Heise, 17.01.2025
Kommentar zur VW-Datenpanne: DSGVO, zeig deine Zähne!Volkswagen hat sich eine Datenschlamperei erster Güte geleistet. Bei der DSGVO-Strafe dafür sollte es richtig scheppern, findet Philipp Steevens.https://www.heise.de/meinung/Kommentar-zur-VW-Datenpanne-DSGVO-zeig-deine-Zaehne-10245938.htmlAuf dem 38. Chaos Communication Congress haben die Sicherheitsforscher des CCC die womöglich größte bis dato gefundene Datenschlamperei bekannt gemacht. Über eine Subdomain-Abfrage der Website von Cariad, IT-Dienstleister der Volkswagen-Gruppe, war ein API-Endpunkt zu finden, auf dem sich ein frei zugänglicher Daten-Dump befand.
Darin der Hauptgewinn: Zugangsdaten zu AWS. Obendrauf kamen noch Client-IDs und die dazugehörigen Secrets zum Identitätsdienst der Volkswagen-Gruppe. Damit ließen sich dann 15 Millionen Datenpunkte zu Fahrzeugen, über 600.000 Daten zu VW-Kunden, teils inklusive E-Mail, Geburtsdatum und Anschrift, auslesen. Und noch dazu: 9,5 TByte Ereignisdaten, darin enthalten Geokoordinaten – im Fall von Seat und VW bis auf die sechste Nachkommastelle, also 10 Zentimeter genau.
Bordellbesuche rekonstruierbar
Zwar reagierten die ITler bei Cariad laut CCC nach Bekanntwerden professionell, doch gegenüber dem Spiegel beginnt bei Volkswagen schon wieder das peinliche Rauswinden: "Für die Kunden bestehe 'keinerlei Handlungsbedarf, da keine sensiblen Informationen wie Passwörter oder Zahlungsdaten betroffen sind.'" Hier schickt VW einen Strohmann vor, denn die gefundenen Informationen sind deutlich sensibler als Login-Daten und Kreditkartennummern.
Was Datenjournalist Michael Kreil anhand dieser Daten beim 38C3 vorführte, kann man eigentlich nur als erschreckend bis katastrophal bezeichnen: Mit den Geodaten von knapp 470.000 Fahrzeugen konnte der CCC Tages- und Wochenabläufe rekonstruieren, die Identitäten von Kindern der VW-Fahrer aufdecken und auch pikante Details wie Bordellbesuche nachvollziehen – auch wenn Leute ein VW-Taxi nahmen, denn das muss schließlich irgendwo losfahren. Neben dem Fahrverhalten von Polizisten ließen sich dann auch die Identitäten von Geheimdienstmitarbeitern aus den Daten rekonstruieren. Bitte WAS?
Datensparsamkeit ist nicht nur Zier
[...]
Das wird hoffentlich teuer
[...]
Das kommt mir doch bekannt vor
Schließlich lassen sich auch die Anschriften von Personen mit einer Auskunftssperre gem. § 51 BMG aus der Rundfunkbeitragsdatenbank ermitteln. (Wenn ein Rundfunkbeitragskonto besteht, aber keine Meldedaten beim bundesweiten Meldedatenabgleich übertragen wurden.) Wenn diese dann in der Nähe von Einrichtungen des Bundesnachrichtendienstes liegen, könnte es sich um Geheimdienstmitarbeiter handeln.
Viele Grüße
Mork vom Ork
Autor