Google+ bricht wegen Verletzung ab, da Google neue Datenschutzfunktionen anbietet


Google kündigte an Montag, dass es sein soziales Netzwerk von Google+ maskiert, nach Enthüllungen in einem Wallstreet Journal berichten, dass das Unternehmen keinen kürzlich entdeckten Fehler offenlegte, der Daten von bis zu 500.000 Nutzern von Google+ Nutzern seit 2015 offen gelegt hatte. Im selben Atemzug führte das Unternehmen neue Tools ein, um den Nutzern mehr Kontrolle über die Daten zu geben, die sie mit Apps und Diensten teilen Herstellen einer Verbindung mit Google-Produkten

Die Dissonanz verkörpert die breiteren Spannungsdaten, mit denen sich Giganten wie Google und Facebook in letzter Zeit herumgeschlagen haben, um ihre konkurrierenden Prioritäten in Bezug auf den Schutz des Benutzervertrauens und die Erzielung eines gesunden Gewinns in Einklang zu bringen.

"Das Ausblenden von Datenbelastungen ist schädlich für die Benutzer – der Versuch, die Katze in der Tasche zu behalten, ist keine nachhaltige Strategie", sagt Lukasz Olejnik, Sicherheits- und Datenschutzforscher und Mitglied der W3C Technical Architecture Group. In diesem Fall hat Google es absichtlich für Monate ruhig gehalten, ohne offensichtliche Pläne, es jemals jemand wissen zu lassen.

Google Minus

Die Sicherheitsanfälligkeit in Google+, die das Unternehmen im März entdeckt und behoben hat, bezog sich speziell auf eine der Programmierschnittstellen des Dienstes für Drittentwickler zum Zugriff auf Benutzerprofildaten. Google sagt, dass der Bug Daten wie Benutzernamen, E-Mail-Adressen, Berufe, Geschlechter und Alter offenlegte, aber das Unternehmen fand keinen Beweis dafür, dass jemand es ausnutzte, um Benutzerdaten zu stehlen, oder die Daten in einer der 438 Anwendungen missbrauchte, die die API verwendet haben könnten während der Fehler war live. Das Unternehmen fand und untersuchte den Fehler intern und nicht von einem externen Forscher und entschied sich dafür, es nicht zu offenbaren, bis die Wallstreet Journal Bericht zwang sie effektiv dazu.

"Wann immer Nutzerdaten betroffen sind, gehen wir über unsere gesetzlichen Anforderungen hinaus und wenden mehrere Kriterien an, die sich auf unsere Nutzer konzentrieren, um festzustellen, ob sie eine Benachrichtigung bereitstellen müssen", schrieb Ben Smith, Googles Vice President of Engineering am Montag. "Unser Datenschutz- und Datenschutzbüro hat dieses Problem untersucht und dabei die Art der Daten untersucht, ob wir die zu informierenden Benutzer genau identifizieren konnten, ob Anzeichen für einen Missbrauch vorlagen und ob ein Entwickler oder Benutzer irgendwelche Maßnahmen ergreifen konnte Antwort. Keine dieser Schwellenwerte wurden in diesem Fall erfüllt. "

"Wir haben den Punkt überschritten, an dem Google entscheiden sollte, ob Google genug getan hat, um ein Problem zu beheben."

Marc Rotenberg, EPIC

Das Unternehmen sagt, dass die Google+ Entdeckung den Fokus auf die Erweiterung des Schutzes der Privatsphäre der Nutzer gerichtet hat. Diese Initiative namens Project Strobe gibt Nutzern mehr Kontrolle über ihre Kontodaten und welche Informationen werden mit Apps von Drittanbietern geteilt. Dies erweitert auch spezifisch mehr Schutz und Kontrollen auf Apps, die mit Gmail- und Android-Apps interagieren. Insbesondere wird Google jetzt den Grad beschränken, in dem mobile Apps auf die Anrufprotokoll- und SMS-Berechtigungen eines Android-Benutzers zugreifen können. Das Unternehmen beendet auch die Fähigkeit von Entwicklern, Kontaktdaten aus der Android Contacts-API abzurufen, wodurch sie nicht nur Zugriff auf die von Ihnen angerufenen Personen erhalten, sondern auch auf die Dauer.

