Eigentlich wollte ich mich aus der Berichterstattung zu diesem Thema raushalten. Zu schön ist es, dass nun alle sauer auf SchülerVZ sind. Die waren mir in der Vergangenheit bei Anfragen sowieso zu arrogant. Ich war nicht der Meinung, dass es sich bei der Sache hier um einen Angriff handelte – daher kein Bericht.

Ein junger Herr, nein ‚tschuldigung ich korrigiere: Zwei junge Herren haben unabhängig voneinander (!) Daten der VZ-Gruppe „gestohlen“ oder auch „ausgespäht“. Der eine professioneller, der andere eher weniger.

Der professionellere Herr hat das ganze mit Hilfe eines „Crawler“ gemacht. Das ist ein selbstprogrammiertes Programm, dem es möglich ist, alle Daten automatisch runterzuladen. Bei dieser Attacke war SchülerVZ, MeinVZ und auch StudiVZ betroffen. Das Programm des jungen Herren war sowieso noch nicht ausgereift: Es nahm teilweise Profile doppelt auf. Er wollte auf eine Sicherheitslücke aufmerksam machen.

Wie der andere Herr an die Daten kam ist meines Wissens nach noch nicht 100%-ig bekannt. Es wird davon ausgegangen, dass er in einer Gruppe Daten von SchülerVZ (und zwar ausschließlich von dort) einzeln abgeschrieben haben soll.

Einer von beiden hat versucht, SchülerVZ zu erpressen und wollte 20.000 EUR Lösegeld (mittlerweile sind wir laut „Der Westen“ sogar bei 80.000 EUR). Was SchülerVZ aber immer wieder betont: Es wurden keine riskanten Daten gestohlen, sondern lediglich Name, Profilbild, Schule und eventuell Geburtsdatum und Wohnort. All diese Informationen hätte jeder abrufen können. Wer seine Informationen dort öffentlich reinstellt, der weiß doch, das jeder sie sehen „könnte“. Klar, die wollen natürlich auch ihren „Arsch“ retten. SchülerVZ sagt, ihnen lägen die Daten nicht vor, aber sie wissen unlogischerweise, dass es eh‘ nur unwichtige Daten waren…

Daher verstehe ich persönlich auch gar nicht das Problem. Ein Straftatbestand scheint hier nicht gegeben zu sein.

„Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.“

Zwar laut AGB verboten, aber nicht laut Strafgesetzbuch. Ob das zu einer Verurteilung reichen wird?

Ich meine, die Leute haben ihre Daten selbst veröffentlicht und müssen nun auch die Konsequenzen tragen. Onlinediensten sollte man nie vertrauen. Beweist übrigens auch heute schon wieder Google Docs, die nicht freigegebene Dokumente teilweise doch freigaben (Quelle gelöscht).

Update: Das mit Google hat sich erledigt.

Sehr lustig auch folgendes Zitat von SchülerVZ: „Wir haben inzwischen noch mal mit dem Täter gesprochen und wir haben folgendes erfahren: Der Täter hat einen „Crawler“ geschrieben.“ und „Der Täter hat uns genaue Angaben dazu gemacht, welche Daten er gesammelt hat: […].“

Ist SchülerVZ nun selbst LKA geworden? Seit wann werden Ermittlungen von SchülerVZ selbst übernommen. Das ist doch quatsch.