Google StreetView-Daten: Expertengutachten völlig sinnlos

Im Fall der „versehentlich“ gespeicherten WLAN-Daten mit StreetView-Fahrzeugen bemüht Google unabhängige Sicherheits-Experten. Die sind sicherlich ihr Geld wert. Doch das, was sie herausfinden und bescheinigen, ist leider ohne jede Relevanz.

Bereits Mitte Mai verlangte Irland, dass alle gesammelten Daten von ihrem Land zu löschen seien. Dazu beauftragte Google das Sicherheitsunternehmen iSEC Partners. Alex Stamos, einer der Partner der Firma berichtete in einem Brief (PDF), wie die Löschung durchgeführt wurde.

Google habe ihm vier Festplatten übergeben. Er habe dabei bemerkt, dass die Platten auf eine "sichere Weise" in einem "sicheren Teil" des Standorts aufbewahrt worden seien. Die Daten wären in Ordner mit Länderbezeichungen aufgeteilt gewesen. Er habe alle Ordner bis auf den von Irland auf zwei verschlüsselte Volumes anderer Laufwerke kopiert und sei anschließend Zeuge der physikalischen Zerstörung der Originallaufwerke geworden.

Abschließend fasste er zusammen, dass er die Zerstörung aller Daten im Verzeichnis "Republic of Ireland" auf den ihm übergebenen Platten nach den Best-Practices für unwiederbringliche Datenzerstörung bescheinigen könne.

Diese Aktion hätte sich Google auch sparen können. Damit ist weder belegt, dass Google keine Kopien angefertigt hat, noch dass es sich um Daten aus Irland handelt. Technisch möglich ist das sowieso nicht, denn einem mitgeschnittenen WLAN-Frame auf einer Festplatte kann man schließlich nicht ansehen, ob er aus Irland stammt oder nicht.

Nicht dass ich Google etwas unterstellen möchte, aber im Endeffekt läuft es darauf hinaus, dass man sich auf Googles Versprechen verlassen muss, keine Daten aus Irland mehr zu besitzen.

Mit einem zweiten, umfangreicheren Gutachten (PDF) von Stroz Friedberg legt Google heute nach: Es will offensichtlich darlegen, die gesammelten Daten nicht genutzt zu haben. Das Ergebnis der 21-seitigen Studie ist schnell zusammengefasst.

Google habe nach eigener Aussage den WLAN-Sniffer Kismet benutzt, um die Rohdaten mit den StreetView-Fahrzeugen einzusammeln. Anschließend seien die Daten von Googles eigenem Tool gslite ausgewertet worden. Dabei habe man MAC-Adresse und SSID mit GPS-Daten kombiniert. Die Nutzdaten habe das Programm nur gespeichert, falls das WLAN unverschlüsselt betrieben worden sei. Die Sourcecodeanalyse habe ferner ergeben, dass die Nutzdaten von gslite in keiner Weise verwendet wurden.

Die Studie erwähnt explizit, dass nur die aktuelle Version des seit 2006 in der Entwicklung befindlichen gslite untersucht worden sei. Wie sich frühere Varianten verhalten hätten, könne man nicht sagen.

Auch das Geld für Stroz Friedberg hätte sich Google sparen können, denn das Gutachten kann keine Aussagen darüber machen, was Google mit den Daten gemacht hat.

Google kann noch so viele Experten mit der Löschung oder der Sourcecodeanalyse beauftragen. Das Ergebnis ist wird immer wieder dasselbe sein: Die Studien sind zu 100 Prozent korrekt, aber völlig nutzlos.