Was passiert, wenn intime Daten leaken

Die meisten Datenlecks sind eine Unannehmlichkeit. Man ändert ein Passwort, beobachtet ein paar Monate lang seine Kreditkarte, und nach einem Jahr spielt es keine Rolle mehr.

Lecks mit intimen Daten verhalten sich anders, und der Unterschied liegt nicht im Umfang oder der Schwere im üblichen Sinn. Es geht darum, was sich nicht rückgängig machen lässt.

Warum es eine andere Kategorie ist

Ein Passwort kann geändert werden. Eine Karte kann neu ausgestellt werden. Was jemand seinem Partner geschrieben hat, lässt sich nicht widerrufen, und ebenso wenig die Tatsache, dass eine bestimmte Person irgendwo ein Konto hatte.

Oft ist die reine Existenz eines Kontos schon der gesamte Schaden. Bei mehreren gut dokumentierten Lecks von Diensten, die privat genutzt wurden, reichten die E-Mail-Adressen allein aus, um schweren Schaden anzurichten, bevor überhaupt eine einzige Nachricht gelesen wurde. Ashley Madison im Jahr 2015 ist das bekannteste Beispiel, und die Folgen für Einzelne waren schwerwiegend und in einigen Fällen unumkehrbar.

Die zweite Eigenschaft ist Dauerhaftigkeit. Geleakte Datensätze werden nicht gelöscht. Sie zirkulieren, werden indiziert, mit anderen Datensätzen zusammengeführt und tauchen Jahre später wieder auf.

Man kann sämtliche Zugangsdaten ändern. Man kann nicht ändern, dass ein Datensatz existiert.

Das Problem der Zusammenführung

Ein einzelnes Leck sieht oft harmlos aus. Eine E-Mail-Adresse und ein Zeitstempel.

Das Risiko entsteht durch die Kombination. Eine Adresse aus einem Leck plus eine Telefonnummer aus einem anderen plus ein Standortverlauf aus einem dritten ergeben ein Profil, das keines der drei einzelnen Lecks enthielt.

Deshalb ist „es waren nur E-Mail-Adressen“ eine schwächere Beruhigung, als es klingt, und deshalb ist Datenminimierung wichtiger als die Reaktion auf ein Leck.

Was das Risiko tatsächlich senkt

Sinnvoll nur eine einzige Sache: dass die Daten gar nicht erst in lesbarer Form existieren.

Alles andere ist Schadensbegrenzung. Gute Sicherheitsmaßnahmen senken die Wahrscheinlichkeit eines Lecks und ändern nichts daran, was bei einem Leck offengelegt wird. Aufbewahrungsfristen reduzieren das Ausmaß der Offenlegung. Verschlüsselung, bei der der Betreiber den Schlüssel hält, schützt vor einigen Angriffsformen, nicht aber vor einem Angreifer, der das laufende System erreicht.

Ende-zu-Ende-Verschlüsselung ist die einzige Struktur, bei der eine vollständige Kompromittierung der Server keine Inhalte offenlegt, weil die Inhalte nicht in lesbarer Form vorhanden sind.

Metadaten werden dadurch nicht geschützt. Ein Angreifer würde immer noch erfahren, dass zwei Konten existierten, miteinander verknüpft waren und an bestimmten Tagen aktiv waren. Das ist eine reale Offenlegung, aber eine weit geringere.

Fragen, die man jedem intimen Dienst stellen sollte

Was könnte ein Angreifer lesen, der Ihre Server vollständig kompromittiert?

Wie lange speichern Sie Daten, nachdem ein Konto gelöscht wurde?

Welche Dritten erhalten davon Daten?

Gibt es einen öffentlichen Sicherheitskontakt und eine Historie der Reaktion auf Meldungen?

Die erste Frage ist diejenige, die Architekturen voneinander trennt. Alles andere ist Praxis, und Praxis ändert sich mit der Geschäftsführung.

Wie Duoheart dazu steht

Inhalte, also Fragen, Antworten, Nachrichten und Anrufe, werden auf den Geräten mit einem Schlüssel verschlüsselt, der dort erzeugt und niemals an uns gesendet wird. Eine vollständige Kompromittierung unserer Infrastruktur würde diese Inhalte nicht offenlegen, da wir sie nicht in lesbarer Form speichern.

Offengelegt würden die Existenz von Konten, deren Verknüpfung sowie Abo- und Aktivitätsdaten. Wir werden das nicht als unbedeutend abtun.

Wir erfassen außerdem weniger als wir könnten, was die unspektakulärste Datenschutzmaßnahme ist, aber eine der wirksamsten. Daten, die nie erfasst wurden, können nicht leaken.

Was Sie als Nutzer tun können

Nutzen Sie für Dienste dieser Art eine E-Mail-Adresse, die nicht Ihre primäre ist. Löschen Sie ungenutzte Konten ordnungsgemäß, statt nur die App zu deinstallieren. Und gehen Sie bei allem, was Sie in einen Dienst eingeben, davon aus, dass in zehn Jahren irgendwo eine Kopie davon existieren könnte, denn für die meisten Dienste trifft genau das zu.