Datenbank mit 800 Millionen Gesichtern im Netz

Eine Datenbank mit 800 Millionen Datensätzen — Fotos von Gesichtern und Nummernschildern — stand monatelang ungeschützt im Internet. Die Daten stammten von Überwachungskameras des chinesischen Herstellers Xinai Electronics und waren weder durch Passwörter noch durch sonstige Zugriffsbeschränkungen gesichert. Jeder, der die Adresse kannte, konnte die Daten über den Browser abrufen.

Xinai Electronics: Zutrittskontrolle ohne Datenschutz

Xinai Electronics betreibt ein weitreichendes Netz von Kameras in ganz China. Die Systeme bieten Zugangskontrollen für Personen und Fahrzeuge — an Arbeitsplätzen, Parkhäusern, Schulen und Baustellen. Laut Techcrunch nutzt das Unternehmen die Daten auch zur Anwesenheitsüberwachung von Mitarbeitern für Gehaltsabrechnungszwecke. Cloud-basierte Kennzeichenscanner ermöglichen Parkhausbetreibern die automatisierte Gebührenerhebung ohne Personal vor Ort.

Auf der eigenen Webseite behauptete Xinai, die Daten seien „sicher auf Unternehmensservern” abgelegt. Die Realität sah anders aus.

Ungeschützte Datenbank auf Alibaba-Server

Der IT-Sicherheitsforscher Anurag Sen entdeckte die ungeschützte Datenbank auf einem von Alibaba gehosteten Server in China. Die Datenbank wuchs täglich und enthielt zum Zeitpunkt der Entdeckung mehrere hundert Millionen Datensätze mit vollständigen URLs zu Bilddateien auf Xinai-Domains. Weder die Datenbank noch die Bilddateien waren passwortgeschützt.

Konkret enthielt die Datenbank:

• Hochauflösende Gesichtsfotos — Bauarbeiter beim Betreten von Baustellen, Bürobesucher beim Einchecken
• Personenbezogene Daten — Name, Alter, Geschlecht, Einwohner-ID-Nummern
• Fahrzeugkennzeichen — erfasst durch Kameras in Parkhäusern, Einfahrten und Büroeingängen

Erpresser waren schneller als der Hersteller

Sen war nicht der Einzige, der die Datenbank fand. In einer undatierten Lösegeldforderung behauptete ein Erpresser, den Inhalt gestohlen zu haben, und forderte einige hundert Dollar in Kryptowährung für die Wiederherstellung. Die angegebene Blockchain-Adresse erhielt laut Techcrunch keine Zahlungen. Ob tatsächlich Daten entwendet oder gelöscht wurden, blieb unklar.

Mitte August 2022 verschwand die Datenbank aus dem Netz — ob durch Xinai selbst oder den Hoster, ist nicht bekannt.

Chinas Datenschutzgesetz: Theorie und Praxis

Seit dem 1. November 2021 gilt in China das Personal Information Protection Law (PIPL) — das erste umfassende Datenschutzgesetz des Landes. Es sieht vor, dass Unternehmen vor der Erhebung personenbezogener Daten die Einwilligung der Betroffenen einholen müssen. Staatliche Stellen sind davon allerdings ausgenommen.

Der Xinai-Vorfall reiht sich in eine Serie massiver Datenlecks in China ein. Im Juli 2022 wurde bekannt, dass die Shanghaier Polizei rund eine Milliarde Datensätze verloren hatte — einer der größten bekannten Datenabflüsse weltweit. Die Durchsetzung des Datenschutzgesetzes bleibt offensichtlich weit hinter dem Anspruch zurück.

Einordnung: Was dieser Fall für europäische Unternehmen bedeutet

Der Fall Xinai illustriert ein Problem, das nicht auf China beschränkt ist: Biometrische Daten in Cloud-Systemen ohne angemessene Zugriffskontrollen. Auch in Europa setzen Unternehmen zunehmend auf Gesichtserkennung für Zutrittskontrollen, Zeiterfassung und Besuchermanagement. Die DSGVO stellt biometrische Daten unter besonderen Schutz (Art. 9) — aber technischer Schutz muss der rechtlichen Einordnung folgen.

Drei Lehren aus dem Xinai-Vorfall:

• Cloud-Datenbanken mit biometrischen Daten brauchen Zugriffsbeschränkungen, Verschlüsselung und Monitoring — nicht nur ein Versprechen auf der Unternehmenswebseite
• Drittanbieter-Risiko: Wer Zutrittskontrollen an externe Dienstleister auslagert, muss deren Datenhaltung prüfen — nicht nur deren Funktionalität
• Datenminimierung: 800 Millionen Datensätze in einer einzigen, wachsenden Datenbank ohne Aufbewahrungsfrist ist ein Designfehler, kein Feature