Alle Datenpannen mit dem Suchbegriff »3«, in denen es um Persönliche Angaben geht
09.06.2010
Das amerikanische Telekommunikationsgroßunternehmen (schönes Wort) AT&T hat in den Vereinigten Staaten einen Exklusivvertrag mit Apple für den Verkauf des iPad. Nutzer können, bei entsprechender technischer Ausstattung über das Mobilfunknetz ins Internet gehen und dabei auch auf spezielle iPad-Services von AT&T zugreifen. Eine solche Anwendung ermöglichte es, auf Anfrage, anhand der ID der SIM-Karte, die E-Mail-Adresse des Benutzers zuermitteln.
Eine Hackergruppe hat dies genutzt, um die E-Mail-Adressen von 114.000 iPad-Besitzern zu sammeln. Dazu wurde ein kleines PHP-Skript geschrieben, welches mit der Bruteforce-Methode (Durchprobieren) kontinuierlich SIM-IDs an die Anwendung sendet und E-Mail-Adressen empfängt. Zusätzlich wurde der User-Agent des Rechners manipuliert, um gegenüber dem AT&T-Server ein iPad zu simulieren.
Update: Mittlerweile ermittelt das FBI gegen die Hacker-Gruppe mit dem Namen „Goatse“. Unter den E-Mailadressen befanden sich auch solche von ranghohen Pentagon-Beamten.
Kommentar hinzufügen
10.05.2010
Immer wieder gelangen Kriminelle mühelos an sensible Daten, weil Datenträger unachtsam entsorgt werden. Zumindest einige der ausgedienten Festplatten des Traunsteiner Finanzamtes kaufte zum Glück ein ehrlicher Bauunternehmer. Nach dessen Angaben war sofort nach dem Einbau von zwei Festplatten zu erkennen, dass diese zuvor der Behörde gehörten. Dort hatte man sich offenbar nicht einmal die Mühe gemacht, die Festplatten auf herkömmliche Weise zu löschen, geschweige denn die Daten sicher zu entfernen.
Nachdem der Käufer die beiden Festplatten der Polizei übergeben hatte, besorgte er auf dem gleichen Flohmarkt neue. Auch diese enthielten wieder Daten des Finanzamtes in Traunstein. Da die Behörden verpflichtet sind, solche Daten zu vernichten, ermittelt nun die Polizei.
Auf den Festplatten befanden sich Listen von Steuersündern, Unterlagen über Steuerstrafverfahren, Vollstreckungsbescheide, Übersichten über Steuerbescheide, eine Übersicht über Steuersünder, Unterlagen über die Einnahmen eines Finanzamtes, ein Verzeichnis über die Käufer von rund 500 Waffen, sowie Angaben zu Fehlzeiten von Mitarbeitern und zu einem Disziplinarverfahren.
Kommentar hinzufügen
06.05.2010
Nur eine Woche, nachdem die britische Datenschutzbehörde den National Health Service (NHS) zum schlechtesten Missetäter, bezüglich Datenpannen, gekürt hatte, zeigt dieser erneut, dass daraus keine Lehren gezogen wurden. Die NHS ist für knapp ein Drittel aller staatlichen Datenpannen, im Königreich in den lezten zwei Jahren, verantwortlich. Nun wurde vor einem schottischen Supermarkt ein USB-Stick gefunden, welcher Patientendaten von einer Klinik im Gebiet um Falkirk enthielt.
Bei der Klinik handelt es sich um eine Einrichtung für Patienten mit geistigen Problemen. Es ist nicht bekannt, welche Daten sich genau auf dem Stick befanden. ITPro berichtet, dass es sich auch um Angaben zu von diesen Personen begangene Straftaten und Personaldaten gehandelt haben soll.
Der USB-Stick war weder verschlüsselt, noch anderweitig geschützt.
Kommentar hinzufügen
04.05.2010
Es ist ja auch schon eine gefühlte Ewigkeit her, dass sich das Schülerverzeichnis mit Datenpannen schmückte.
