Ich Blog Dich!

Mitte Oktober schlug die Nachricht, dass durch ein großes Sicherheitsloch im SchülerVZ-Netzwerk Datensätze von einem Viertel der dort angemeldeten Nutzer dem Betreiber abhanden gekommen waren, große Wellen.

Netzpolitik.org meldete:

“Aus anonymer Quelle wurden uns Listen von zahlreichen SchülerVZ-Nutzern zugeschickt. Ein Datensatz umfasst mehr als eine Million Datensätze…”

Heute meldet netzpolitik.org

“Unsere erste Quelle bei der Aufdeckung eines Datenlecks bei SchülerVZ hat die von ihre entdeckten Sicherheitslücken dokumentiert (PDF). Wir danke für die Zusammenarbeit. Gerne würden wir die Namen veröffentlichen, damit die beiden Personen auch etwas Ruhm für die Aktion abbekommen. Allerdings ist noch unklar, ob SchülerVZ juristisch gegen sie vorgehen würde. Daher verzichten wir noch darauf.”

Die Helden der Aufdeckung des Datenskandals wollen also gefeiert werden, haben aber Angst vor Repressalien?
Doch haben Helden mit hehren Motiven überhaupt etwas zu befüchten ?

Wenn man anhand des Textes dieses PDF Dokuments etwas nachforscht, finden sich überaus interessante Informationen, die, fügt man diese chronologisch aneinander, ein etwas anderes Bild eines möglichen Motivs vermitteln könnten.

Der Versuch einer Timeline
TICKERTICKERTICKERTICKDITACK
(sich bitte hier das Geräusch eines Nachrichtentickers vorstellen, welchen investigative Nachrichtensender des ÖR-Fernsehens Zwecks des besseren Effekts gerne einfügen)

2. Mai 2009
Max (Name geändert) veröffentlicht auf download.chip.eu ein selbstgeschriebenes Tool Namens “SchülerVZ Fotodownload 2.0″:

“Mit dem SchuelerVZ Fotodownload-Tool lassen sich SchuelerVZ Alben mit nur einem Klick herunterladen.”

Als Homepage des Entwicklers wird die Seite Foto-downloader.org genannt. Eigentümer dieser Seite: Max

TICKERTICKERTICKERTICKDITACK

14. September 2009
In einem Beitrag auf Progmatic.de, dessen Inhaber Max ist, und auf den die Seite Foto-downloader.org umgeleitet wird, ist unter der Überschrift “Beschwerde von VZnet Netzwerke Ltd. (ehemals StudiVZ Ltd.)” zu lesen:

“Aufgrund von Forderungen der VZnet Netzwerke Ltd. (früher StudiVZ Ltd.), verantwortlich für SchülerVZ.net sind die von mir für SchülerVZ.net veröffentlichten Programme nicht mehr in der aktuellen Form auf dieser Seite zu beziehen.”

TICKERTICKERTICKERTICKDITACK

2. Oktober 2009
Auf dem Blog Piratesparty.wordpress.com wird in dem Beitrag “SchuelerVZ – ein Facebook-Klon mit Maengeln” die wortgleiche Erklärung, die heute auf netzpolitik.org in Form eines PDF Files veröffentlicht wurde, online gestellt. Den Kommentaren kann man entnehmen, dass der Beitrag nach dem 11. Oktober irgendwann wieder auf Entwurf gestellt wurde, um dann wahrscheinlich am 21. Oktober wieder online gestellt zu werden. Die Gründe:

“ich wäre Euch sehr dankbar, wenn Ihr diesen Artikel vorerst nochmals in den Entwurfstatus – und damit unsichtbar – machen würdet. Ich wollte eigentlich erst warten, bis das Gutachten auch auf namhafteren Seiten auftaucht, damit es nicht von vielen einfach unentdeckt bleibt, während dann aber von SchülerVZ die aufgezählten Punkte eventuell einfach behoben werden. Das wäre schon schade…”

TICKERTICKERTICKERTICKDITACK

16. Oktober 2009
Netzpolitik.org veröffentlicht ihren Bericht über die Sicherheitslücke bei SchülerVZ. Die Geschichte nimmt ihren Lauf….

Zusammenfassung
Max wird von Betreibern von SchülerVZ untersagt, sein Programm “SchülerVZ Fotodownload” weiter zum Download anzubieten.
Daraufhin schreibt anscheinend Max oder einer seiner Kumpels ein “Programm”, mit welchem im SchülerVZ Netzwerk die Daten von über 1 Million Usern ausgelesen werden. Aus Angst, dass das eigene “Gutachten” zu wenig Beachtung findet, während SchülerVZ die Sicherheitslücke schließt, wird es wieder offline genommen.
Danach wendet man sich an ein recht bekanntes Blog netzpolitik.org, welches man nun für sein angeblich so ehrbares Ziel, nur auf eine Sicherheitslücke aufmerksam machen zu wollen, nutzt. Über netzpolitik.org verbreitet sich die Nachricht weiter über Golem, Heise bis zu Spiegel Online.
Leider wurde dann ein zweiter Mensch, der das Sicherheitsleck auch schon entdeckt hatte, bei dem Versuch, 80.000 EUR von SchülerVZ zu erpressen, festgenommen.
Anscheinend eingeschüchtert über die Tragweite der Lage wird das Gutachten beschnitten und “anonym” wiederum über Netzpolitik.org veröffentlicht.

Fazit: (K)eine Frage der Ehre !?
Keine Frage, das Aufdecken und Schließen von Sicherheitslücken ist von Grund auf ein gutes Anliegen. Die Historie hinter dem aktuellen Fall lässt jedoch viel Spielraum für Interpretationen, was die wahren Motive angehen könnte.
War es verletzter Stolz? Wollte man sich bei SchülerVZ dafür revanchieren, dass diese einem das Verbreiten eines selbst geschriebenen Programms untersagt haben?
Hat man netzpolitik.org aus Angst, dass das eigene Blog nicht genug Beachtung findet und SchülerVZ inzwischen die Lücke schließen könnte, instrumentalisiert?

Allein der Kommentar in dem Blog piratesparty.wordpress.com lässt darauf schließen, dass man mitnichten davon ausging, das SchülerVZ die Warnungen ignorierte. Man hatte eher Angst, dass sie reagierten und das eigene “Gutachten” danach nichts mehr wert sein könnte und man so nicht die gewünschte Beachtung erhielte.

Betrachtet man diese Hintergründe, tun sich viele neue Fragen auf:
- Mussten erst wirklich die Daten von 1 Million Usern des Netzwerks SchülerVZ entwendet werden, um auf eine Sicherheitslücke hinzuweisen? Hätte da nicht auch ein wesentlich kleinerer und ungefährlicherer Datenbestand gereicht?
- Hätte man auch dann die Sicherheitslücke öffentlich gemacht, wenn das Verbreiten des Programms “SchülerVZ Fotodownload” nicht untersagt worden wäre?
- Wäre das einzige Ziel gewesen, die Sicherheitslücke zu schließen, hätte man dann nicht anders agiert?!

Wenn das Handeln wirklich aus niederen Beweggründen geschah, hat man dann ein Anrecht auf Ruhm ?