Python Software Foundation: Justizministerium der USA will Daten von fünf Nutzern
Das US-Justizministerium fordert die Herausgabe der Daten von fünf PyPI-Nutzern. Jetzt soll der Datenschutz gestärkt werden.
Im März und April 2023 erhielt die Python Software Foundation (PSF) die ministerielle Aufforderung, Daten von fünf Nutzern des Python Package Index (PyPI) herauszugeben. Alle drei Datenanforderungen wurden vom US-Justizministerium ausgestellt und der PSF wurden keine Informationen über die rechtlichen Umstände im Zusammenhang mit diesen Vorladungen zur Verfügung gestellt. Insgesamt wurden in drei separaten Vorgängen Daten von fünf PyPI-Accounts angefordert.
Die PSF machte dies öffentlich. Möglich war das der PSF aber nur deshalb, weil in den drei Forderungen keine Geheimhaltungsanordnung enthalten war.
"Die Privatsphäre der PyPI-Benutzer ist für die PSF und die PyPI-Administratoren von größter Bedeutung und wir verpflichten uns, Benutzerdaten nach Möglichkeit vor Offenlegung zu schützen. In diesem Fall stellte PSF jedoch auf Anraten eines Anwalts fest, dass unsere einzige Vorgehensweise darin bestehen konnte, die angeforderten Daten bereitzustellen", heißt es in dem Bericht über den Vorfall.
Auch Daten, die die PSF gar nicht hat, wurden eingefordert
Die PSF legte auch offen, welche diese fünf Nutzer betreffenden Datenbankeinträge an die Behörde übergeben wurden, und machte auch die Queries bekannt, mit denen diese Daten abgefragt wurden. Dabei wies die PSF auch aus, welche der Datenfelder ohnehin öffentlich einsehbar sind und welche nicht.
Aber auch auf ministeriale Anordnungen können nur solche Daten zur Verfügung gestellt werden, die auch existieren – die meisten der angefragten Daten (wie zum Beispiel die über Zahlungsinformationen oder Wohnsitze) hatte die PSF schlicht nicht gespeichert.
Der Vorfall löste aber noch etwas anderes aus. PyPI und die PSF wollen ihre Daten- und Datenschutzstandards überarbeiten. Dabei geht es darum, noch einmal genau hinzusehen, was an persönlichen Daten gespeichert wird, und vor allem, wie lange diese gespeichert bleiben. "PyPI und die PSF setzen sich für die Freiheit, Sicherheit und Privatsphäre unserer Benutzer ein", hieß es dazu aus dem Projekt.
Ein paar offene Enden gibt es aber trotzdem
Ein paar Punkte bleiben aber dennoch anzumerken. Da ist zum einen die Tatsache, dass Dienste wie PyPI immer wieder dafür genutzt werden, Software mir Schadcode zu verteilen. Auch PyPI war davon bereits betroffen. Zudem geht es in der Bekanntmachung der PSF explizit um drei behördliche Datenanforderungen ohne eine Geheimhaltungsanordnung – wie viele es mit einer solchen gab, wird wohl nicht so schnell bekannt werden.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Danke für den Hinweis, ist ausgetauscht.
Wenn dem so wäre, wäre die Aufforderung begründet, und mit ziemlicher Sicherheit mit...
Kommentieren