ID-Verifizierungsdienst für TikTok, Uber und X legte Führerscheine offen

• AU10TIX, das die Identitätsprüfung für TikTok, Uber und X übernimmt, hat Verwaltungszugangsdaten mehr als ein Jahr lang online offengelegt, wodurch das Risiko eines Zugriffs auf sensible Nutzerdaten entstand
• Der Dienst verarbeitet hochriskante Identitätsprüfungsdaten wie Gesichtsfotos, Führerscheinbilder, auf Live-Video basierende Liveness Detection und fotobasierte Altersschätzung
• Laut Screenshots und Daten, die 404 Media vorliegen, könnten Hacker mit den offengelegten Zugangsdaten auf sensible Daten zugegriffen haben
• Auf der Website von AU10TIX erscheinen auch die Logos von Fiverr, PayPal, Coinbase, LinkedIn und Upwork; einige Unternehmen bestätigten eine aktuelle oder frühere Kundenbeziehung
• Da sich Anforderungen zur Identitäts- und Altersverifikation auf soziale Netzwerke und Pornoseiten ausweiten, könnten Anbieter von Verifizierungsdiensten selbst zu Angriffszielen werden

---

Offenlegung von Verwaltungszugangsdaten bei AU10TIX

• Das in Israel ansässige Unternehmen AU10TIX bietet Dienste zur Identitätsprüfung für Nutzer von TikTok, Uber und X an
• Laut Screenshots und Daten, die 404 Media vorliegen, waren einige Verwaltungszugangsdaten mehr als ein Jahr lang online offengelegt
• Diese Zugangsdaten könnten zu einem Zugriff auf sensible Daten wie Gesichtsfotos von Nutzern und Bilder ihrer Führerscheine geführt haben

Daten, die im Identitätsprüfungsprozess verarbeitet werden

• AU10TIX beschreibt auf seiner Website, dass es „full-service identity verification solutions“ anbietet
• Der Dienst verarbeitet unter anderem folgende Elemente
  • Prüfung von Ausweisdokumenten der Nutzer
  • Liveness Detection über einen Live-Videostream mit dem Nutzer
  • Altersverifikation auf Grundlage hochgeladener Fotos

Als Kunden dargestellte Unternehmen

• Auf der Website von AU10TIX werden neben TikTok, Uber und X auch die Logos mehrerer weiterer Unternehmen angezeigt
• Zu den aufgeführten Unternehmen gehören Fiverr, PayPal, Coinbase, LinkedIn und Upwork
• Einige von ihnen bestätigten gegenüber 404 Media, dass sie aktuell oder in der Vergangenheit Kunden von AU10TIX waren

Umfang der vom Forscher geteilten Belege

• Die Entdeckung eines Cybersicherheitsforschers zeigt, dass auch ID-Verifizierungsdienste selbst Ziel von Hackerangriffen werden können
• Der Forscher stellte 404 Media zur Verifizierung Screenshots und einen Teil der Daten zur Verfügung und verbreitete die Daten darüber hinaus nicht

Risiken durch die Ausweitung von Identitäts- und Altersverifikation

• Immer mehr soziale Netzwerke und Pornoseiten wechseln zu Modellen der Identitäts- oder Altersverifikation, bei denen Nutzer ihren echten Ausweis hochladen müssen
• Die aktuelle Offenlegung zeigt, dass Anbieter von Verifizierungsdiensten in diesem Trend zu zentralen Sammelpunkten sensibler Nutzerdaten werden können

[GN⁺]

Hacker-News-Kommentare

• Das Unternehmen behauptete, es habe den Abfluss von Zugangsdaten bereits vor 18 Monaten entdeckt und behoben, aber die kompromittierten Zugangsdaten sollen noch bis vor einem Monat funktioniert haben.
  Ich frage mich wirklich, ob das Governance-Niveau und die Qualität der Anbieter in diesem Bereich normalerweise tatsächlich so sind. Bei riesigen Unternehmen kann ich mir vorstellen, dass ein oder zwei ungewöhnliche Orte, an denen Zugangsdaten verwendet werden, übersehen werden. Aber bei einem Anbieter, dessen einziger Job auf Vertrauen basiert, würde ich etwas anderes erwarten.
  Selbst wenn die internen Fähigkeiten fehlen, hätte ich gedacht, dass so ein Unternehmen versichert ist und der Versicherer Experten einschaltet, um zu prüfen, ob solche Maßnahmen wirklich sauber abgeschlossen wurden. Vielleicht war das eine falsche Vorstellung.

