Autor: kantorkel

Leakvent 1: Ferrari Academy

Bis zum 39C3 öffne ich täglich ein Türchen zu den langweiligsten Datenlecks der letzten Jahre. Es geht um .git, .env, exponierte dev-Umgebungen und andere technisch langweilige Ursachen. Aber manchmal ist interessant, was sich hinter einem Türchen verbirgt. Alle Türchen sind hier zu finden.

Es geht los mit der Ferrari Academy. Betroffen waren 2022 nicht besonders viele Menschen. Dafür gab es .git und .env mit Zugangsdaten, eine exponierte dev-Umgebung sowie directory listings und herunterladbare Backups von php-Dateien.

  1. Unter https://academy.ferrari.com/ waren directory listings aktiviert. So konnte u.a. unter https://academy.ferrari.com/<redacted>/HubSync/users.csv eine csv-Datei mit personenbezogenen Daten (u.a. Ausweisnummer) gefunden werden.
  2. „Backups“ von php-Dateien erlaubten den Zugriff auf Quellcode, bspw. https://academy.ferrari.com/<redacted>/class.ilCompetence.php.backPrimadiAPOS. Im Quellcode sind auch Zugangsdaten zu finden.

$mail->Username = ‚AKIA████████████████‘;
$mail->Password = ‚████████████████████‘;

#$mail->addCustomHeader(‚X-SES-CONFIGURATION-SET‘,’ConfigSet‘);
$mail->Host = ‚email-smtp.eu-west-1.amazonaws.com‘;
$mail->Port = 465;

  1. Unter https://<redacted>/.env lag eine Datei mit Umgebungsvariablen.

APP_NAME=Laravel
APP_ENV=local
…
DB_CONNECTION=mysql
DB_HOST=█████████
DB_PORT=3306
DB_DATABASE=█████████
DB_USERNAME=█████████
DB_PASSWORD=█████████

DB_HOST2=█████████
DB_DATABASE2=lmsdb_prod
DB_USERNAME2=█████████
DB_PASSWORD2=█████████

ACADEMYURL=„http://dev.academy.ferrari.com“

  1. Unter https://<redacted>/lms-ferrari/.git/ und https://<redacted>/fixitproject/.git/ lagen zwei git-Repositories mit Quellcode, Konfiguration und personenbezogenen Daten.

BKA: Biometrische Marktforschung ohne Rechtsgrundlage

Das BKA hat mehrere Millionen Gesichtsbilder aus INPOL-Z ohne Rechtsgrundlage an Fraunhofer weitergegeben. Dagegen klagt ein Betroffener mit Unterstützung des CCC.

Hessisches LKA testet Pimeyes

In den Jahren 2021 und 2022 hat das Hessische LKA die Gesichtersuchmaschine Pimeyes getestet.

Der Hessische Datenschutzbeauftragte wurde dabei nicht informiert. Es gab auch keine Vereinbarung zur Auftragsdatenvereinbarung. Pimeyes wurde nicht ins Verfahrensverzeichnis aufgenommen. Es wurden keine Maßnahmen zur Sicherstellung der Rechte Betroffener getroffen.

Innenminister Peter Beuth meint, dass „die hessische Polizei Systeme zur automatischen Datenverarbeitung nur dann in den regulären Wirkbetrieb überführt, wenn die für einen Einsatz notwendigen rechtlichen Voraussetzungen erfüllt sind.“ Bei einem Testbetrieb schert sich die Hessische Polizei offenbar weniger um die notwendigen rechtlichen Voraussetzungen.

Journalisten nutzen Pimeyes und helfen der Polizei

Ein Team um die Journalisten Khesrau Behroz und Patrick Stegemann sowie Michael Colborne vom Recherche-Netzwerk Bellingcat halfen der Polizei. Obwohl Gesichtersuchmaschinen wie Pimeyes und Clearview AI in der EU illegal sind, luden sie Fotos vom ehemaligen RAF-Mitglied Daniela Klette bei Pimeyes hoch. Damit wurde Klette auf der Webseite eines Capoeira-Vereins in Berlin identifiziert. Ihre Rechercheergebnisse wurden im Podcast Legion: Most Wanted im Dezember 2023 veröffentlicht. Wenige Wochen später wurde Klette festgenommen.

Die GdP fordert

Wie erwartet meldet sich die Gewerkschaft der Polizei (GdP) nach dem schlimmen Messerangriff in Hamburg, um einmal mehr einen massiven Grundrechtseingriff zu fordern.

Bereits in der Vergangenheit forderte die GdP u.a. Vorratsdatenspeicherung, Videoüberwachung, noch mehr Videoüberwachung, Bodycams, verdachtsunabhängige Kontrollen und Gesichtserkennung. Zu viele dieser Forderungen wurden erfüllt.

Doch offenbar ließen sich soziale Probleme bisher nicht mit dem Einsatz von immer mehr Überwachung lösen. Dennoch nutzt die Gewerkschaft auch den jüngsten Angriff, um noch mehr Überwachung zu fordern ‒ in der bizarren Hoffnung, dass die sozialen Probleme mit dem Einsatz von nur noch etwas mehr Technik gelöst werden.

