Dai­l­y­mo­tion wurde zur Zah­lung von EUR 50’000.00 ver­ur­teilt, weil es die Sicher­heit der Daten sei­ner Benut­zer nicht im Griff hatte. Bei Dai­l­y­mo­tion han­delt es sich um einen in Paris ansäs­si­gen Con­tent Hos­ting Ser­vice, der auch Videosha­ring ermög­licht. Nach eige­nen Anga­ben hat Dai­l­y­mo­tion 300 Mio. Benut­zer, die im Monat 3,5 Mil­li­ar­den Videos betrachten.

Was ist pas­siert? Offen­bar hatte Dai­l­y­mo­tion aus Ver­se­hen auf Git­hub die Zugangs­da­ten eines Dienst­kon­tos ver­öf­fent­licht, das einen Admi­nis­tra­to­ren simu­lierte. Mit die­sen Zugangs­da­ten gelang­ten die Angrei­fer in die Sys­teme von Dai­l­y­mo­tion und erlang­ten im Anschluss mehr als 80 Mio. Email­adres­sen und mehr als 18 Mio. dazu­ge­hö­rige Pass­wort­hashs. Dazu muss­ten die Angrei­fer den auf Git­hub offen­ge­leg­ten Quell­code von Dai­l­y­mo­tion sich­ten und Bugs iden­ti­fi­zie­ren. Die Angrei­fer ent­wi­ckel­ten auf Grund die­ser Kennt­nisse und einer ein­ge­hen­den Ana­lyse der Infra­struk­tur von Dai­l­y­mo­tion einen mass­ge­schnei­der­ten Exploit. Zuerst ging Dai­l­y­mo­tion von einem ein­fa­che­ren Sze­na­rio aus, das in einem Abruf der Email­adres­sen und Hashs über eine SQL-Select-Abfrage geen­det haben soll.

Der Vor­fall blieb offen­bar gänz­lich unbe­merkt. Erst durch einen Arti­kel auf zdnet.com wurde man auf­merk­sam auf den Vor­fall. Ein Autor von ZDNet wurde von einem Leak­sam­mel­ser­vice mit einer Daten­probe belie­fert, der danach eine ein­zig­ar­tige Kom­bi­na­tion von Pass­wort­hash und Email­ac­count eru­ierte. Diese Kom­bi­na­tion gab es nur bei dai­l­y­mo­tion. Die Quelle war zwei­fels­frei bestimmt.

Das Per­fide in einer sol­chen Situa­tion ist, dass sol­che Daten­ab­flüsse meis­tens unbe­merkt blei­ben. Es waren zwar über 80 Mio. Email­adres­sen und über 18 Mio. Pass­wor­d­hashs, die fal­len aber beim Traf­fic­mo­ni­to­ring nicht auf. Diese Daten­sätze sind kom­pri­miert nur wenige Mega­byte gross und blei­ben so unter dem Radar. So ist es offen­bar auch Dai­l­y­mo­tion ergangen.

Die oberste fran­zö­si­sche Daten­schutz­be­hörde CNIL (Com­mis­sion natio­nale de l’in­for­ma­tique et des liber­tés) war übri­gens erstaun­lich rasch vor Ort: Der Arti­kel auf ZDNet.com ging am 05.12.2016 online, glei­chen­tags wurde der COO von Dai­l­y­mo­tion ori­en­tert und bereits am 15.12.2016 stat­tete eine Dele­ga­tion der CNIL dem Haupt­sitz von Dai­l­y­mo­tion einen Besuch ab. Der eigent­lich Hacker­an­griff ist ver­mut­lich zwei Monate zuvor am 20.10.2016 pas­siert. Im Mai 2017 wurde durch die CNIL ein Bericht­erstat­ter ein­ge­setzt und Dai­l­y­mo­tion lie­ferte im Juli 2017 einen Bericht zum Vor­fall ab. Dar­auf­hin emp­fahl der Bericht­erstat­ter eine Busse von EUR 500’000.00. Es folgte eine Stel­lung­nahme von Dai­l­y­mo­tion und ein wei­te­rer Bericht, der neue tech­ni­sche Details ent­hielt. Am 15.02.2018 teilte Dai­l­y­mo­tion mit, es seien keine Benut­zer zu Scha­den gekom­men. Am Ende setzte die Kom­mis­sion eine Busse von EUR 50’000.00 fest. Durch das koope­ra­tive Ver­hal­ten, eine geschickte juris­ti­sche Argu­men­ta­tion und das ver­ständ­li­che Vor­tra­gen von tech­ni­schen Sach­ver­hal­ten hat Dai­l­y­mo­tion es erreicht, dass die Strafe mar­kant redu­ziert wurde.

Dai­l­y­mo­tion wurde zusam­men­ge­fasst mit EUR 50’000.00 bestraft, weil es unvor­sich­ti­ger­weise die Zugangs­da­ten für einen Dienstac­count ver­öf­fent­lichte. Wei­ter wird Dai­l­y­mo­tion zum Vor­wurf gereicht, es habe den Zugang zu den spe­zi­fi­schen Ser­vern nicht zusätz­lich gesi­chert, z.B. mit­tels VPN-Tech­nik oder wenigs­tens einer IP-basier­ten Authentifizierung.

Das Urteil erfolgte in Anwen­dung des fran­zö­si­schen Daten­schutz­rechts, das eine Busse für Daten­si­cher­heits­ver­let­zun­gen vor­sieht. Kon­kret hatte Dai­l­y­mo­tion Art. 34 des loi rela­tive à l’in­for­ma­tique, aux fichiers et aux liber­tés vom 6. Januar 1978 ver­letzt. Nach die­sem Art. 34 hat der Bear­bei­ter von Per­so­nen­da­ten für ange­mes­sene Sicher­heit und Schutz vor unbe­fug­tem Zugriff zu sor­gen. Da der Vor­fall ein grosse Anzahl betrof­fe­ner Per­so­nen auf­wies, hat sich die CNIL zur Ver­öf­fent­li­chung des Ent­scheids ent­schlos­sen. Unter DSGVO/GDPR hätte das Urteil mit gröss­ter Wahr­schein­lich­keit gleich ausgesehen.

Über den Fall haben auch Le Monde und heise.de berichtet.

Das Urteil wurde am 02.08.2018 publi­ziert und kann innert zweier Monate an die höhere Instanz wei­ter­ge­zo­gen wer­den. Es bleibt spannend.