VirusTotal verliert Nutzerdaten von Behörden und Geheimdiensten

VirusTotal ist seit vielen Jahren einer der zentralen Dienste der Security-Branche. Jetzt zeigte sich, dass das Angebot, das vom Suchmaschinenkonzern Google betrieben wird, selbst ein gravierendes Sicherheits-Problem hat.

Klein, aber oho

Wie aus einem Bericht des Nachrichtenmagazins Der Spiegel hervorgeht, ist im Netz eine Liste mit Nutzerdaten der Plattform aufgetaucht. Die Datei ist lediglich 313 Kilobyte groß, birgt aber trotzdem einiges an brisantem Material. In ihr finden sich rund 5600 Datensätze über die registrierten User des Angebotes.

Das dürfte lediglich einem Teil der User entsprechen, trotzdem bietet die Sammlung interessierten Kreisen durchaus einiges an Material. Denn zum Umfang der Datensätze gehören Namen, E-Mail-Adressen und die Zugehörigkeit zu bestimmten Organisationen. Das ist bei Mitarbeitern verschiedener Unternehmen und Behörden keine große Sache, wenn sie ohnehin offen im Netz zu finden sind.

MAD, BND und das BSI

Anders sieht dies hingegen bei einigen Einträgen aus, die Personal verschiedener Geheimdienste betreffen. Auch Angestellte entsprechender deutscher Organisationen finden sich in der Liste wieder. Hier geht es weniger darum, dass solche Daten verraten, dass Geheimdienste VirusTotal nutzen. Solche Informationen können vielmehr organisatorische Strukturen oder beispielsweise auch Tarnfirmen bekannt machen.

Zu den deutschen Behörden, die in der Liste zu finden sind, gehört der Militär-Geheimdienst MAD sowie die Bundesstelle für Fernmeldestatistik, eine Abteilung des Bundesnachrichtendienstes. Wenig überraschend nutzen aber auch das Bundesamt für die Sicherheit in der Informationstechnik (BSI) und zahlreiche große Konzerne das Angebot Googles.

Auch bei den Unternehmen kann das Bekanntwerden der Informationen Probleme nach sich ziehen - etwa wenn so klarer wird, wer genau in bestimmten Bereichen der IT-Security arbeitet. Das kann bereits die Grundlage für Spear-Phishing-Angriffe bilden, bei denen die Zielpersonen betrügerischer Nachrichten mit Bedacht ausgewählt werden.

Menschliches Versagen

Laut Google soll aber kein aktiver Einbruch in die Systeme des Dienstes die Ursache für den Daten-Leak sein. Vielmehr wurde ein Teil der Nutzer-Datenbank durch einen Fehler öffentlich zugänglich gemacht, was dann binnen einer Stunde korrigiert werden konnte.


Siehe auch: