Die Datenschutzpraktiken von W Social stehen auf dem Prüfstand, nachdem ein Journalist öffentlich zugängliche Datensätze mit Identitätsinformationen von Nutzern entdeckt hat. Die europäische Alternative zu X bestreitet, von einem Datenleck betroffen zu sein, und erklärt, dass die Nutzer selbst entschieden hätten, welche Informationen sie teilen möchten.
Die Funde umfassten Berichten zufolge Angaben zur Nationalität von mehr als 2.500 Nutzern sowie vollständige Namen von fast 2.000 Personen. In einigen wenigen Fällen waren auch E-Mail-Adressen öffentlich sichtbar.
W Social erklärt jedoch, dass niemand ohne Genehmigung auf personenbezogene Daten zugegriffen oder diese veröffentlicht habe. In seiner Stellungnahme vom 14. Oktober führt das Unternehmen die sichtbaren Datensätze auf sein Verifizierungssystem und das öffentliche Protokoll zurück, auf dem die Plattform basiert.
Öffentliche Verifizierungsdaten werfen Fragen auf
W Social startete seine öffentliche Betaversion im Juni 2026 und stellte Datenschutz und Identitätsverifizierung als zentrale Funktionen heraus. Die Plattform verlangt eine Verifizierung echter Nutzer, um die Aktivität von Bots zu reduzieren.
Nach Angaben aus dem Juni hatte der Dienst rund 55.000 Nutzer. Die gemeldeten Erkenntnisse belegen nicht, dass bei sämtlichen Nutzern identifizierende Informationen offengelegt wurden.
Nach der Entdeckung veröffentlichte die auf Klimathemen spezialisierte Plattform We Don’t Have Time ein Prüfwerkzeug namens „Have you been Wned?“. Damit können Nutzer überprüfen, welche personenbezogenen Informationen im Zusammenhang mit ihren Konten öffentlich zugänglich sind.
Unterdessen erklärt W Social, dass das Unternehmen den Sachverhalt gemeinsam mit seinem Datenschutzbeauftragten geprüft und die Bewertung dokumentiert habe. Das Unternehmen hält daran fest, dass die Situation keine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO darstellt.
W Social erklärt die Nutzung des AT Protocol
Die Plattform basiert auf dem AT Protocol, das von Bluesky Social PBC entwickelt wurde.
Wenn jemand ein Konto verifiziert, veröffentlicht W Social nach eigenen Angaben einen Verifizierungseintrag über sein Moderationskonto. Dieser Eintrag ermöglicht es anderen, zu bestätigen, dass das Konto einer verifizierten realen Person gehört.
Nach Angaben des Unternehmens enthält der Eintrag den Verifizierungsstatus und das Land, das den Reisepass des Nutzers ausgestellt hat. Außerdem enthält er ein synthetisches Geburtsdatum, das zur Bestimmung einer Altersgruppe verwendet wird.
Zusätzlich enthält der Eintrag den rechtlichen Namen, sofern der Nutzer sich dafür entscheidet, diesen zu teilen.
W Social argumentiert, dass diese Datensätze aufgrund der Systemarchitektur öffentlich zugänglich seien. Forscher stellen jedoch infrage, ob die Plattform beim Umgang mit den von Nutzern bereitgestellten Informationen unbeabsichtigte Offenlegungen ausreichend verhindert.
Forscher hinterfragen die Kontrolle über veröffentlichte Informationen
Sicherheitsforscher berichten, dass die zugänglichen Datensätze Namen, Angaben zur Nationalität, ungefähre Geburtsinformationen und in einigen Fällen E-Mail-Adressen enthalten können.
Sie stellten allerdings auch fest, dass die meisten Datensätze keine unmittelbar identifizierenden Angaben enthielten. Diese Einträge bestanden hauptsächlich aus Kennungen und Zeitstempeln, die zeigten, wann Konten erstellt oder verifiziert wurden.
Die Forscher äußerten Bedenken darüber, dass Informationen in unerwarteten Feldern erscheinen könnten. Beispielsweise könnte eine Person eine Adresse in ein Nachnamenfeld eingeben, wodurch das System diese möglicherweise veröffentlichen würde.
Sie warnten außerdem davor, dass sich versehentlich veröffentlichte Informationen in einem dezentralen System nur schwer entfernen lassen könnten.
Diese Beobachtungen werfen Fragen hinsichtlich der Validierungs- und Veröffentlichungskontrollen auf. Sie belegen jedoch nicht, dass Angreifer das Verifizierungssystem umgangen oder Zugriff auf private Identitätsdokumente erlangt haben.
Datenschutzdebatte um W Social verdeutlicht Phishing-Risiken
Öffentlich zugängliche Identitätsinformationen können Kriminellen dabei helfen, betrügerische Nachrichten überzeugender zu gestalten.
Angreifer könnten beispielsweise Phishing-Versuche anhand des Namens, der Nationalität oder des ungefähren Alters einer Person personalisieren. Sie könnten diese Angaben außerdem mit Informationen aus anderen, unabhängigen Datenlecks kombinieren.
Darüber hinaus verwenden einige Dienste persönliche Hintergrundinformationen bei der Überprüfung im Rahmen einer Kontowiederherstellung. Forscher warnen, dass zugängliche Identitätsdaten in solchen Situationen den Identitätsmissbrauch erleichtern könnten.
Die Bedenken gehen daher über einzelne Datenfelder hinaus. Durch die Kombination mehrerer Informationen können sich mehr Rückschlüsse auf eine Person ziehen lassen als aus jedem einzelnen Datensatz.
Unternehmen erklärt, dass Passbilder und Selfies privat bleiben
Der Verifizierungsprozess von W Social nutzt eine begleitende App namens W Identity. Nutzer stellen über diesen Prozess Identitätsnachweise bereit, beispielsweise einen Reisepass oder ein Selfie.
Das Unternehmen erklärt, dass die App Daten auf dem Gerät des Nutzers speichert. Außerdem würden Dokumente unmittelbar nach Abschluss der Verifizierung von den Servern des Unternehmens gelöscht.
In seiner jüngsten Stellungnahme betonte W Social, dass die öffentlichen Datensätze weder Passbilder noch Passnummern, Selfies oder tatsächliche Geburtsdaten enthalten.
Das Unternehmen bestritt zudem, E-Mail-Adressen über Verifizierungseinträge oder seine Personal-Data-Server-Repositories zu veröffentlichen. Nach Angaben des Unternehmens wird eine E-Mail-Adresse nur dann sichtbar, wenn jemand sie als Nutzerkennung oder Anzeigenamen verwendet.
Im Mittelpunkt der Auseinandersetzung steht die Frage, welche Informationen Nutzer bewusst zur Veröffentlichung freigegeben haben und ob die Plattform diese Offenlegungen ausreichend kontrolliert. W Social hält daran fest, dass die Weitergabe freiwillig erfolgte, während Forscher weiterhin die Datenschutzfolgen der öffentlichen Verifizierungseinträge der Plattform hinterfragen.
0 Kommentare zu „W Social bestreitet Datenleck, nachdem öffentlich zugängliche Identitätsdaten Datenschutzbedenken auslösen“