Der nächste Datenskandal: Facebook speicherte hunderte Millionen Passwörter von Nutzern im Klartext
Facebook macht es Datenschützern in den letzten Jahren sehr leicht, den Konzern wegen des Umgangs mit Nutzerdaten zu kritisieren. Ein anonymer Tippgeber hat sich an die Sicherheitswebseite
KrebsOnSecurity gewandt und ein neues großes Datenschutzproblem bei Facebook offengelegt – zwischen 200 und 600 Millionen Klartext-Passwörter werden auf internen Facebook-Servern gespeichert und können von etwa 20.000 Mitarbeitern ohne spezielle Zugangsregeln ausgelesen und verwendet werden. Die Daten reichen bis ins Jahr 2012 zurück.
Keine Chiffrierung der PasswörterWebseitenbetreiber speichern im Normalfall nur gekürzte und chiffrierte Passwörter – falls unberechtigter Zugriff auf die Nutzerdatenbank stattfindet, können die Angreifer wenigstens nicht die Klartext-Passwörter entwenden. Dies hat den großen Vorteil, dass eine Anmeldung mit den chiffrierten Passwörtern am Dienst selbst oder an anderen Webdiensten, falls der Nutzer das Passwort mehrfach verwendet hat, nicht möglich ist.
9 Millionen Anfragen nach Klartext-PasswörternÜber Zugriffsberichte konnte die anonyme Quelle herausfinden, dass etwa 2.000 Entwickler über neun Millionen Abfragen an die internen Server stellten, welche Klartext-Passwörter beinhalteten. Hauptsächlich scheinen auf den internen Servern Nutzerpasswörter der Facebook- und Instagram-Apps abgelegt worden zu sein.
Problem schon seit Januar bekannt – Facebook sieht bei Nutzern keinen HandlungsbedarfLaut der anonymen Quelle hat Facebook das Sicherheitsproblem schon im Januar aufgedeckt aber nicht öffentlich bekannt gegeben – ob Facebook den Datenschutzverstoß auch ohne den Tippgeber gemeldet hätte sei einmal dahingestellt. Facebook hat eigenen Angaben nach eine kleine interne Taskforce zusammengestellt, welche untersuchen soll, wie es zu dem Datenschutzverstoß kam und wie solche Probleme zukünftig vermieden werden können.
Facebook sieht es derzeit nicht als notwendig an die Vergabe eines neuen Passwortes zu verlangen – man wolle aber betroffene Nutzer zeitnah informieren. Warum der Konzern betroffene Facebook-User nicht schon im Januar nach Aufdeckung des Sicherheitsrisikos kontaktierte teilte Facebook nicht mit. Eigenen Angaben nach gebe es keinerlei Hinweise, dass durch die intern frei zugänglichen Klartext-Passwörter Schaden entstanden sei.