  • Das ist kein Geschäft mit hohem Vertrauen. Solche Anbieter existieren oft, damit Organisationen mit direkter Verbraucherbeziehung bei einem Sicherheitsvorfall die Verantwortung eine Stufe weiterreichen können — gewissermaßen Unternehmen zur Auslagerung von Verantwortung.
  • Ja, sehr häufig. Bei solchen Dingen gibt es fast nie spürbare Konsequenzen.
  • Ich frage mich, warum sie Kopien aufbewahren. Es reicht doch zu wissen, dass geprüft und verifiziert wurde; danach sollte man sie löschen.
    Es gibt keinen Grund, Kopien zu behalten, und zumindest die entscheidenden Teile, die kein öffentlich bekanntes Wissen sind, hätten geschwärzt werden müssen. Wirklich dumm.
  • Sie betreiben kein vertrauenswürdiges oder sicheres Geschäft, sondern sind einfach noch ein weiteres Softwareunternehmen, das sein Produkt skalieren will.
    Dass Versicherer Experten hinzuziehen und auf eine ordentliche Behebung drängen, wäre im Idealfall richtig, aber in der Realität haben Versicherer Tausende Kunden, sodass über grundlegende Compliance-Prüfungen hinaus keine substanziellen Garantien möglich sind. Zugriffsrechte und die Verwaltung von Zugangsdaten sind selbst für gut besetzte Security-Teams schwierig, erst recht für einen einzelnen Compliance-Prüfer.

• Ich habe Uber aufgefordert, meine Daten zu löschen, aber man hat unhöflich aufgelegt. Erst als ich es bis zum CEO eskalierte, bekam ich eine Nachricht, die erklärte, warum eine Löschung nicht möglich sei, und mich beruhigen sollte, die Sorge vor einem Datenleck sei „unbegründet“.
  Jemand von Uber Support namens Maribel schrieb, man habe den Löschantrag zusätzlich geprüft, könne aber wegen Sicherheitsmaßnahmen nicht alle Informationen des Kontos löschen, und verwies auf den Abschnitt „E. Data retention and deletion“ in der Privacy Notice. Mit Stand vom 12. Mai 2024 sei das Konto zur Löschung vorgemerkt; die Löschung des Fahrerkontos sei dauerhaft, das Fahrgastkonto werde ebenfalls automatisch gelöscht und Guthaben verfalle.
  Außerdem wurde betont, die Plattform verfüge über strenge Sicherheitsmaßnahmen zum Schutz von Privatsphäre und Sicherheit.

  • Ich finde ernsthaft, dass Aussagen wie „Die Plattform verfügt über strenge Sicherheitsmaßnahmen, die Privatsphäre und Sicherheit gewährleisten“ rechtliche Haftung nach sich ziehen sollten.
    Erstens wird damit suggeriert, Sicherheit habe höchste Priorität, obwohl in Wirklichkeit wahrscheinlich nur die minimalen Richtlinien befolgt werden, die dem rechtlichen Selbstschutz dienen — also könnte es faktisch eine Lüge sein.
    Zweitens ist es physisch unmöglich, Datensicherheit zu garantieren. Das ist so, als würde man einem Kind versprechen, es werde nie sterben. Sicherheitsverletzungen sind keine Tür, die man schließen und dann vergessen kann, sondern eine Frage von Wahrscheinlichkeiten. Eine Gesellschaft, die Unternehmen absolute Garantien zur Sicherheit erlauben lässt, setzt sich selbst einem Risiko aus.
    Nach der neuen Ashley-Madison-Doku bleibt bei mir noch stärker hängen, dass sie für echte Sicherheit kaum etwas taten, stattdessen gefälschte Sicherheitszertifikate erfanden und mit den Nutzerdaten Chicken spielten, obwohl sie die Möglichkeit gehabt hätten, dichtzumachen. Da ihnen bei einer Umsetzung durch Hacker die Belohnung sowieso um die Ohren geflogen wäre, war das ein sehr klares Beispiel für von Gier getriebenes Verhalten, und für die Folgen und die Suizide hätte der CEO rechtlich erhebliche Verantwortung tragen müssen.
  • Außerdem können sie in Europa wegen der DSGVO sehr wohl alle Informationen über dich löschen.

