Abo
  • Services:
Anzeige

SchülerVZ - Wirbel um Datensätze (Update)

Keine Adressen, aber Name, Geschlecht, Alter, Schule und Profilbild

Das Netzwerk SchülerVZ will eine sichere Umgebung für Minderjährige sein. Dort haben Hacker wohl Daten in erheblichem Umfang kopiert, die sonst nur Mitglieder einsehen können.

Nicht ohne Grund ist das soziale Netzwerk SchülerVZ - das wie Zeit Online [und Golem.de, Anmk. d. Red.] zur Mediengruppe Holtzbrinck gehört - nur denen zugänglich, die darüber kommunizieren sollen: Schülern zwischen 12 und 18 Jahren. Erwachsene haben keinen Zutritt, und den Betreibern ist wohl bewusst, dass Datenschutz für sie höchste Priorität hat. Immerhin soll SchülerVZ laut Eigenwerbung "ein sicheres Umfeld" bieten.

Anzeige
 

Doch im Internet ist nichts wirklich sicher. Hackern ist es offenbar gelungen, zumindest Teile der Datenbanken mit Profilinformationen von fast einem Viertel der Nutzer auszulesen. Diese Daten sind nur für Mitglieder des Netzwerkes sichtbar. Dem Blog Netzpolitik liegt ein Teil dieser kopierten Daten vor. Insgesamt treffen sich fünf Millionen minderjährige Schüler in dem sozialen Netzwerk.

Die Quelle der gehackten Daten ist anonym. Doch die Listen, die auch Zeit Online in Auszügen vorliegen, sind detailliert. Der Datensatz von mehr als einer Million Nutzern soll laut Netzpolitik Profil-ID, Name und dazugehörige Schule samt ID enthalten. Ein zweiter, kleinerer Datensatz soll noch detailliertere Informationen wie Profil-ID, Name, Schule samt ID, Geschlecht, Alter und Profil-Bild umfassen, wobei auch der Link zu dem Bild dazugehören soll.

Damit könnten die Listen beispielsweise sortiert werden nach Merkmalen wie "alle Schüler aus Berlin" oder "alle Schülerinnen im Alter von 13, die in Siegen wohnen, samt Bild und ihrer Schule".

SchülerVZ wurde von Zeit Online über das Leck informiert, eine direkte Antwort steht noch aus. Auf dem Blog des Unternehmens aber steht inzwischen: "Es handelt sich hierbei explizit nicht um Daten wie Postadressen, E-Mail-Adressen, Zugangsdaten, Telefonnummern und Fotoalben, sondern um für alle Community-Nutzer einsehbare Daten. Wir haben sofort Maßnahmen ergriffen, um weitere illegale Zugriffe auszuschließen. Die VZ-Netzwerke haben die Datenschutzbehörden umgehend informiert und werden rechtliche Schritte gegen Unbekannt einleiten."
[von Kai Biermann, Zeit Online]

Der Eintrag legt nahe, dass jemand einen Account hatte und von diesem aus die Profilseiten anderer Nutzer ansurfte und dann kopierte. Bei der schieren Menge der aufgetauchten Daten ist das sehr unwahrscheinlich. Markus Beckedahl, der Netzpolitik-Blogger, der zuerst darüber berichtet und der Kontakt zu den Hackern hat, schreibt daher auch: "Hier wurden Scripte verwendet und eine sogenannte CSRF-Lücke genutzt ('Cross Site Request Forgery'). Wäre schön, wenn SchülerVZ das korrigieren könnte. Ich habe sie darauf hingewiesen."

Auf den Widerspruch zwischen der Datenmenge und der Äußerung von SchülerVZ hatte auch der Blogger Michael Friedrichs hingewiesen. "Wenn ein Nutzer öffentlich einsehbare Daten archiviert hat, ist das sicherlich nicht strafbar. Komisch ist dann allerdings, dass gegen dieses unbekannte Mitglied rechtliche Schritte eingeleitet wurden. Widerspricht sich das nicht?" Außerdem weist er auf den Fleiß des vermeintlichen Kopierers hin. "Immerhin tummeln sich auch SchülerVZ derzeit rund fünf Millionen Mitglieder. Der unbekannte Datensammler muss also ziemlich fleißig gewesen sein. Gar nicht auszudenken, wie oft der oder die Täter die CTRL+C-Taste gedrückt haben muss."

Es handelt sich daher wohl eher um ein automatisiertes Auslesen der Informationen, was in diesem Umfang auf keinen Fall möglich sein sollte.

