Drittanbieter speichern umfassende Datensätze auf AWS S3 Facebook verliert Kontrolle über Daten

Über 146 Gbyte an Informationen von Facebooknutzern standen per Amazon S3 offenbar jedem frei zum Download verfügbar, darunter auch unverschlüsselte Passwörter – das berichtet Sicherheitsanbieter UpGuard in einem Blogbeitrag vom 3. April.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Cohesity GmbH

Specops Software GmbH

Mit den zwei jetzt gefundenen Datensätzen verdeutlicht das UpGuard Cyber Risk Team eindringlich die Gefahren massenhaft durchgeführter Datensammlungen. Die von Drittanbietern stammenden Datensätze waren unabhängig voneinander in Amazon S3 Buckets gespeichert. Über die hätte jeder Internetanwender hunderte Millionen Einträge zum Nutzerverhalten einzelner Facebookanwender herunterladen können – ohne dass das Social Network noch etwas dagegen hätte tun können.

Die Daten stammen einerseits von der in Facebook integrierten App „At the Pool“, die offenbar bereits 2014 eingestellt wurde. Enthalten waren hier Details von 22.000 Nutzern. Neben Vorlieben, Fotos und Freunden enthielt der Datensatz auch unverschlüsselte Passwörter. UpGuard vermutet allerdings, dass es sich dabei um Zugangsdaten zur App handelt – und nicht solche zu Facebook selbst. Ein akutes Sicherheitsrisiko wäre damit nur für Anwender konstruierbar, die identische Passwörter bei verschiedenen Diensten genutzt und schon seit längerer Zeit nicht mehr geändert haben.

Soziale Netzwerke absichern

Wichtige Sicherheits­einstellungen für Facebook

Im zweiten Datensatz fanden die Forscher andererseits über 540 Millionen Datensätze mit einem Umfang von 146 GByte, die vom mexikanischen Medienunternehmen Cultura Colectiva stammen. Wenngleich UpGuard hier nicht auf gespeicherte Passwörter verweist, biete die Dichte der gesammelten Informationen zu Nutzern, Kommentaren oder Likes an sich einiges Missbrauchspotential.

Träge Reaktionen und Beschwichtigungen

UpGuard will Cultura Colectiva wiederholt per Mail am 10. Januar und 14. Januar auf die öffentlich zugänglichen Daten hingewiesen, darauf aber keine Reaktion erhalten haben. Eine Mitteilung vom 28. Januar an Amazon Web Services (AWS) wurde offenbar beantwortet, die Daten im Bucket seien jedoch weiterhin frei zugänglich geblieben. Erst nach einer Nachfrage des Medienunternehmens Bloomberg an Facebook am 3. April sei der „cc-datalake“ genannte Bucket schließlich gesichert worden.

Laut Nachrichtensender CNBC beschwichtigt Cultura Colectiva: Privatsphäre und Sicherheit von Nutzern seien nicht gefährdet gewesen, denn private Daten wie Passwörter oder E-Mails waren nicht zugänglich. Nichtsdestotrotz habe man die eigenen Sicherheitsmaßnahmen verstärkt.

Diskussion um Datenverknüpfung, DSGVO und Marktmacht

Bundeskartellamt maßregelt Facebook

Mit Facebook selbst hat UpGuard in der Angelegenheit offenbar nicht kommuniziert. Ein von CNBC nicht namentlich von genannter Unternehmenssprecher will zumindest keine Kenntnis von einer Kontaktaufnahme haben. Dafür verwies Facebook gegenüber dem Sender auf die eigenen Policies; denen zufolge dürften Dritte von Facebook stammende Informationen nicht an ungesichteren Orten ablegen.

Bei „At the Pool“ seien die Daten derweil noch offline gegangen, bevor UpGuard eine Mitteilung hatte verschicken können. Über die Gründe hierfür lässt sich freilich nur spekulieren.

Nur halbe Entwarnung

Die gute Nachricht: Beide Lecks enthalten offenbar keine Passwörter zu Facebook-Konten. Nichtsdestotrotz zeigen die Datansätze laut UpGuard, wie leicht das Soziale Netzwerk die Kontrolle über einmal gesammelte Daten verliert. Auch wenn Facebook den Zugriff Dritter auf Daten künftig beschränke: Eine Fülle bereits in freie Wildbahn gelangte Informationen ließen sich nicht mehr zurückholen oder kontrollieren.

Risiko Security-Patches

Trotz Patch ein mögliches Datenleck bei Facebook

(ID:45845534)