Ein Dienst, der Fremde anhand eines Fotos identifizieren sollte, ließ 9 Millionen Gesichter offen zugänglich

Die Menschen in dieser Datenbank haben sich für nichts angemeldet. Genau das ist der Sinn des Dienstes. ClarityCheck, ein in den USA registrierter Personensuchdienst, lädt Sie ein, das Foto einer Person hochzuladen und dafür einen Namen, Social-Media-Profile und alles sonst Auffindbare zurückzubekommen. Sein Versprechen lautet, Fremde zu identifizieren.

Der Sicherheitsforscher Jeremiah Fowler fand die Sammlung in einem ungesicherten Amazon-S3-Bucket ohne jedes Passwort: 450 GB und mehr als 9 Millionen Bilddateien. Profilbilder, Screenshots, gewöhnliche Fotografien. Erwachsene, Jugendliche und Kinder. Fowler gibt an, das Unternehmen benachrichtigt zu haben, ohne dass etwas geschah; der Zugriff wurde erst im Juli eingeschränkt, nachdem WIRED den Dienst kontaktiert hatte. Malwarebytes und mehrere andere Medien berichteten diese Woche darüber.

Die Nutzungsbedingungen von ClarityCheck verlangen, dass Hochladende die Erlaubnis der abgebildeten Personen besitzen müssen, eine Klausel, die in sich zusammenfällt, sobald man kurz darüber nachdenkt. Niemand zahlt dafür, sich selbst zu identifizieren, oder jemanden, den er bereits kennt. Fowlers Lesart ist die naheliegende: Die meisten Gesichter darin wurden von jemand anderem hochgeladen, über jemand anderen, ohne ein Wort an die Person im Bild.

Eine saubere Lösung gibt es nicht, denn ein Gesicht ist kein Passwort. Man kann es nach einem Leck nicht austauschen, und es bleibt einem Betrüger jahrzehntelang nützlich - für Identitätsbetrug, Romance Scams, ein überzeugendes gefälschtes Profil. Was Sie kontrollieren können, ist Ihr eigener Beitrag: Überlegen Sie zweimal, bevor Sie das Foto einer anderen Person in ein Suchwerkzeug füttern, und tauchen Sie selbst in einem solchen Ergebnis auf, machen Sie einen Screenshot der Seite und stellen Sie beim Anbieter einen Löschantrag. Tendvanes Datenschutz- und Konten-Check arbeitet auf dem Gerät vor Ihnen und zeigt, was dort offenliegt; ein offener Speicher-Bucket eines Fremden liegt außerhalb dessen, was auf Ihrem PC läuft.