Beckedahl berichtet auch von weiteren Lücken im Script der Seite. Inzwischen scheint es einen regen Austausch zwischen ihm und den Betreibern des Netzwerks gegeben zu haben. Immerhin bedanken sich Letztere bei Netzpolitik für die Zusammenarbeit: "Dank der Kooperation konnten die VZ-Netzwerke zudem sofort entsprechend reagieren und die Sicherheitsmaßnahmen verschärfen, in dem sie den Zugriff auf eine erhöhte Anzahl von Profilen in einem kurzen Zeitraum erheblich eingeschränkt haben." [von Kai Biermann, Zeit Online]

Nachtrag vom 17. Oktober 2009, um 12:51 Uhr:

Laut StudiVZ-Blog sind die Daten, "die ein schülerVZ-Nutzer illegal und entgegen der VZ-AGB kopiert hat" nicht in Umlauf gebracht und inzwischen komplett gelöscht worden. Nutzer sollen aufgrund verstärkter Sicherheitseinstellungen ab sofort keine große Anzahl von Profilen mehr innerhalb eines kurzen Zeitraums abrufen können. StudiVZ-Chef Markus Berger-de León dazu: "Wir möchten uns für die erfolgreiche Kooperation mit Netzpolitik.org und Herrn Beckedahl bei diesem wichtigen Thema ganz herzlich bedanken. Ich bin erleichtert zu wissen, dass die kopierten Informationen der Nutzerprofile nicht in die falschen Hände geraten sind." Beckedahl soll diese Liste aus der für die VZ-Netzwerke unbekannten Quelle als einzigem vorgelegen haben.


eye home zur Startseite
d3wd 08. Nov 2009

Wobei jetzt natürlich sowieso jeder Pädophile behaupten kann das er so an die "Daten...

l0ft1x 22. Okt 2009

Das die AGB nichts zu sagen haben ist dir klar? Wenn die AGB nicht dem deutschen Recht...

flobo79 20. Okt 2009

wie mind-fucked ist diese gesellschaft eigentlich. Ein Portal in dem jeder mit jedem in...

Raven 19. Okt 2009

Ich glaube nicht. Datenbanken sind vielleicht als Ganzes geschützt, ein (geringer) Teil...

nepumuk 19. Okt 2009

Ich musste mir den Posts deines Vorredners 3 mal durchlesen, bis ich genau verstanden...


Ich Blog Dich! / 27. Okt 2009

3x1t's Blog / 17. Okt 2009

sVZ Crawler

Datenleck.net / 16. Okt 2009

Automatisiertes Auslesen von Sch



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Stuttgart (Home-Office möglich)
  2. Media-Saturn IT-Services GmbH, Ingolstadt
  3. ENERTRAG Aktiengesellschaft, Berlin
  4. Sparda-Bank Ostbayern eG, Regensburg


Anzeige
Top-Angebote
  1. (-40%) 17,99€
  2. 15€ sparen mit Gutscheincode GTX15 (Bestpreis laut Preisvergleich)
  3. (u. a. 3x B12-PS 120mm für 49,90€, 3x B14-1 140mm für 63,90€ statt 71,70€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Kritische Bereiche der IT-Sicherheit in Unternehmen
  2. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie
  3. Mit digitalen Workflows Geschäftsprozesse agiler machen


  1. DNS NET

    Erste Kunden in Sachsen-Anhalt erhalten 500 MBit/s

  2. Netzwerk

    EWE reduziert FTTH auf 40 MBit/s im Upload

  3. Rahmenvertrag

    VG Wort will mit Unis neue Zwischenlösung für 2017 finden

  4. Industriespionage

    Wie Thyssenkrupp seine Angreifer fand

  5. Kein Internet

    Nach Windows-Update weltweit Computer offline

  6. Display Core

    Kernel-Community lehnt AMDs Linux-Treiber weiter ab

  7. Test

    Mobiles Internet hat viele Funklöcher in Deutschland

  8. Kicking the Dancing Queen

    Amazon bringt Songtexte-Funktion nach Deutschland

  9. Nachruf

    Astronaut John Glenn im Alter von 95 Jahren gestorben

  10. Künstliche Intelligenz

    Go Weltmeisterschaft mit Menschen und KI



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Robot Operating System: Was Bratwurst-Bot und autonome Autos gemeinsam haben
Robot Operating System
Was Bratwurst-Bot und autonome Autos gemeinsam haben
  1. Roboterarm Dobot M1 - der Industrieroboter für daheim
  2. Roboter Laundroid faltet die Wäsche
  3. Fahrbare Roboter Japanische Firmen arbeiten an Transformers

Super Mario Bros. (1985): Fahrt ab auf den Bruder!
Super Mario Bros. (1985)
Fahrt ab auf den Bruder!
  1. Quake (1996) Urknall für Mouselook, Mods und moderne 3D-Grafik
  2. NES Classic Mini im Vergleichstest Technischer K.o.-Sieg für die Original-Hardware

HPE: Was The Machine ist und was nicht
HPE
Was The Machine ist und was nicht
  1. IaaS und PaaS Suse bekommt Cloudtechnik von HPE und wird Lieblings-Linux
  2. Memory-Driven Computing HPE zeigt Prototyp von The Machine

  1. Re: Warum nur M.2?

    Ach | 05:54

  2. Re: Upload ...

    NaruHina | 05:40

  3. Re: Hat Microsoft eigentlich noch eine...

    Wallbreaker | 04:56

  4. Wie eine Supernova ...

    Dyanarka | 04:51

  5. Re: Danke Apple

    Seitan-Sushi-Fan | 03:45


  1. 18:40

  2. 17:30

  3. 17:13

  4. 16:03

  5. 15:54

  6. 15:42

  7. 14:19

  8. 13:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel