Über 300 Millionen Social-Media-Datensätze, die von verschiedenen Plattformen wie Facebook, Instagram und LinkedIn stammen, wurden kürzlich durch eine massive Datenpanne aus der Cloud von SocialArks offengelegt. Hiervon waren mehr als 400 GB öffentliche und private Account-Daten von etwa 214 Millionen Social-Media-Nutzern weltweit betroffen. Nach dem Vorfall wurden die Daten über das Internet verbreitet, darunter auch die einiger bekannter Social-Media-Influencer und Celebrities.

Die Datenpanne wurde durch eine Fehlkonfiguration einer ElasticSearch-Datenbank verursacht, die SocialArks gehört, einem Unternehmen mit Hauptsitz in China. Dieses Unternehmen beschäftigt sich mit der Verwaltung von Social Media Profilen. Es sieht soweit danach aus, dass die Sicherheitsmaßnahmen für die (von Tencent gehostete) Datenbank ausgesprochen schwach waren, insbesondere war der Zugang zum Server aus dem Internet ohne Kennwort möglich und die in der Datenbank enthaltenen Daten waren nicht verschlüsselt. Darüber hinaus wurde der Zugriff auf die Daten nicht ausreichend kontrolliert. Leider waren in den Datensätzen nicht nur „normale“ personenbezogenen Daten, sondern auch besondere Kategorien personenbezogener Daten enthalten. Die Serverkonfiguration war so gestaltet, dass die Konten, einschließlich der personenbezogenen Daten, nach den Social-Media-Plattformen getrennt waren, um eine schnelle Überprüfung und Analyse der gescrapten Daten durch die Marketingexperten zu ermöglichen.

Das Unternehmen SocialArks bietet eine Plattform zur Verwaltung von Social-Media-Daten an und ermöglicht die Planung von Werbe- und Marketingkampagnen auf den wichtigsten Social-Media-Plattformen. Die Plattform ist hauptsächlich auf dem chinesischen Markt aktiv.

Das Data Scraping, das von mehreren Unternehmen auf dem Markt durchgeführt und durch verschiedene Web-Tools, die von großen Playern in diesem Bereich zur Verfügung gestellt werden, erleichtert wird, besteht in der Sammlung großer Mengen von (personenbezogenen) Daten von Websites oder, häufiger, von Social-Media-Plattformen mit dem Ziel, sie für andere Zwecke wie den Aufbau von Marketing-Kampagnen oder für gezielte Online-Werbung weiter zu verwenden.

Diese Praxis, die per se erst einmal nicht problematisch ist, sollte von den Diensteanbietern mit geeigneten und angemessenen Sicherheitsmaßnahmen durchgeführt werden, um die gesammelten Daten in den Datenbanken sicher zu halten. Das Risiko, dass solche Datenbanken gehackt werden oder ein anderweitig unrechtmäßiger Zugriff erfolgt, kann in der Tat zu erheblichen Datenpannen wie der Vorliegenden führen. Zu den gebräuchlichsten Sicherheitsmaßnahmen, um die Daten sicher zu halten, gehören: Verschlüsselung der Daten bei der Übertragung und at-rest (also bei der Ablage), strenge Verwaltung der Zugriffsrechte, Schutz der Server mit Firewalls, Implementierung sicherer Passwörter.

Die meisten Social-Media-Plattformen sind von Natur aus darauf ausgerichtet, personenbezogene Daten auszutauschen, die in einigen Fällen eindeutig privat sind. Die Nutzer sind sich in der Regel darüber im Klaren, dass ihre Daten, die die berufliche oder private Sphäre betreffen können, im sozialen Netzwerk veröffentlicht werden. Auf der anderen Seite greifen Marktforschungsunternehmen und deren Kunden auf solche Daten zurück, die in den meisten Fällen nur teilweise vor dem Zugriff geschützt werden können. In diesem Zusammenhang ist es von entscheidender Bedeutung, dass die Anbieter von Social-Media-Plattformen ein konsistentes und sicheres System zum Schutz der personenbezogenen Daten in Übereinstimmung mit dem Zweck der Verarbeitung aufbauen und dass sie die Nutzer ordnungsgemäß über die Aktivitäten und Vorgänge informieren, die im Rahmen der Plattform nicht nur von den Social-Media-Anbietern selbst, sondern insbesondere auch von Dritten durchgeführt werden. Es liegt auch in der Verantwortung des Nutzers, seine personenbezogenen Daten mit Bedacht und unter Berücksichtigung aller möglichen Folgen einer solchen Praxis zu teilen.

Dieser Beitrag ist eine Übersetzung unseres am 04.02.2021 erschienen Beitrags Massive leak of personal data at scraping company SocialArk. Wir sind mehrfach gebeten worden diesen Beitrag auch auf Deutsch zu veröffentlichen. Diesen Wünschen kommen wir natürlich gerne nach. 

| | , , | , , , ,