• Natürlich haben sie die Daten geleakt. Jeder erfahrene Techniker hätte das von Anfang an kommen sehen.
  Irgendwann wird ein prinzipientreuer, technisch versierter Anwalt wütend werden und dafür sorgen, dass eines dieser Unternehmen den Preis für grobe Fahrlässigkeit wirklich zahlt.
  Und dann werden die anderen beim Anblick des zerlegten Unternehmens zwar Gesetze durchdrücken wollen, um Verantwortung zu vermeiden, aber manche werden auch erkennen, dass die Party der Rücksichtslosigkeit vorbei ist und sie verantwortungsvoller und kompetenter handeln müssen.

  • Das Problem ist, dass es für Leaks überhaupt keine Konsequenzen gibt. Wenn ein Unternehmen Kundendaten preisgibt, sollte es automatisch Entschädigungen an die Kunden geben.
  • Ich hatte aus mehreren Gründen angefangen, bei Mercury ein Bankkonto zu eröffnen, habe mich dann aber für einen anderen Anbieter entschieden.
    Ich sagte, dass ich den Antrag nicht abschließen werde, und bat darum, meine Passdaten zu löschen; zunächst ignorierte man genau den Teil mit dem Löschantrag. Als ich erneut um Löschung bat, verwies man auf KYC-Gesetze und versicherte mir, die Daten würden selbstverständlich sicher gespeichert.
    An dem Punkt gab ich auf. Vielleicht hätte ich sie mit genug Streit zur Löschung bewegen können, vielleicht waren ihnen die Hände gebunden, vielleicht wurde ich durch mein Beharren sogar als Geldwäscherisiko markiert. Aber genau so ein Leak habe ich mir damals vorgestellt.
    Dieser betroffene Anbieter ist nicht der einzige, der meine Daten hat, und dieser Vorfall ist auch nicht die erste Kompromittierung, aber dieser Fall schmerzt am meisten.
    Anekdotisch bekomme ich zum ersten Mal seit Monaten wieder massenhaft SMS-Spam. Man kann es kaum anders sehen, als dass jemand frische Leak-Daten durchgeht und nach aktiven Nummern sucht.
  • Als prinzipientreuer Anwalt mit technischem Verständnis sage ich: Das wird nicht passieren.
    1. Es ist wahrscheinlich nicht einmal grobe Fahrlässigkeit. Grobe Fahrlässigkeit bedeutet üblicherweise eine extreme Abweichung vom normalen Sorgfaltsmaßstab, und der normale Maßstab hier scheint zu sein, dass Security miserabel ist.
       Man könnte per Gesetz einen Sorgfaltsmaßstab festlegen und so etwas zu grober Fahrlässigkeit machen, aber so ist es bisher nicht. Es ist nicht einmal klar, wem gegenüber diese Firmen überhaupt eine Sorgfaltspflicht haben, und ohne diese Pflicht gibt es auch keine Fahrlässigkeit. Auch das müsste gesetzlich geklärt werden, wenn man darüber nicht endlos streiten will.
    2. Der Schaden ist fast vollständig spekulativ. Die Frage ist, worin der tatsächliche Schaden besteht und wie viel seines Werts man belegen kann. Auf HN sagt man gern, X oder Y habe irgendeinen Wert, aber was kann man als realen Verlust tatsächlich nachweisen?
       Über spekulative Schäden wie den Wert der Möglichkeit, dass personenbezogene Daten in Zukunft gestohlen werden könnten, zu diskutieren ist interessant, aber die meisten Fälle drehen sich um tatsächliche Verluste.
       Wenn die Berechnung real zu schwierig ist, landet man oft bei pauschalierten gesetzlichen Schadensersatzsummen, aber auch die gibt es hier bislang nicht. Solange nicht viel gesetzgeberisch passiert, wird außer den üblichen Sammelklagen und 5-Dollar-Gutscheinen wohl nichts geschehen.
  • Inzwischen ist es ziemlich vernünftig anzunehmen, dass personenbezogene Daten, die irgendein Unternehmen über mich hat, bald ohnehin geleakt werden.
  • Unsere ganze Branche ist verrottet, und vieles von dem, was wir tun, muss radikal neu gedacht werden. Das ist nicht hinnehmbar, und es dürfte auch nicht so schwierig sein. Wir brauchen einen Moment, in dem ein Preis gezahlt wird.