Netzpolitik veröffentlichte jetzt eine wissenschaftliche Untersuchung (Paper), die belegt, dass noch immer problemlos Millionen von Schülerdaten gecrawlt und in eine externe Datenbank überführt werden können.
Im konkreten Fall wurde in wenigen Tagen eine Datenbank mit 1,6 Millionen Datensätzen angelegt (rund 30% aller Nutzerprofile). Alle Datensätze enthalten mindestens Name, Schule und Link zum Bild. Je nach Privatsphäreneinstellungen der Schüler sind aber in der Regel weitere Daten verfügbar.
Interessant ist bei diesem Fall auch, dass VZNet nicht auf die Hinweise des Studenten reagiert hat, welcher den Crawler programmierte. Da alle drei VZNet-Netzwerke auf der gleichen Technologie basieren ist der Angriff auch auf MeinVZ und StudiVZ übertragbar.
Die Frage, ob es sich dabei allerdings um eine Datenpanne im eigentlichen Sinne handelt bleibt noch zu klären. Der Nutzer kann eigentlich nicht erwarten, dass personenbezogene Daten, welche er online stellt, nicht kopiert werden. Hier besteht eher ein Aufklärungsproblem – Stichwort: Medienkompetenz. Kann der Nutzer aber erwarten, dass diese Daten nur bestimmten Personen zugänglich sind?
Kommentar hinzufügen
31.03.2010
Wie jede große Online-Plattform speist auch Facebook regelmäßig in den Nachtstunden neuen Code in sein System ein. Diesmal gab es dabei allerdings Probleme, die dazu führten, dass auch E-Mail-Adressen von Nutzern angezeigt wurden, die dies eigentlich verbieten.
Facebook ist derzeit auch wegen zu lascher Datenschutzbestimmungen im Gerede.
Kommentar hinzufügen
08.03.2010
Wie in jedem Jahr erhielten die erfolgreichen unter den Teilnehmern des Münster Marathons auch Ende 2009 eine DVD mit Film und Urkunde. Allerdings folgte diesmal der Ersten bald eine Zweite, mit Brief und Rückumschlag. Rückumschlag? Genau, der Veranstalter forderte die Teilnehmer auf die erste DVD umgehend zurückzusenden, da sie einen technischen Fehler enthalte. Zudem sollte eine Erklärung unterschrieben werden, dass die DVD nicht kopiert wurde.
Wem das komisch vorkam, der konnte entweder die alte DVD durchsuchen oder schon bald in der Zeitung lesen, was der Grund war: Die Veranstalter hatten versehentlich die komplette Teilnehmerdatenbank mit auf die DVD pressen lassen – selbstverständlich ohne Passwortschutz: Geburtsdaten, Bankdaten, Anschriften und E-Mail-Adressen von 3500 Teilnehmern.
Bemängelt wurde vorallem, dass die Teilnehmer allein aus der Presse über die Panne aufgeklärt wurden. Das Vorgehen war aber angeblich so mit dem Landesdatenschutzbeauftragten abgesprochen. Da es sich vermutlich nicht um einen vorsätzlichen Verstoß handelt, wird kein Bußgeld verhängt. Warum eigentlich nicht?
Kommentar hinzufügen
19.01.2010
RUF ist ein Veranstalter für Jugendreisen, der auch ein Portal zur Buchung der Reisen und eine Community-Plattform zum Informationsaustausch betreibt.
Wie Netzpolitik.org berichtet, hatte die Plattform — sie wurde inzwischen aus dem Netz genommen — eklatante Sicherheitslücken, weshalb es für Ottonormalhacker problemlos möglich war Profildaten der Jugendlichen einzusehen und zu kopieren. Zugriff bestand unter anderem auf die Adressen der Mitglieder. Auf das Datenleck wurde RUF bereits vor 3 Jahren hingewiesen. Der ehrliche Finder wurde damals aber mit Hilfe von Anwälten eingeschüchtert, so Netzpolitik.org.
