Ein massiver Verstoß gegen biometrische Daten wird aufgedeckt

Ein Cybersicherheitsforscher hat eine ungesicherte Cloud-Datenbank entdeckt, die mehr als 9 Millionen Gesichtsbilder im Zusammenhang mit ClarityCheck enthält, einem US-amerikanischen Dienst für umgekehrte Bildersuche und Identitätsprüfung. Laut Berichten über die Entdeckung fand der Forscher Jeremiah Fowler die offengelegte Datenbank mit einer Größe von etwa 450,2 GB vor, die schätzungsweise 9.042.977 Gesichtsbilder sowie zugehörige Profildaten enthielt.

Die Datenbank war unverschlüsselt und ohne Passwortschutz, was bedeutet, dass jeder, der online darüber stolperte, potenziell auf die darin enthaltenen biometrischen Aufzeichnungen zugreifen konnte. Da das Geschäftsmodell von ClarityCheck auf Identitätsprüfung und dem Abgleich von Gesichtern im gesamten Web basiert, enthielten die offengelegten Daten wahrscheinlich nicht nur Rohfotos, sondern auch Profilinformationen, die mit echten Identitäten verknüpft waren, was die Tragweite im Vergleich zu einem typischen E-Mail- oder Passwort-Leak erheblich erhöht.

Warum falsch konfigurierte Datenbanken weiterhin massive Leaks verursachen

Dieser Vorfall fügt sich in ein Muster ein, das in der Welt der Datensicherheit inzwischen beunruhigend häufig vorkommt: eine falsch konfigurierte, ungesicherte Cloud-Datenbank. Da Unternehmen zunehmend auf Cloud-Speicher angewiesen sind, um sensible Daten über Mitarbeiter, Partner und Kunden zu speichern, geht der Komfort des einfachen Zugriffs und der Integration in Business-Intelligence-Tools oft auf Kosten einer ordnungsgemäßen Sicherheitskonfiguration. Eine Datenbank, die ohne Authentifizierungsanforderungen offen gelassen wird, ist faktisch öffentlich, unabhängig davon, wie sensibel ihr Inhalt ist.

Was diese besondere Offenlegung bemerkenswert macht, ist die Art der betroffenen Daten. Passwörter können zurückgesetzt werden. Kreditkartennummern können gesperrt und neu ausgestellt werden. Aber ein Gesichtsbild ist permanent. Sobald biometrische Daten wie diese offengelegt werden, gibt es keine Möglichkeit, das eigene Gesicht zu ändern, so wie man ein kompromittiertes Passwort ändern könnte. Diese Permanenz unterscheidet Gesichtserkennungs-Leaks von eher routinemäßigen Zugangsdaten-Verstößen, und genau deshalb behandeln Sicherheitsforscher und Datenschutzbefürworter biometrische Offenlegungen mit erhöhter Besorgnis.

Auch der Umfang sticht hier hervor. Neun Millionen Bilder sind eine beträchtliche Zahl für einen Dienst, der auf Identitätsprüfung aufbaut – eine Branche, deren gesamtes Wertversprechen auf dem Vertrauen beruht, dass die verarbeiteten Daten sicher behandelt werden. Wenn ein Identitätsprüfungsunternehmen selbst zur Quelle eines Leaks wird, untergräbt das genau das Fundament, auf dem die Branche aufbaut.

Dies ist nicht das erste Mal in jüngerer Zeit, dass eine große Menge an Datensätzen, die mit bekannten verbraucherorientierten Plattformen verbunden sind, offengelegt oder gestohlen wurde. Verstöße mit Einzelhändlern und anderen großen Marken, wie die Vorfälle, die Zara, Carnival und 7-Eleven betrafen, haben gezeigt, wie schnell Millionen von Kundendatensätzen über Drittanbieter oder ungesicherte Systeme kompromittiert werden können. In einem separaten Fall wurden Zara-Kunden-E-Mails durch einen Verstoß bei einem Drittanbieter offengelegt, was unterstreicht, wie verwundbar Daten selbst dann sein können, wenn sie über Anbieter laufen, denen ein Unternehmen vertraut. Der ClarityCheck-Vorfall fügt dieser wachsenden Liste sensibler Informationskategorien, die durch grundlegende Sicherheitsnachlässigkeiten gefährdet sind, biometrische Daten hinzu.

Was das für Sie bedeutet

Wenn Sie jemals ein Tool zur umgekehrten Bildersuche verwendet, ein Foto zur Identitätsprüfung eingereicht oder Ihr Bild ohne Ihr direktes Wissen von einem Dienst wie ClarityCheck gescrapt und indexiert wurde, erinnert Sie dieses Leak daran, wie wenig Kontrolle die meisten Menschen darüber haben, wo ihre Gesichtsdaten letztendlich landen. Anders als bei einem Datenverstoß, der einen Dienst betrifft, bei dem man sich direkt angemeldet hat, haben viele Menschen, die von Gesichtserkennungs-Leaks betroffen sind, niemals eingewilligt, dass ihr Bild überhaupt erfasst oder verifiziert wird.

Das praktische Risiko umfasst Identitätsdiebstahl, da Gesichtsbilder in Kombination mit Profildaten verwendet werden können, um überzeugende gefälschte Identitäten aufzubauen oder Gesichtsverifikationssysteme zu umgehen, die von Banken und anderen Institutionen verwendet werden. Es wirft auch Bedenken hinsichtlich Überwachung und unbefugter Profilerstellung auf, da Bilder, sobald sie online offengelegt sind, unbegrenzt kopiert, gescrapt und zweckentfremdet werden können.

Umsetzbare Erkenntnisse

Auch wenn Sie ein Foto Ihres eigenen Gesichts nicht aus dem Internet löschen können, gibt es dennoch Schritte, die sich lohnen. Prüfen Sie, ob Ihr Bild in den Ergebnissen der umgekehrten Bildersuche für Ihren Namen auftaucht, und fordern Sie nach Möglichkeit die Entfernung von Datenmakler- oder Personensuch-Sites. Aktivieren Sie Multi-Faktor-Authentifizierung, die sich bei kritischen Konten wie Banking nicht ausschließlich auf Gesichtserkennung verlässt. Seien Sie vorsichtig, welche Apps und Dienste Gesichtsscans anfordern, und lesen Sie die Datenschutzrichtlinien, um zu verstehen, wie lange biometrische Daten aufbewahrt werden. Behalten Sie schließlich Identitätsüberwachungsdienste im Auge, die Sie benachrichtigen können, wenn Ihre persönlichen Daten, einschließlich biometrischer Kennungen, in zukünftigen Verstößen auftauchen.

Da Gesichtserkennungs- und Identitätsprüfungstools immer stärker in den digitalen Alltag eingebettet werden, verdeutlichen Vorfälle wie die ClarityCheck-Offenlegung, warum Unternehmen, die biometrische Daten verarbeiten, stärkere Sicherheits-Baselines benötigen und warum Nutzer darüber informiert bleiben sollten, wo ihre persönlichsten Daten – ihr eigenes Gesicht – letztendlich gespeichert werden.