• Der aktuelle Kreislauf des Security-Theaters sieht so aus

  1. Um jeden Preis ein Feature entwickeln, exzessiv Daten sammeln und Security vernachlässigen
  2. Hacker dringen ein und nehmen sich den gesamten leicht zugänglichen Datenbestand mit. Sie klauen Kreditkartennummern, Sozialversicherungsnummern, Betriebszugangsdaten, Vorhersagen zur sexuellen Orientierung von Kunden, bei denen niemand weiß, warum die Firma sie überhaupt erstellt hat, sämtliche Gehaltsdaten des Unternehmens, die Instagram-Zugangsdaten der Freundin des CEO und scheißen noch ins Bad, bevor sie gehen
  3. Versuchen, die Berichterstattung zu begraben
  4. Ein unabhängiger Journalist aus Kasachstan, der /r/leaks liest, deckt es auf
  5. „Wir haben festgestellt, dass kürzlich eine böswillige Person auf einige Logs auf einem beliebigen Testserver zugegriffen hat. Hoppla! Bisher haben wir keine Hinweise auf eine tatsächliche Nutzung gefunden. Seien Sie versichert: Security hat für uns höchste Priorität. Bei ACME corp lieben wir Security. Unser Team trägt maßgeschneiderte ‘security’-T-Shirts und betet jeden Donnerstag zum Sicherheitsgott Glombo. Als Geste für unsere Kunden bieten wir allen ein zweiwöchiges Gratis-Abo des ‘security+’-Pakets an. Danach $15.99 im Monat, bitte vergessen Sie nicht zu kündigen. Noch einmal: Ihre Daten sind bei uns sicher, schlafen Sie also ruhig!“
  6. Sechs Monate später entwickelt ein Praktikant ein neues Passwortverwaltungssystem, das Passwörter mit base64 „verschlüsselt“ und damit die Sicherheitslücke halbwegs stopft
  7. Niemanden interessiert es, also zurück zu Punkt 1
  • Ich will bei einem großartigen Beitrag nicht kleinlich sein, aber man sollte besonders noch 5.a) ergänzen, die beliebte Methode edler profitorientierter Unternehmen: den Kunden die Schuld geben. Zum Beispiel 23andMe

• Die Kundenliste überrascht mich: eToro, Coinbase, Payoneer [1]
  Gibt es eine Möglichkeit herauszufinden, ob meine Daten geleakt wurden? Ein Foto des Führerscheins sollte nach den Gesetzen mancher Bundesstaaten wohl als biometrische Information gelten
  [1] https://www.au10tix.com
  [2] https://www.huschblackwell.com/2023-state-biometric-privacy-...

