informationen zur politischen Einstellung. Der VZBV hat den Berliner Datenschutzbeauftragten in Kenntnis gesetzt und ihm die Datensätze sowie ein Programm, mit dem sie angeblich erhoben wurden, zur Prüfung übergeben.

Zusammen mit den Daten ging eine Nachricht beim VZBV ein, in dem der mutmaßliche Datenerheber betont, dass ihm nicht an einer Veröffentlichung der Daten gelegen sei. Vielmehr wolle er über mangelnde technische Sicherheitsvorkehrungen und die grundsätzliche Unsicherheit von Daten in Sozialen Netzwerken aufklären. Die Lücken seien bei allen drei Plattformen der VZ-Netzwerke-Gruppe – neben SchülerVZ auch MeinVZ und StudiVZ – identisch.

SchülerVZ wehrt sich in einer Pressemitteilung gegen die Vorwürfe. Der Vorfall sei überprüft worden. Es handele sich um einen älteren Datensatz mit Informationen zu Geburtsdaten und Geschlecht. Die Sicherheitslücke, die das Abrufen dieser Information möglich gemacht habe, sei bereits Ende Juli 2009 behoben worden.

Das Netzwerk räumte aber ein, dass die Einstellmöglichkeiten bezüglich der Suchmöglichkeit nach Geburtsdaten unklar seien. Die „missverständlichen Einstellmöglichkeiten“ sollen im Laufe des Tages korrigiert werden. Zusätzlich werde man die Suche nach Geburtsdatum und Alter komplett deaktivieren. „Im Zuge einer weiteren Verschärfung unserer Sicherheitsmaßnahmen werden wir auch in den nächsten 24 Stunden die Nutzer-IDs neu setzen. Hierdurch kann es aber zu temporären Einschränkungen für unsere Nutzer kommen“, teilt SchülerVZ weiter mit.

Erst vor wenigen Tagen hatten zwei SchülerVZ-Nutzer zahlreiche öffentlich einsehbare Daten anderer Mitglieder illegal kopiert und weitergegeben. Sie griffen dazu lediglich auf Daten zu, die für jeden SchülerVZ-Nutzer unmittelbar nach der Anmeldung verfügbar sind. Diese geschah allerdings nicht manuell, sondern automatisiert mit einem Webspiderprogramm. Einer von ihnen wurden inzwischen wegen versuchter Erpressung verhaftet. Er soll von den Betreibern des Schüler-Netzwerks mindestens 20.000 Euro gefordert und damit gedroht haben, die gesammelten Daten nach Osteuropa zu verkaufen.

„Statt zu versprechen, dass ihre Daten gut aufgehoben sind, müssen die Anbieter die technisch höchste Sicherheit bieten – wenn nötig auch zu Lasten des Nutzerkomforts“, so VZBV-Vorstand Gerd Billen. Zudem sollten die Betreiber die potenziellen Risiken klar benennen, die mit einer Veröffentlichung privater Daten im Netz verbunden sind. Nur so könnten die Nutzer abwägen, wie freizügig sie ihre persönlichen Daten kommunizieren.