Diese Woche scheint die Woche des Datenschutzes zu sein. Oder vielmehr der Datenpannen. Nach Apple und Sony, muss nun auch der Hersteller von Navigationsgeräten TomTom die Weitergabe von Daten eingestehen, wie Spiegel Online berichtet:
Der Navi-Hersteller TomTom hat die Kunden gegen sich aufgebracht. Das Unternehmen hat der Polizei in den Niederlanden die Geschwindigkeitsdaten ihrer Kunden verkauft. Man sei davon ausgegangen, dass die Daten benutzt werden, um den Verkehr auf den Straßen sicherer zu machen, schreibt Tomtom-Chef Harold Goddijn in einem offenen Brief. Doch weit gefehlt: Nach Angaben der Zeitung "Algemeen Dagblad" plant die Polizei, anhand der gesammelten Geschwindigkeiten und den zugehörigen Ortsangaben geeignete Stellen für Radarfallen auszumachen. Wo viel gerast wird, sollen Radarfallen stehen.
Dieser Datenverkauf hat wütende Proteste bei den TomTom-Kunden ausgelöst.
Die Daen sollen anonymisiert gewesen sein, als die Polizei der Daten bekommen hat. Trotzdem ist die Aufregung der TomTom-Kunden natürlich groß. Die Frage ist aber wohl, ob die Kunden deshalb so aufgebracht sind, weil ihre Daten weitergegeben wurden, oder ob sie nun befürchten, häufiger ein Knöllchen wegen Geschwindigkeitsüberschreitung zu bekommen? Der Vorfall zeigt jedenfalls aber auch, daß sich einmal gesammelte Daten vielfältig einsetzen, wenn nicht sogar mißbrauchen lassen. Unter diesem Gesichtspunkt ist natürlich die oberste Datenschützer-Regel der Datensparsamkeit besonders interessant: Daten, die ich gar nicht erst erhebe, brauche ich auch gar nicht besonders schützen und können auch nicht entwendet, mißbraucht oder illegal kopiert werden.
Einen sehr viel schlimmeren Fauxpax hat sich die Unesco geleistet, wie ebenfalls Spiegel Online aufdeckte. Dort kann man sich über ein Formular im Web bewerben. Soweit nichts Ungewöhnliches. Das haben heutzutage eigentich fast alle größeren Firmen. Dumm ist nur, daß die Daten eigentlich total ungeschützt im Netz standen:
Die Datensätze enthalten neben Handy-Nummern, Anschriften, E-Mail-Adressen und Namen auch genaue Auskünfte zu bisherigen Arbeitgebern, zum Bildungsweg, zu Sprachkenntnissen, zum Teil auch Namen und Anschriften von Verwandten der Kandidaten. Aus den Bewerbungen erfährt man zum Beispiel exakt, wie viel ein leitender Mitarbeiter im diplomatischen Dienst Pakistans verdient (einen sechsstelligen Dollar-Betrag) und welche Angestellten der Weltbank zur Unesco wechseln wollen. Die Bewerber stammen aus aller Herren Länder, manche bekleiden derzeit durchaus hohe Positionen. Die Unesco ist eine Organisation mit einem Jahresbudget von etwa 330 Millionen US-Dollar und über 2000 Mitarbeitern. Sie zieht hochqualifiziertes Personal an – Spitzenmanager aus Bereichen wie Logistik und Verwaltung, Ingenieure, Forscher, Diplomaten, Bewerber mit jahrelanger Erfahrung in internationalen Organisationen. Potentiell reiche Beute für Datendiebe.
Die Bewerbungsunterlagen für Praktika sind völlig ungeschützt einsehbar – die ältesten von SPIEGEL ONLINE gesichteten stammen aus dem Jahr 2006, die jüngsten aus dem Jahr 2011. Jede Bewerbung hat eine eigene Kennziffer, die zeitlich aufsteigend vergeben wird. Der Datenbestand beginnt mit Bewerbung 2 im Jahr 2006 und endet bei Bewerbung 79998 im Jahr 2011. Durch die Veränderung einer Ziffer in der URL kann man eine Bewerbung weiter springen.
Die Ziffer in der URL ist, wie ich vermute, die Serial in der Datenbank, unter der die Bewerbung gespeichert ist. Das ist natürlich die einfachste Methode, auf einen Datensatz zuzugreifen. Allerdings auch die wohl unsicherste, wie man sieht, denn dadurch kann man ja andere Bewerbungen durch Ändern der Nummer einsehen. Besser wäre es wohl gewesen, aus den Daten der Bewerber einen Hash zu generieren und diesen dann für die URL zu verwenden. Allerdings bin ich auch kein Programmierer, aber daß die URL ohne Passwortschutz abrufbar ist, ist schon ein ziemlicher Knaller. Denn die Bewerbungsunterlagen sind ja nun wirklich ziemlich privat bzw. sensibel. Das Beispiel zeigt halt auch sehr schön, wie fahrlässig häufig mit unseren Daten in Institutionen und Firmen umgegangen wird und wie notwendig ein zeitgemäßer Datenschutz ist, der sich der Maxime der Datensparsamkeit wesentlich stärker bedient als es derzeit der Fall ist.