Altlast: SchülerVZ-Datensätze mit privaten Daten aufgetaucht

Daten wurden im Juni 2009, vor der Schließung einer Sicherheitslücke, ausgelesen

Die VZ Netzwerke stehen weiter in der Kritik, nachdem nun auch noch teils private Daten von 118.000 Schülern auftauchten. Verbraucherschützer fordern Social-Networking-Betreiber dazu auf, den Datenschutz "wenn nötig auch zu Lasten des Nutzerkomforts zu gewährleisten."

Auch diese neuen, aus SchülerVZ ausgelesenen Datensätze wurden Netzpolitik.org zugespielt und sollen private Daten von 118.000 Berliner Schülern umfassen. Die Datensätze enthalten die individuelle SchülerVZ-ID-Nummer, das Geburtsdatum und das Geschlecht von Schülern, obwohl diese Angaben anderen Mitgliedern eigentlich verborgen bleiben sollen.

Laut Markus Beckedahl von Netzpolitik.org wurde dazu eine ehemalige Sicherheitslücke in der Suchfunktion bei SchülerVZ genutzt. Damit ließen sich auch versteckte Profilangaben nach und nach über Variationen der Suchparameter auslesen. Es wäre problemlos möglich gewesen, dazu noch von allen Schülern Schule, Wohnort, Beziehungsstatus, Foto und weitere Informationen zu ermitteln.

Laut dem SchülerVZ-Betreiber VZ Netzwerke ist die Sicherheitslücke in der Suchfunktion ("Supersuche") von SchülerVZ bereits seit Juli 2009 geschlossen. Beckedahls Quelle bestätige auch, dass die Datensätze noch aus dem Juni seien.

"Das ist erfreulich für die Nutzersicherheit", so Beckedahl. Es stelle sich allerdings die Frage, "wie viele weitere erfolgreiche Datenausspäh-Aktionen" es in den letzten Monaten bei SchülerVZ gab.

"Daten im Netz sind in der Regel nicht sicher. Auch nur für Freunde in Social-Networks frei gegebene Informationen bieten nur eine symbolisch gefühlte Sicherheit. Darauf sollte man sich nicht verlassen", warnt Beckedahl.

Die VZ Netzwerke, die wie Golem.de zur Verlagsgruppe Georg von Holtzbrinck gehören, prüfen gerade, ob sich über die Supersuche trotz geschlossener Sicherheitslücke weiterhin das Geburtsdatum auslesen lässt. Laut Beckedahl gebe es Anzeichen dafür.

Der Verbraucherzentrale Bundesverband (vzbv) hat sich der Datensätze auch angenommen und sich mit dem Berliner Datenschutzbeauftragten in Verbindung gesetzt. Die Datenschützer fordern die Anbieter sozialer Netzwerke auf, mehr für den Schutz der Daten ihrer Kunden zu tun. "Statt zu versprechen, dass ihre Daten gut aufgehoben sind, müssen die Anbieter die technisch höchste Sicherheit bieten - wenn nötig auch zu Lasten des Nutzerkomforts", so vzbv-Vorstand Gerd Billen.

Die Betreiber sollen laut vzbv die potenziellen Risiken klar benennen, die mit einer Veröffentlichung privater Daten im Netz verbunden sind. Nur so könnten Nutzer abwägen, wie freizügig sie ihre persönlichen Daten kommunizieren. Der vzbv betreibt mit www.surfer-haben-rechte.de selbst eine Website, die auch über soziale Netzwerke und Datenschutz informiert.

Nachtrag vom 28. Oktober 2009, um 13:10 Uhr:

Ein Sprecher der VZ Netzwerke konnte mittlerweile Angaben zur aktuellen Sicherheit der Supersuche machen. Bei einer internen Prüfung sei festgestellt worden, "dass die Einstellmöglichkeiten bezüglich der Suchbarkeit nach Geburtsdaten missverstanden werden können. Diese missverständlichen Einstellmöglichkeiten werden wir im Laufe des Tages beheben. Zusätzlich werden wir auch die Suche nach Geburtsdatum und Alter komplett deaktivieren."

Zudem sollen innerhalb der nächsten 24 Stunden auch die Nutzer-IDs neu gesetzt werden. Hierdurch könne es zu temporären Einschränkungen für die Nutzer von SchülerVZ, StudiVZ und MeinVZ kommen. Die Sicherheitsmaßnahme soll das Zuordnen von bereits ausgelesenen Datensätzen erschweren.