Die aktuelle Forderung nach dem Einsatz von Verhaltenserkennung suggeriert, dass eine KI Straftaten verhindern könnte, noch bevor sie passieren. Sie erweckt den Eindruck technologischer Objektivität, obwohl in Wahrheit fehlerhafte, intransparente und diskriminierende Systeme eingesetzt werden. Diese Systeme schaffen kein Mehr an Sicherheit, sondern nur eine Kontrolle aller. Die GdP verkauft wieder ein trügerisches Sicherheitsgefühl, liefert aber nur Totalüberwachung.

Den Überwachungsforderungen der GdP sollte nicht unkommentiert Raum gegeben werden.

Die AFD Hamburg betreibt niemals nie nicht briefwahl-hamburg.de

Jemand betrieb bis gestern unter briefwahl-hamburg.de eine Weiterleitung auf die Webseite der Hamburger AFD. Das ist unschön, denn Briefwahlanträge können in Hamburg unter briefwahl.hamburg.de gestellt werden. Dies ist nun nach vier Jahren aufgefallen. Die AFD gibt sich natürlich unschuldig und hat angeblich keine Ahnung, wer dahintersteckt. Spoiler: Es könnte sich lohnen, Herrn Moritz L., ehemaliges Bezirksvorstandsmitglied der AfD Hamburg-Nord und Gründungsmitglied des Hamburger AfD-Landesverbands, zu fragen.

Tragen wir mal zusammen:

1. Die Domain briefwahl-hamburg.de zeigte in der Vergangenheit auf die IP-Adressen 88.99.56.57 und 88.99.139.237. [Quelle]

88.99.56.57 Hetzner Online GmbH 2023-08-26 – 2023-09-07
88.99.139.237 Hetzner Online GmbH 2021-09-02 – 2023-08-26
5.9.113.177 Hetzner Online GmbH 2021-03-11 – 2021-09-02

2. Die reverse DNS-Einträge für diese IP-Adressen lauten heute s1. bzw. s2.alternative-hamburg.net und früher hamburg-intern.net [Quelle].

3. Die Domain hamburg-intern.net zeigte in der Vergangenheit ebenfalls auf die IP-Adressen 88.99.56.57 und 88.99.139.237. Und das auch noch zu ähnlichen Zeiträumen wie briefwahl-hamburg.de. [Quelle]

88.99.56.57 Hetzner Online GmbH 2023-07-06 – 2023-09-04
88.99.139.237 Hetzner Online GmbH 2022-12-12 – 2023-07-06

4. Der Whois-Eintrag für briefwahl-hamburg.de wurde zuletzt am 02.09.2021 geändert.

$ whois briefwahl-hamburg.de

Domain: briefwahl-hamburg.de
Nserver: ed.ns.cloudflare.com
Nserver: may.ns.cloudflare.com
Status: connect
Changed: 2021-09-02T13:55:18+02:00

5. Als technischer Kontakt für hamburg-intern.net fungierte ‒ Überraschung ‒ Herr Moritz L.

Das alles ist natürlich kein Beweis, aber ein möglicher Hinweis.

Der Hansaplatz-Versuch war kein Erfolg

Die Hamburger Polizei experimentiert am Hansaplatz mit KI, genauer mit Verhaltenserkennung. KI soll unerwünschtes Verhalten erkennen und die Polizei benachrichtigen. Die Polizei darf ihren Versuch selbst evaluieren, also wurden selbstverständlich alle Ziele erreicht. Zum Glück heißt es im Koalitionsvertrag von SPD und Grüne im Abschnitt Digitalisierung und gesellschaftliche Verantwortung:

Wir werden beim Einsatz von KI-Anwendungen in Hamburger Behörden sicherstellen, dass grundsätzlich Transparenz, Nachvollziehbarkeit und Überprüfbarkeit gegeben sind. Wo es fachlich vertretbar ist, sollen von bzw. für die Hamburger Verwaltung entwickelte Algorithmen öffentlich verfügbar gemacht werden. KI-Trainingsdaten sollen in der Kontrolle der Behörden verbleiben, soweit diese nicht im Rahmen eines Datenaustausches in größere Datenpools eingebracht werden. Zudem wollen wir einen behördenübergreifenden Standard zur Überprüfung der Diskriminierungsfreiheit bei KI und Algorithmen einführen, damit die Souveränität über die Verfahren bewahrt wird.

Wir können also Transparenz erwarten, vielleicht sogar einen Blick in die Trainingsdaten werfen und damit nachvollziehen und überprüfen, ob der Versuch tatsächlich so erfolgreich war wie behauptet.

Leider wurde meine Transparenzanfrage zu dem Projekt über ein Jahr lang nicht beantwortet. Und auch dann wurde nur ein kleiner Teil der angefragten Dokumente zur Verfügung gestellt. In diese Dokumente, Evaluations- und Projektabschlussbericht, schauen wir nun einmal rein.

„Der Hansaplatz-Versuch war kein Erfolg“ weiterlesen