Bestehende Benachrichtigungsdienste hatten laut Julian zwei Probleme: Die meisten Nutzer wussten nicht, dass es sie gab, und viele scheuten sich davor, ihre Zugangsdaten noch einem weiteren Online-Dienst anzuvertrauen.
Die Idee
Das Modell umdrehen: Statt Nutzer zu bitten, Leak-Dienste zu überwachen, die Dumps selbst scrapen und jedem exponierten Inhaber per E-Mail mitteilen, dass seine Zugangsdaten öffentlich sind.
Über drei Tage sammelte Julian geleakte E-Mail-/Passwort-Kombinationen von PasteBin-ähnlichen Seiten; am 19. Mai 2015 verschickte sein Tool Canary 97.931 vorformulierte Warn-E-Mails; bis Ende Juni hatte er 300.000 Login-Zugangsdaten gesammelt und erwog eine weitere Versandaktion.
Neun Dankesantworten und null Spenden – „da die Kampagne mich nicht viel gekostet hat, ist das auch absolut in Ordnung“; Julian nannte das Experiment einen Erfolg und hoffte, dass viele der Angeschriebenen nie antworteten, weil ihre E-Mail in Spamfiltern hängen blieb.
Jeder große Hack schüttet E-Mail- und Passwort-Kombinationen auf den Schwarzmarkt, und Slates Lily Hay Newman merkte das Offensichtliche an: Die meisten von uns prüfen nie, ob unsere Zugangsdaten darunter sind. „Julian“, der pseudonyme Blogger hinter ATechDad, beschloss, für uns nachzusehen. Über drei Tage sammelte er geleakte Nutzerdaten, die auf Klartext-Hosts wie PasteBin veröffentlicht wurden, mit einem selbst gebauten Scraper namens Canary, der automatisch ausgewählte Daten von Webseiten herauszog und vorformulierte E-Mails verschickte, die die Menschen darüber informierten, dass ihre Zugangsdaten exponiert waren.
Die Design-Einsicht war Vertrauen. Ähnliche Scraping-Dienste gab es bereits, schrieb Julian, aber „1. Die meisten Nutzer haben keine Ahnung, dass diese Dienste existieren. 2. Viele Nutzer scheuen sich davor, die Informationen, die ihnen am wichtigsten sind, einem weiteren Online-Dienst zu schicken.“ Seine Antwort: Die Zugangsdaten konnten für sich selbst sprechen – wenn sie auf PasteBin stehen, sollte der Inhaber benachrichtigt werden, ohne Anmeldung.
Am 19. Mai 2015 schickte Canary 97.931 Menschen eine E-Mail, deren Cybersicherheit gefährdet war. Motherboard wies darauf hin, dass viele eine E-Mail ignorieren würden, die wie Phishing aussieht; Julian erhielt neun Danksagungen, keine Spenden („das war nicht unerwartet“), und bis Ende Juni hatte er 300.000 Login-Zugangsdaten gesammelt und erwog eine zweite Versandaktion. „Insgesamt betrachte ich dieses Experiment als Erfolg“, schrieb er.
Der Wegfall des Anmeldeschritts beseitigte die Vertrauensbarriere: Betroffene erfuhren von dem Leak, ohne jemals Daten an einen Fremden zu übergeben.
Die gesamte Apparatur bestand aus einem Scraper und vorformulierten E-Mails – ein Ein-Personen-Gemeinwohldienst zu nahezu null Kosten.
Die lauwarme Resonanz war selbst das Ergebnis: Benachrichtigungen über Datenschutzverletzungen per unverlangter E-Mail funktionieren kaum, und das ist das Problem, das Dienste bis heute nicht gelöst haben.
Die Benachrichtigungslücke ist ein Designproblem: Menschen dort abholen, wo der Leak bereits aufgetaucht ist, statt sie zu bitten, noch einem weiteren Dienst zu vertrauen.
Seitdem
Stand Ende Juni 2015 hatte Julian 300.000 gesammelte Zugangsdaten und neun Danksagungen vorzuweisen und musste über eine zweite E-Mail-Versandaktion entscheiden – mit dem öffentlich auf ATechDad dokumentierten Experiment, über das Slate und Motherboard berichteten.
DEN BELEGEN FOLGEN