  • Ich kann mich irren, aber ich meine, auch die Führerscheinnummer war schon vor Gesetzen zum Schutz biometrischer Daten gesetzlich geschützt

• Das alles wirkt auf mich wie ein orwellscher Albtraum. Dienste wie TikTok oder X sollten von vornherein keine Identitätsprüfung verlangen dürfen
  Dieses Chaos liefert nur weitere Gründe dafür, warum das eine schlechte Idee ist

  • Mehrere Bundesstaaten haben Gesetze verabschiedet, die für Social Media eine Altersverifikation verlangen, und so wird das dann umgesetzt
    Unternehmen haben außerdem einen Anreiz, nachzuweisen, dass sie echte aktive Nutzer haben und nicht Bots
  • Uber sollte das auch nicht tun. Um ein Taxi zu bekommen, musste man keinen Ausweis zeigen. Man stand einfach an der Straßenecke und winkte
    Wenn es um Uber-Fahrer geht, kann ich das bis zu einem gewissen Grad nachvollziehen. Aber bei Fahrgästen? Ich nutze Uber nicht, also weiß ich es nicht genau
  • Durch all diese Leaks verlieren Ausweise als Mittel zur tatsächlichen Identitätsbestätigung immer mehr an Wert
    Andererseits glaube ich inzwischen fast, dass man die Leute zu biometrischer Identifikation wie Iris-Scans oder Fingerabdrücken drängen will, weil physische Ausweise inzwischen so breit geleakt und unter Kriminellen so gründlich verbreitet wurden, dass sie als vertrauenswürdige Dokumente unbrauchbar geworden sind
  • Genau. Eben deshalb sollte man solchen Firmen niemals seinen Ausweis geben
  • Stimme voll zu, und ich gehe noch einen Schritt weiter: Vielleicht bin ich einfach aus der Zeit gefallen oder weit genug außerhalb der Blase, um es objektiv zu sehen, aber dass man inzwischen für einen reinen „Lifestyle“-Dienst wie Twitter oder TikTok zur Kontoerstellung einen staatlich ausgestellten Ausweis verifizieren muss, lässt mich wirklich fragen, ob wir tatsächlich hier gelandet sind
    War das wirklich das Ziel, auf das irgendjemand hinauswollte?

• Hat X nicht schon zu Stripe gewechselt? Es gab heftige Gegenreaktionen von Leuten, die zu Palästina protestierten und besorgt waren, ihren Ausweis mit ihrer Privatadresse, die von dem Unternehmen eingeräumten biometrischen Daten und weitere Informationen an eine direkt mit Israel verbundene Firma weiterzugeben
  Über dieses Unternehmen weiß ich nichts Konkretes, aber ich weiß, dass Regierungen oft faktisch wie Inkubatoren für Tech-Unternehmen agieren, daher waren diese Sorgen wohl nicht völlig unbegründet
  Selbst wenn sie umgestellt haben, dürfte X immer noch betroffen sein, weil sich manche Nutzer schon vorher verifiziert hatten. Vielleicht hat das auch interne Entscheidungen beeinflusst, da Nutzer diese Bedenken schon seit geraumer Zeit geäußert hatten
  Dass Uber und TikTok diese Firma genutzt haben, wusste ich überhaupt nicht, gut das zu wissen. Zum Glück habe ich ihnen meine biometrischen Daten noch nicht gegeben

  • Ich wusste nicht, dass Stripe mit Israel verbunden ist. Danke für den Hinweis. Ich werde nach ethischeren Alternativen suchen, aber da der Launch kurz bevorsteht, weiß ich nicht, ob das noch machbar ist

• Warum werden biometrische Identitätsdaten von US-Bürgern nach Israel geschickt? Gibt es keine Gesetze dagegen, dass so sensible Daten US-Rechenzentren verlassen?

  • Das würde dich vielleicht überraschen. Banken und ihre Dienstleister lagern zum Beispiel nach Indien und Polen aus. Unter den Mitarbeitern in Polen sind auch belarussische Staatsbürger
    US-Kundendaten, darunter Kontonummern, Sozialversicherungsnummern und andere personenbezogene Daten, sind über die ganze Welt verteilt
    Vielleicht werden sie in den USA gespeichert, aber darauf greifen Menschen aus Regionen mit niedrigeren Lebenshaltungskosten zu
  • Gute Frage. Ich musste für ein Azure-Vendor-Konto meinen Ausweis bei Au10Tix einreichen und habe gesehen, dass diese Daten zur Verarbeitung nach Israel ausgelagert wurden