Wie Heise Security berichtet, wies auch das Online-Buchungssystem Sicherheitsmängel auf. Durch einfache URL-Manipulation konnten Buchungen anderer Jugendlicher abgerufen werden. So war zum Beispiel sichtbar, wer wann mit wem in welchem Hotelzimmer schlafen wird.
Kommentar hinzufügen
03.11.2009
Auch die Sparkasse betreibt im Internet bereits eigene Geschäfte und verkauft darüber beispielsweise Software wie „Star Money”. Wer Kunde war und sich die eigene Bestellhistorie anschaute, konnte durch Verändern der Rechnungs-ID auch in jede andere Bestellhistorie schauen und bekam darüber Zugriff auf fast 350.000 Rechnungen.
Die Rechnungen enthielten die üblichen Informationen zu Name, Anschrift, gekaufte Produkte, Bestellzeit sowie die Zahlungsart. Bei den meisten wurde Kontonummern hinterlegt. Die Kontonummern wurden zwar bis auf die letzten vier Ziffern geschwärzt, jedoch gibt es im Sparkassenverbund auch kleinere Sparkasse mit vierstelligen Kontonummern.
Nachdem der „Deutsche Sparkassen Verlag” auf den Fehler angeschrieben wurden ist, wurde die Lücke binnen einer Stunde geschlossen und eine Stellungnahme abgegeben.
Kommentar hinzufügen
29.10.2009
Bei einer Unterbehörde des britischen Umwelministeriums sind 39 Backup-Bänder mit sensiblen Daten verschwunden. Bis auf zwei sollen diese mittlerweile wieder aufgetaucht sein.
Die Behörde, Rural Payment Agency, ist für die Auszahlung von EU-Subventionen an die britischen Landwirte zuständig. Die Bänder enthielten Bankdaten, Adressen, Passwörter und sogenannte „Security Questions” zum Widerherstellen der Passwörter von mehr als 100.000 Bauern.
Die Umweltbehörde behauptet, dass die Backups bei einem Transfer zwischen IBM und Accenture, welche im Auftrag der Behörde arbeiten, bereits im Frühjahr abhanden gekommen seien.
Kommentar hinzufügen
28.10.2009
Offensichtlich gab es im SchülerVZ einige Sicherheitsprobleme, die mehrfach zum Abgreifen größerer Datenmengen geführt haben. Markus Beckedahl von netzpolitik.org wurde nun erneut eine Datenbank zugespielt. Sie enthält Namen und Geburtsdaten von 118.000 Berliner Schülern. Die Datenfelder Name und Geburtsdatum wurden nur exemplarisch gewählt, um zu zeigen, dass der Angriff auch als „privat“ eingestellte Daten enthüllt. Theoretisch hätten auch Datenfelder wie Schule, Wohnort, Beziehungsstatus, politische Einstellung, Geschlecht oder das Foto ausgelesen werden können, obwohl VZnet weiter behauptet, es wäre nicht möglich private (nur für Freunde sichtbare) Daten auszulesen.
Das Crawling erfolgte über die Suche des Netzwerks. Hier können verschiedene Profildaten eingegeben werden. Als Suchergebnis werden auch Profile von Nutzern angezeigt, welche die jeweiligen Daten auf „privat“ eingestellt haben. Die Datensätze wurden zur Beweissicherung dem Bundesverband der Verbraucherzentralen (vzbv) und dem Berliner Datenschutzbeauftragten, Alexander Dix, übergeben. Dix sprach im Zusammenhang mit dieser Datenpanne von einer „völlig neuen Qualität“. Da alle drei Plattformen der VZnet-Gruppe auf dem selben System basieren ist zu befürchten, dass „private” Daten auch schon bei MeinVZ und StudiVZ ausgelesen wurden.
Der Cracker, der die Daten ausgelesen hatte, betonte indes, dass er diese nicht für kriminelle Zwecke nutzen oder veröffentlichen möchte, es gehe ihm lediglich darum auf die bestehenden Sicherheitslücken aufmerksam zu machen. Bereits vor zwei Wochen waren mehrere Datenbanken mit persönlichen Daten aus den drei VZs aufgetaucht.
Kommentar hinzufügen