Bis vor kurzen teilte Facebook viele Datensätze angemeldeter Nutzer mit Drittherstellern, welche Apps für Facebook entwickelten – dieser sorglose Umgang mit Nutzerdaten führte schließlich zum Cambridge-Analytica-Skandal. Facebook gelobte nach dem Desaster Besserung und führte beispielsweise Audits von Dritthersteller-Apps ein, um schwarzen Schafen auf die Spur zu kommen. Wie der neuste Datenskandal aber nahelegt, scheinen die Maßnahmen von Facebook nicht zu greifen.


Ungesichert auf AWS
Einer Meldung von Bloomberg nach ist es Sicherheitsforschern von UpGuard gelungen, gigantische Facebook-Datensätze auf Amazons Cloud-Platform AWS auszumachen. Diese waren auf gemieteten Servern bei AWS frei zugänglich für jedermann herunterladbar – ein Passwort, Zertifikat oder eine sonstige Identifikation war nicht notwendig.

Abermillionen Datensätze von Nutzern frei zugänglich im Internet
Eine öffentliche Datenbank stammt von Cultura Colectiva, einem bekannten Hersteller von Apps für Facebook und beinhaltet beeindruckende Datenmengen: 540 Millionen Datensätze finden sich in der 146 GB großen Datenbanken. Ersten Auswertungen nach umfasst die Datenbank Identifikationsnummern, Kommentare und Konto-Namen von Facebook-Nutzern – vollständig unverschlüsselt. Eine weitere aufgefundene Datenbank stammt von der nicht mehr verfügbaren App "At the Pool" und beinhaltet zwar nur 22.000 Datensätze, dafür aber samt E-Mail-Adressen und Klartext-Passwörtern.

Konfigurationsfehler Schuld am Datenleck
In der letzten Instanz sind Konfigurationsfehler der App-Hersteller Schuld an diesem neuen Datenleck – allerdings hätte Facebook den Drittherstellern erst gar keinen so weitreichenden Zugriff auf die Nutzerdaten einräumen dürfen. Die Sicherheitsforscher von UpGuard kontaktierten bereits vor einigen Monaten Cultura Colectiva, um den Hersteller auf den weitreichenden Konfigurationsfehler aufmerksam zu machen – eine Reaktion blieb aus. Erst als Facebook Amazon kurz vor Erscheinen des Bloomberg-Berichts kontaktierte, deaktivierte Amazon die betreffenden Server.

Da die Daten über eine lange Zeit öffentlich zugänglich waren, ist bisher nicht abzusehen, wie oft diese heruntergeladen oder gar für Hacks ausgenutzt wurden. Facebook kommentierte die Angelegenheit bisher nicht – ein beschwichtigendes Statement dürfte aber nach den Vorkommnissen der letzten Monate und Jahre kaum noch einen Nutzer zufriedenstellen.