Technischer Fehler bei WeAct
Campact hat heute ein Datenproblem an die Datenschutzbehörde gemeldet. Bei WeAct waren personenbezogene Daten unzureichend vor einem möglichen unberechtigten Zugriff geschützt. Der Fehler ist inzwischen behoben.
Was ist passiert?
Am 4. Juli hat uns unser technischer Dienstleister auf einen Fehler auf der Seite WeAct hingewiesen. WeAct ist unsere Petitionsplattform, auf der jede*r Bürger*in einen eigenen Appell starten kann. Der Fehler bewirkte, dass personenbezogene Daten von knapp zwei Millionen WeAct-Unterstützer*innen unzureichend vor einem möglichen unberechtigten Zugriff geschützt waren.
Es handelte sich um den Namen und die Postleitzahl sowie teilweise die E-Mail-Adresse. Bei Unterzeichner*innen der Petition „DGB muss sich zum Klimaschutz bekennen“ ist zudem die Angabe „Ich bin Gewerkschaftsmitglied“ enthalten, sofern diese Angabe beim Unterzeichnen der Petition gemacht wurde.
Was haben wir unternommen?
Campact hat alle Betroffenen per E-Mail informiert. Wir bitten für diesen Fehler um Entschuldigung. Sensible persönliche Informationen müssen in unserer digitalisierten Welt geschützt werden. Wir wissen das. Auch, weil wir das von Politik und Konzernen immer wieder vehement fordern. Deshalb schmerzt uns ein Fehler auf unserer Petitionsplattform WeAct besonders.
Nach dem bisherigen Stand unserer technischen Analysen gibt es keinen Hinweis darauf, dass der Fehler ausgenutzt und auf Daten unberechtigt zugegriffen wurde. Das technische Problem wurde sofort nach Bekanntwerden behoben. Wir haben natürlich die zuständige Datenschutzbehörde informiert.
Und wir haben begonnen, die Gründe für den Fehler und das Ausmaß zu untersuchen. Außerdem hat unser technischer Dienstleister umgehend den Hersteller der WeAct-Software informiert. Dieser arbeitet weltweit mit zahlreichen weiteren NGOs zusammen. Innerhalb kürzester Zeit wurde für alle ein Update veröffentlicht, das das Problem behebt. Wir arbeiten intensiv daran, dass es nicht mehr zu einem solchen Problem kommen kann. Dazu überprüfen wir mit unserem Datenschutzbeauftragten, unseren technischen Dienstleistern und anderen versierten Expert*innen unsere Abläufe und alle Sicherheitsvorkehrungen.
Wir sind froh, dass bisher nichts darauf hinweist, dass Daten gestohlen wurden. Trotzdem handelt es sich um einen Fehler, der nicht hätte passieren dürfen.
Technische Details zum Daten-Problem
Im Folgenden beschreiben wir ausführlicher die technischen Hintergründe des Daten-Problems. Verantwortlich für den Fehler waren zwei Ursachen, die voneinander unabhängig sind. Die erste Ursache war ein Problem in der Software von WeAct („Design-Problem“). Die zweite Ursache war ein Problem mit der Kompatibilität der Software des Servers, auf dem die WeAct-Software installiert ist („Kompatibilitäts-Problem“).
Zum “Design-Problem”:
Wer auf WeAct eine Petition startet, hat die Möglichkeit, sie an die Adressat*innen der Petition zu übergeben – etwa verantwortliche Politiker*innen oder Unternehmenschef*innen. So kann der jeweiligen politischen Forderung mehr Nachdruck verliehen werden. Jede*r Petitionsstarter*in kann sich hierfür die Liste mit den Namen und Postleitzahlen der Unterstützer*innen ihrer*seiner Petition als PDF-Datei herunterladen und gegebenenfalls ausdrucken.
Leider wurden diese Dateien auf dem WeAct-Server in einem Ordner abgelegt, auf den auch ohne Identifizierung zugegriffen werden konnte. Das bedeutet: Wer die exakte Bezeichnung dieser Dateien gekannt hätte, hätte auf sie zugreifen können.
Zum “Kompatibilitäts-Problem”:
Die für WeAct eingesetzte Software wurde vom Hersteller ursprünglich dafür entwickelt, auf virtuellen Servern der Firma „Amazon“ betrieben zu werden. Aus Gründen des Datenschutzes hatten wir uns aber dafür entschieden, die WeAct-Software nicht in der Amazon-Cloud, sondern lieber auf unseren eigenen Servern in einem deutschen Rechenzentrum zu betreiben. Dazu war eine Open-Source-Software nötig, die die Funktionen der Amazon-Cloud ersetzt.
Leider unterstützte diese Open-Source-Software eine Methode nicht, mit der Dateien als privat markiert werden können. Die Namen, Postleitzahlen und teilweise auch E-Mail-Adressen von WeAct-Nutzer*innen, die durch diese Markierung geschützt sein sollten, waren also theoretisch ohne Authentifizierung zugänglich. Für einen Zugang zu den Daten wäre aber auch hier Voraussetzung gewesen, die exakte Bezeichnung der Dateien zu kennen.