SplitVPN-Datenleck: 17 GB Datenbank enthüllt 23,4 Millionen Nutzerdatensätze

Die Datenbank eines „No-Logs"-VPNs taucht online auf

Eine gestohlene 17 GB große SQL-Datenbank, die angeblich SplitVPN gehört – dem VPN-Dienst, der früher als NotVPN bekannt war – ist online aufgetaucht, und ihr Inhalt widerspricht direkt dem langjährigen No-Logs-Datenschutzversprechen des Unternehmens. Einer Analyse der geleakten Daten zufolge enthält die Datenbank rund 23,4 Millionen Nutzerdatensätze, 13,6 Millionen Gerätedatensätze und 2,6 Millionen Zahlungsdatensätze. Diese Kombination aus personenbezogenen, gerätebezogenen und finanziellen Daten ist genau das, was ein echter No-Logs-VPN-Dienst niemals sammeln können dürfte – geschweige denn durch ein Datenleck verlieren.

Das Leck soll erstmals im Cybercrime-Forum Altenen aufgetaucht sein, einem Ort, der häufig genutzt wird, um gestohlene Datenbanken zu verbreiten, bevor sie weiterverkauft oder von anderen Bedrohungsakteuren auseinandergenommen werden. Sobald ein Datensatz ein solches Forum erreicht, verbreitet er sich in der Regel schnell über andere kriminelle Marktplätze, was eine Eindämmung nahezu unmöglich macht. Für einen VPN-Anbieter, dessen gesamtes Wertversprechen auf dem Versprechen beruht, keine Nutzeraktivitäts- oder Identitätsdaten zu speichern, ist diese Art der Offenlegung so verheerend, wie es nur sein kann.

Warum die „No-Logs"-Behauptung jetzt infrage steht

VPN-Anbieter bewerben No-Logs-Richtlinien als zentrales Verkaufsargument: die Vorstellung, dass selbst dann, wenn eine Regierung oder ein Angreifer Nutzerdaten verlangen würde, nichts zum Herausgeben vorhanden wäre. Der Fall SplitVPN zeigt, warum solche Behauptungen kritisch hinterfragt und nicht blind vertraut werden sollten. Eine separate Aufschlüsselung desselben Vorfalls ergab, dass die offengelegten Daten auch zig Millionen Verbindungsprotokolle enthielten, wie ein verwandter Bericht über die Offenlegung von 58 Millionen Protokollen durch SplitVPN trotz des No-Logs-Versprechens detailliert darlegt. Verbindungsprotokolle, Gerätekennungen und Zahlungsdatensätze sind nicht die Art von Informationen, von denen ein Anbieter glaubhaft behaupten kann, er habe sie nie gespeichert.

Diese Kluft zwischen Marketingsprache und tatsächlicher Datenpraxis ist nicht einzigartig für SplitVPN, aber der Umfang macht diesen Fall zu einer bemerkenswerten Fallstudie. Millionen von Nutzern entschieden sich speziell deshalb für den Dienst, weil er Privatsphäre versprach, und viele nutzten ihn wahrscheinlich in Regionen, in denen Anonymität nicht nur aus Bequemlichkeit, sondern für die persönliche Sicherheit wichtig ist. Wenn die internen Praktiken eines Anbieters nicht mit seinen öffentlichen Behauptungen übereinstimmen, gehen die Konsequenzen über Peinlichkeiten hinaus. Sie können echte Menschen gefährden, insbesondere diejenigen, die sich auf den Dienst verlassen, um ihre Identität oder ihren Standort zu verschleiern.

Ein genauerer Blick auf die geleakte Datenbank und ihre Herkunft ist vollständig lesenswert, einschließlich der Frage, wie die No-Logs-Behauptung überhaupt erst unter Beschuss geriet. Eine tiefergehende Untersuchung dieser Frage findet sich in dieser Analyse, warum die No-Logs-Behauptungen von SplitVPN überprüft werden müssen, die die Diskrepanz zwischen der von SplitVPN beworbenen Richtlinie und den offenbar gespeicherten Daten aufzeigt.

