Stadt Seattle stellte versehentlich 32 Mio. E-Mails für 40 Dollar bereit (2018)

• Der Autor Matt Chapman forderte von der Stadt Seattle Metadaten zu E-Mails an, als Teil eines größeren Projekts zur Kartierung der Kommunikation in den gesamten USA.
• Zunächst schätzte die Stadt die Kosten der Anfrage auf 33 Millionen Dollar und berief sich dabei auf die Zeit, die für die Prüfung jeder einzelnen E-Mail erforderlich sei.
• Später korrigierte die Stadt diese Schätzung und verlangte 1,25 Dollar für Aufzeichnungen aus zwei Tagen.
• Die Stadt stellte dem Autor Metadaten zu rund 32 Millionen E-Mails bereit, fügte jedoch versehentlich die ersten 256 Zeichen jeder E-Mail hinzu.
• Die enthaltenen Daten umfassten sensible Informationen wie Benutzernamen, Passwörter, Kreditkartennummern, Sozialversicherungsnummern sowie Details zu laufenden Ermittlungen der Polizei und des FBI.
• Der Autor informierte die Stadt über das Datenleck und wurde gebeten, alle Dateien zu löschen. Außerdem schlug die Stadt vor, ein Unternehmen zu beauftragen, die Festplatte des Autors zu scannen, um die Löschung zu überprüfen.
• Der Autor löschte die Dateien und legte eine eidesstattliche Erklärung über die Löschung vor.
• Später begann die Stadt damit, die angeforderten E-Mail-Metadaten zu versenden, wobei Daten der Polizeibehörde und des Human Services Department ausgenommen wurden.
• Der Autor nutzt diese Daten, um ein Modell des Kommunikationsnetzwerks der Stadt zu erstellen.
• Der Autor erwähnt außerdem einen Gesetzgebungsversuch in Washington, die Offenlegungspflicht für viele Aufzeichnungen, darunter E-Mail-Austausch, abzuschaffen. Der Gesetzentwurf wurde vom Gouverneur abgelehnt.

[GN⁺]

Hacker-News-Kommentare

• Die Stadt Seattle hat dem Autor versehentlich mehr sensible Informationen offengelegt als beabsichtigt.
• Der Autor hätte die Daten nach Belieben verwenden können, wenn er die Stadt nicht auf ihren Fehler hingewiesen hätte.
• Ähnlich wie bei Präzedenzfällen zu physischem Eigentum oder irrtümlich ausgehändigtem Geld stellt sich die rechtliche Frage, ob der Autor das Recht hat, die Daten zu behalten.
• Der Autor erklärte sich bereit, der Bitte der Stadt nachzukommen und die Daten nicht zu behalten, obwohl der Fehler bei der Stadt lag.
• Regierungs-IT ist oft teuer und problembehaftet; dazu gehören Probleme wie unterschiedliche Datumsformate in Webformularen und nicht funktionierende Passwort-Zurücksetzungen.
• Die ursprüngliche Datenanfrage des Autors wurde falsch interpretiert, sodass die Stadt E-Mail-Header exportierte, die durch einen fest codierten Wert abgeschnitten waren.
• Die Stadt nahm den Autor erst ernst, nachdem er sie auf ihren Fehler hingewiesen hatte.
• Von manchen öffentlichen Einrichtungen ist bekannt, dass sie Personen, die öffentliche Daten anfordern, einschüchtern oder für Unterlagen überhöhte Gebühren verlangen.
• Dem Autor wurde mitgeteilt, dass Seattle erwäge, im Zusammenhang mit den gesendeten Informationen Anklage nach dem Computer Fraud and Abuse Act (CFAA) zu erheben.
• In Europa ist das Speichern oder Verarbeiten personenbezogener Informationen, etwa wer wann mit wem Kontakt hatte, nur erlaubt, wenn es erforderlich ist.
• Die Anfrage des Autors nach allen im Jahr 2017 an E-Mail-Adressen im Besitz der Stadt Seattle gesendeten oder von ihnen empfangenen E-Mails könnte personenbezogene Daten von Regierungsmitarbeitern und den Menschen, mit denen sie interagieren, offenlegen.
• Da der Blog des Autors seit einiger Zeit nicht aktualisiert wurde, stellt sich die Frage, ob er noch an FOIA arbeitet.