• Ich denke gelegentlich, dass diese Situation letztlich zu einem gesetzlich vorgeschriebenen System beruflicher Qualifikationen für bestimmte Aufgaben in der Softwareentwicklung führen wird
  Natürlich muss nicht jeder, der Code schreibt, eine Entwicklerlizenz haben. Es wäre unsinnig zu verlangen, dass man für das Schreiben eines Blogs oder das Veröffentlichen einer Website mit Fruchtwitzen eine Lizenz braucht. Aber wenn ein Unternehmen personenbezogene Identifikationsdaten verarbeitet, ist echte Ingenieursarbeit nötig, und auch die Menschen, die diese Ingenieursarbeit leisten, sollten zertifiziert sein
  Das ähnelt der Art, wie Ingenieurlizenzen eingeführt wurden. Zumindest in den USA war der Auslöser, dass Wyoming es leid war, dass Leute, die nicht wussten, was sie taten, Wasserinfrastruktur bauten
  Eine Lizenz könnte einzelnen Ingenieuren auch ein Druckmittel gegenüber Managern oder CEOs geben, die nach dem Motto „move fast and break things“ handeln. Wenn man zu einer Berufsgruppe mit exklusiver Zeichnungsbefugnis gehört, kann man leichter sagen: „Das muss richtig gemacht werden. Sonst trage ich die Verantwortung, also treten Sie zurück.“
  Wenn ein Unternehmen dann sagt: „Gut, Sie sind gefeuert“, die Verwaltung personenbezogener Identifikationsdaten trotzdem durchzieht und es zu einem solchen Leak kommt, ist die Verantwortung des Unternehmens deutlich größer. Insgesamt würde das in die Richtung wirken, die Verhandlungsmacht qualifizierter Fachkräfte zu stärken, die sich mit der Verwaltung von Datenbanken für personenbezogene Identifikationsdaten oder der Konfiguration von Endpunkten auskennen, damit sie ihre Arbeit ordentlich machen können
  Auch ein Lizenzsystem hat viele Fallstricke, aber ich frage mich, ob es in den nächsten Jahren zu einer solchen Bewegung kommen wird

  • Dass am Ende wirklich alle, die Code schreiben, eine Entwicklerlizenz brauchen, ist tatsächlich ebenfalls ein sehr wahrscheinliches Ergebnis
    Die erstaunliche Statistik ist, dass ungefähr die Hälfte aller Berufe eine Berufslizenz verlangt. An manchen Orten braucht man eine Lizenz, um Florist zu werden. In einigen Bundesstaaten braucht man sogar für Innenarchitektur oder als Tankstellenmitarbeiter eine Zulassung. Software Engineering ist unter den gut bezahlten Berufen eine völlige Ausnahme
    Ich halte das nicht für richtig, aber so ist die Welt, in der wir leben, und wir sollten uns nichts vormachen. Viele Softwareingenieure sagen, sie wollten hilfreiche, präzise Regulierung, aber Regulierung wird im Gesamtpaket kommen, und auch die Website mit Fruchtwitzen wird keine Ausnahme sein
  • Das ist die dystopische Situation, die Richard Stallman in „Right to Read“ entworfen hat. Das will ich nicht. Dann nehme ich lieber solche periodischen Fehler in Kauf
  • Eine solche Lizenz wäre eine enorme Verschwendung, und wenn man so etwas macht, sollte man die Führungskräfte zertifizieren, die bei der Sicherheit sparen wollen
    Bei Ingenieuren kann man höchstens spezielle Schulungen verlangen oder Abschlüsse anerkennen. Viel mehr kann der Staat darüber hinaus nicht tun
    Und keine Lizenz wird einem ein Druckmittel gegenüber dem CEO geben
  • In einer optimistischen Zukunft wären solche Lizenzen überhaupt nicht nötig. Dann gäbe es keine personenbezogenen Daten mehr zu stehlen
    Es gibt Lösungen, um die Identität zu verifizieren, ohne echte Dokumentenscans einzubeziehen. Vielleicht bekommen auch die USA irgendwann Smartcards
  • Dann würde Offshoring nur noch weiter zunehmen