Was das für Sie bedeutet

Wenn Sie jemals SplitVPN oder dessen Vorgänger NotVPN genutzt haben, betrachten Sie dies als Signal zum Handeln und nicht nur zum Lesen. Der offengelegte Datensatz enthält Berichten zufolge Zahlungsdatensätze, was bedeutet, dass mit Ihrem Konto verknüpfte finanzielle Details Teil des Lecks sein könnten. Gerätedatensätze deuten darauf hin, dass mit Ihrer spezifischen Hardware verknüpfte Kennungen ebenfalls offengelegt sein könnten, was es böswilligen Akteuren erleichtern kann, Ihre VPN-Nutzung mit Ihrer echten Identität über andere Dienste hinweg zu korrelieren.

Allgemeiner betrachtet ist dieses Datenleck eine Erinnerung daran, dass die Datenschutzrichtlinie eines VPNs nur so gut ist wie die tatsächliche Infrastruktur und die Sicherheitspraktiken des Unternehmens. Eine auf einer Website abgedruckte No-Logs-Behauptung ist eine Marketingaussage, keine technische Garantie. Anbieter, die das Versprechen ernst nehmen, unterziehen sich in der Regel unabhängigen Prüfungen ihrer Systeme – und selbst dann kann es immer noch zu Verletzungen von Abrechnungssystemen oder Gerätemetadaten kommen, wenn ein Unternehmen mehr sammelt, als es für Support- oder Betrugspräventionszwecke benötigt.

Was SplitVPN-Nutzer jetzt tun sollten

Gehen Sie zunächst davon aus, dass Ihre E-Mail-Adresse und möglicherweise Ihre Zahlungsinformationen offengelegt wurden. Ändern Sie sofort Ihr SplitVPN-Konto-Passwort und aktualisieren Sie das Passwort überall dort, wo Sie es möglicherweise wiederverwendet haben, da die Wiederverwendung von Zugangsdaten einer der häufigsten Wege ist, wie ein einzelnes Datenleck zu mehrfachen Kontokompromittierungen führt. Wenn Sie per Kreditkarte bezahlt haben, überwachen Sie Ihre Kontoauszüge sorgfältig auf nicht autorisierte Abbuchungen und ziehen Sie in Betracht, Ihren Kartenaussteller zu kontaktieren, falls etwas unbekannt erscheint.

Es lohnt sich auch, zu überdenken, ob Sie den Dienst überhaupt noch nutzen möchten. Ein Datenleck dieses Ausmaßes, das Daten betrifft, die ein No-Logs-Anbieter von vornherein nicht hätte speichern dürfen, ist ein legitimer Grund, sich anderweitig umzusehen. Achten Sie bei der künftigen Bewertung eines VPNs auf Anbieter, die unabhängige Drittanbieter-Prüfungen ihrer No-Logs-Behauptungen veröffentlicht haben, anstatt sich allein auf Marketingtexte zu verlassen.

Das größere Bild zum VPN-Vertrauen

Der SplitVPN-Vorfall ereignet sich zu einem Zeitpunkt, an dem die VPN-Nutzung unter Menschen, die grundlegenden Datenschutz im Internet suchen, weiter zunimmt. Dieses Wachstum macht Vorfälle wie diesen folgenreicher, nicht weniger. Ein einzelnes Datenleck, das zig Millionen von Datensätzen betrifft, untergräbt das Vertrauen nicht nur in einen einzelnen Anbieter, sondern in die allgemeine Vorstellung, dass ein VPN-Abonnement automatisch Privatsphäre bedeutet. Das tut es nicht. Privatsphäre hängt davon ab, was ein Unternehmen tatsächlich hinter den Kulissen tut, nicht von dem, was es auf seiner Homepage behauptet.

Zunächst einmal sollten sich betroffene Nutzer auf die Sicherung ihrer Konten und Finanzen konzentrieren, und alle anderen sollten dies als Anstoß nehmen, härtere Fragen zu stellen, bevor sie einem Anbieter ihre Daten anvertrauen. Das Lesen unabhängiger Prüfberichte, die Überprüfung der Datenleck-Historie eines Unternehmens und das Verständnis darüber, welche Daten ein Dienst genau sammelt, sind einfache Schritte, die viel dazu beitragen, die nächste Schlagzeile wie diese zu vermeiden.