Datenpanne bei der Unesco: Unesco ist zu transparent
Wer sich in den vergangenen Jahren bei der UN-Organisation in Paris beworben hat, muss damit rechnen, dass Dritte seine Daten eingesehen haben. Sie waren im Netz frei verfügbar.
Die Unesco-Zentrale in Paris. Bild: dpa
PARIS dpa | Nach Sony, Apple und Facebook treffen die Datenschutz-Schlagzeilen auch die Unesco. Die UN-Organisation für Bildung, Wissenschaft und Kultur hat über Jahre hinweg Bewerbungsunterlagen für jeden einsehbar ins Internet gestellt. Die Dokumente enthielten nach Recherchen von Spiegel Online Informationen über den Bildungsweg, die bisherigen Arbeitgeber und zum Teil auch Angaben über Jahresgehälter.
Betroffen waren zwei Datenbanken, eine mit Bewerbungen um Praktikumsplätze, die andere für reguläre Posten innerhalb der Organisation. "Ja, es gab ein echtes Problem", bestätigte eine Unesco-Sprecherin am Donnerstagabend der Nachrichtenagentur dpa in Paris. Die Sicherheitslücken seien nach ihren Informationen aber mittlerweile geschlossen.
Nach Recherchen von Spiegel Online waren Zehn-, womöglich Hunderttausende Bewerbungsunterlagen frei im Internet abrufbar - inklusive Anschreiben und Adressen. Aus den Bewerbungen erfahre man zum Beispiel exakt, wie viel ein leitender Mitarbeiter im diplomatischen Dienst Pakistans verdiene (einen sechsstelligen Dollar-Betrag) und welche Angestellten der Weltbank zur Unesco wechseln wollen.
Die Bewerber kämen aus aller Welt. Unter ihnen seien Diplomaten und Wissenschaftler. "Die Unesco und ich, das könnte eine Liebesgeschichte werden", zitiert Spiegel Online aus dem Anschreiben einer Bewerberin. Die stichprobenweise eingesehenen Bewerbungen stammten aus den Jahren 2006 bis 2011.
"Keinesfalls zur Weitergabe an Dritte bestimmt"
Die Unterlagen von Praktika-Bewerbern waren demnach völlig ungeschützt über die Eingabe einer bestimmten Internetadresse (URL) abrufbar. Um zu einem anderen Bewerber zu springen, soll es gereicht haben, die Kennziffer in der URL zu verändern. Die Bewerbungen für reguläre Unesco-Stellen waren nur einsehbar, wenn man sich als Bewerber bei der Unesco registriert hatte - dazu reichte eine Mail-Adresse, wie es heißt. Zu anderen Bewerbern sei man wiederum über die Veränderung der Kennziffer in der Adresszeile gekommen.
"Ich habe meine personenbezogenen Daten der Unesco zur internen Datenverarbeitung zur Verfügung gestellt, diese waren keinesfalls zur Weitergabe an Dritte bestimmt", wird ein betroffener Bewerber zitiert.
Die Unesco muss sich nun auch den Vorwurf gefallen lassen, wochenlang nicht auf Hinweise auf das Sicherheitsproblem reagiert zu haben. Ein Unesco-Bewerber soll das Problem bereits vor mehr als einem Monat entdeckt und die Organisation schriftlich darüber informiert haben. Die Unesco wollte sich dazu nicht äußern. Bis zum Donnerstagnachmittag sollen weiter Bewerbungen zugänglich gewesen sein.
Erst am Dienstag hatte der Elektronikkonzern Sony bekanntgegeben, dass Hacker in der Vorwoche das Onlinenetzwerk seiner Playstation und des Musikdienstes Qriocity geknackt und sensible Daten gestohlen hatten. Das Unternehmen informierte daraufhin weltweit rund 77 Millionen Nutzer per E-Mail und warnte sie vor möglichen Datendiebstählen.