Google hat am Montag außerdem angekündigt, dass alle Anwendungen von Drittanbietern – einschließlich mobiler Apps -, die auf sensible Google Mail-APIs zugreifen, im Rahmen der erweiterten Schutzmaßnahmen einer gründlichen Überprüfung unterzogen werden müssen. "Um die Benutzerdaten sicher zu halten, müssen Apps ein Mindestmaß an Funktionen für den sicheren Umgang mit Daten und das Löschen von Benutzerdaten bei Benutzeranfragen aufweisen." Google wird eine unabhängige Wirtschaftsprüfungsgesellschaft beauftragen, um die Bewertungen abzuschließen, und wird den Entwicklern 15.000 bis 75.000 US-Dollar oder mehr berechnen, um sie zu erledigen.

Google hatte diese Schutzmaßnahmen offenbar monatelang durchgeführt, unabhängig von der Google+ Sicherheitslücke, aber Nachrichten über die ungenutzte Datenexposition zeigten am Montag ein kompliziertes Bild von Googles Transparenzverpflichtung.

"Ich denke, die neuen Ankündigungen könnten positive Schritte sein", sagt Marc Rotenberg, Präsident des Electronic Privacy Information Center. "Aber ich denke, wir haben den Punkt erreicht, an dem Google entscheiden sollte, ob Google genug getan hat, um ein Problem zu lösen. Ein Unternehmen, das selbst entscheidet, ob es es melden möchte oder nicht, ist nie die richtige Antwort, weil es keinen Anreiz gibt die Kritik und den Aktienschlag zu nehmen. "

Die Regulierungsgleichung

Viele Analysten sind mit der internen Einschätzung von Google einverstanden, dass das Unternehmen nicht gesetzlich zur Offenlegung des Vorfalls verpflichtet war. Aber Rotenberg weist darauf hin, dass die Federal Trade Commission nach einer Reihe von Vorfällen im Laufe der Jahre – unter anderem im Zusammenhang mit dem Google+ Vorläufer Google Buzz – den Vorfall im Zusammenhang mit der größeren Erfolgsbilanz des Unternehmens aufnehmen könnte. "Der Zweck der Meldung von Datenpannen besteht darin, Benutzer auf die Möglichkeit eines Risikos aufmerksam zu machen, aber es auch öffentlichen Beamten zu ermöglichen, die Praktiken von Unternehmen zu verfolgen, die mehr oder weniger anfällig für Verstöße sind", sagt Rotenberg. "Die Schaffung unabhängiger Rechenschaftspflicht ist entscheidend."

"Das Ausblenden von Datenbelastungen ist schädlich für die Benutzer – der Versuch, die Katze in der Tasche zu behalten, ist keine nachhaltige Strategie."

Lukasz Olejnik, Technische Architekturgruppe W3C

Die Episode bringt auch Diskussionen über regulierende Unternehmen, die nicht nur Datenverstöße offen legen, sondern auch Daten offen legen, erneut in den Vordergrund. Dies könnte die unbeabsichtigte Konsequenz haben, Unternehmen davon abzuhalten, aggressive interne Systemtests und Schwachstellenanalysen durchzuführen, um Risiken proaktiv zu erfassen. Angesichts des hohen Bekanntheitsgrads des Google+ Vorfalls könnte es ein Testfall dafür werden, wie Google und andere Unternehmen in Zukunft in ähnlichen Situationen agieren könnten.

"Ich bin mir sicher, dass Google die möglichen Risiken und Vorteile für gesetzliche Haftung, politische Ziele, Reputation, Benutzervertrauen abgewogen hat. Und ich denke, ihre Leute werden genau hinsehen, um zu sehen, wie sich dieser Vorfall für Presse, Öffentlichkeit und politische Entscheidungsträger auswirkt." sagt Tiffany Li, eine Resident Fellow an der Yale Law School Information Society Project und ehemalige In-House-Anwalt für die Kodierung Bildung startup Generalversammlung. "Das wird Einfluss darauf haben, wie sie sich entscheiden, das nächste Mal zu tun, wenn dies passiert, denn das ist kein System, das jemals hundertprozentig sicher ist."

Für die Nutzer überschatteten die Nachrichten, dass Google Informationen über einen Datenschutzausschluss zurückgehalten hatte, wahrscheinlich die Bemühungen des Unternehmens, proaktiv in Bezug auf den Datenschutz zu agieren. Und es unterstreicht die Spannungen, die Google jeden Tag navigiert. "Datenschutz sollte als ein Problem der Technologie- und Technologiepolitik und nicht als ein isoliertes juristisches Rätsel betrachtet werden", sagt Olejnik. "All das ist jetzt ineinander verwoben."


Mehr große WIRED Geschichten