Ich hatte hier ja ein paar Vorträge vom 38C3 empfohlen - darunter befand sich unter anderem der Vortrag "Databroker Files: Wie uns Apps und Datenhändler der Massenüberwachung ausliefern"
Darin haben Rebecca Ciesielski (Bayrischer Rundfunk) sowie Ingo Dachwitz und Sebastiak Meineck (beide von Netzpolitik) sich als Interessierte ausgegeben und mal bei kommerziellen Anbietern von Daten um Pröbchen gebeten was man denn so bei ihnen geliefert bekäme, wenn man einen Vertrag mit ihnen abschließen würde.
Ergebnis: Im Datenpaket, dass 3 Wochen Handystandorte beinhaltete, lässt sich über Millionen Menschen durch ihre Standortdaten praktisch alles relevante über ihr Leben rausfinden. Wo wohnt die Person? Wo wohnt die Geliebte? Wer kommt zu Besuch, wenn der Partner aus dem Haus ist? Wo arbeiten die Leute? Wer parkt täglich auf einem BND-Gelände? Wer fährt wöchentlich zu den anonymen Alkoholikern? Mit wem trifft sich welcher Politiker, etc… pp…
Warum erzähle ich euch das? Nun… vor einer Woche wurde bekannt, dass einer der weltweit größten Data Broker, Gravy Analytics, offenbar gehackt wurde, und nicht in der Größe bezifferte Datenmengen rausgetragen wurden.
Betroffen sind Menschen weltweit, es geht dabei mehr darum welche Apps diese auf ihren (euren) Smartphones installiert haben betroffene Apps sind laut ersten Berichten wohl z.B. Tinder, Spotify, diverse sudoku und solitair Spiele, aber auch Krams wie flightradar24, regenradar, und diverse andere
Warum erzähle ich euch das? Nun, die Hacker haben angekündigt die Daten zu veröffentlichen.
Also wer dann schon immer mal wissen wollte wo die süsse Nachbarin eigentlich arbeitet, oder in welchem Verein sie tätig ist, ob sie nen Freund oder ne Freundin hat, … kann sich dann mal selbst informieren.
Für das Thema ISMS halt auch immer relevant… ist geregelt welche Apps installiert werden dürfen? Welche Berechtigung die Apps haben dürfen? Ist mit den Beschäftigten mal darüber gesprochen worden was ihr privates Handy eigentlich über sie verrät? Sollte man das in Erwägung ziehen? Ich bin ja bekanntermaßen ein starker Vertreter dafür dass Beschäftigte, die sich privat für das Thema sensibilisiert haben, dies dann automatisch auch beruflich tun werden.
Und natürlich - wie kann es sein, dass eine durch nichts legitimierte Privatfirma soviel über uns sammelt? Müssen wir da wirklich mal einen gordischen Knoten durchschlagen um uns keine großen Sorgen zu machen?