openPetition: Ich weiß, wo du wohnst

Eine Unterschrift gegen Markus Lanz, zu hohe Kaffeepreise in der Unimensa oder eine Stimme für den Weltfrieden. Ein Klick; und das schlechte Gewissen ist beruhigt. Man hat der Welt die Chance gegeben, ein wenig besser zu werden. Doch ein Klick kann weitreichende Folgen haben.

Unterschreibt ein User beim deutschen Spitzenreiter openPetition, muss er Name, genaue Adresse und einen E-Mailkontakt hinterlegen. Daten, die openPetition speichert und teilweise an den Initiator der Petition übermittelt. Dieser kann die Adressen aller Unterzeichner seiner Petition einsehen.

Um Spuren zu verwischen, reicht ein Gang ins öffentliche Internetcafé

Da die Identität des Petitionsinitiators nicht systematisch überprüft wird, kann sich hinter einem beliebigen Namen im Grunde alles und jeder verbergen. Zwar speichert openPetition die IP-Adresse des Rechners, von dem der Petent seine Eingaben aus macht. Doch IP-Adressen sind leicht zu fälschen. Um seine Spuren zu verwischen, reicht ein Gang ins öffentliche Internetcafé oder die Installation eines Tor-Browsers. Weder unüberprüfte Userdaten noch IP-Adressen-Speicherung erlauben eine eindeutige Identifikation des Petitionstarters.

So können beispielsweise Firmen kostenlos an hunderttausende Datensätze kommen. Eine gut laufende Petition “Gegen die Tötung von Straßenhunden” und ein Hersteller von Trockenfutter weiß, wer für Werbebriefe empfänglich sein könnte.

Bis jetzt noch kein Daten-Missbrauchsfall

Die Weitergabe und kommerzielle Verwendung der Userdaten widerspricht zwar den Nutzungsbedingungen, doch wer es darauf anlegt, kann dank Tor-Browser von openPetition nicht identifiziert werden.

Schwerer wiegt neben dem kommerziellen Diebstahl aber noch etwas anderes: Denkbar sind beispielsweise Petitionen “Gegen Nazis”, die selbst von Rechtsextremen angelegt worden sind, um so an Adressdaten von antifaschistischen Usern zu gelangen. Der unschuldige Klick für die gute Sache, kann so schnell ernste Konsequenzen haben.

Nach Angaben von Fritz Schadow von openPetition sei ein Missbrauch bis jetzt aber nicht vorgekommen. “Wir stehen in Kontakt zu den meisten Petitionsinitiatoren”, sagte Schadow, “wir wissen bei den Meisten, wer dahinter steckt.”

Berliner Beauftragter für Datenschutz fordert End-zu-End-Verschlüsselung

Der Berliner Beauftragte für Datenschutz und Informationsfreiheit Alexander Dix sieht vor allem in der Übermittlung der Daten von Unterschreibern  zu dem Initiatoren der Petition ein Problem. Die Mails würden ohne End-zu-End-Verschlüsselung versandt. Dritte könnten dabei leicht mitlesen. Dix fordert von dem Betreiber von openPetition deshalb Nachbesserungen. Derzeit prüft die Berliner Behörde das Angebot von openPetition noch. Weitere Schwachstellen wollte Dix deswegen nicht ausschließen.

Michel Penke