Archiv für den Monat: April 2011

Datenschutz-GAU beim Sony PlayStation Network

Use DRM on EverythingNachdem man als aufgeweckter Internetnutzer zuerst über Online-Portale und Blogs auf den Datenklau bei Sony aufmerksam wurde, hat mir Sony nun heute persönlich den Hack des PlayStation Networks (PSN) vage eingestanden. Dabei hätte ich die Email fast übersehen, beginnt der Betreff doch mit „Service Update – ….“. Der Inhalt der Email stimmt mit dem vorab veröffentlichten Statement überein.

Nun kann man zu dem PSN-Hack stehen wie man will. Am Ende ist der Kunde der Dumme, der nun um seine Daten bangt. Es gibt durchaus Menschen, die Sony selbst eine Mitschuld dafür in die Schuhe schieben. Denn Sony hat sich wie kaum eine andere Firma unbeliebt gemacht mit strategischen Entscheidungen und Maßnahmen im Zusammenhang mit der Playstation 3. Die rechtsstaatlich zweifelhafte Beschaffung von persönlichen Daten von unliebsamen PS3-Hackern stellt da nur die Spitze des Eisberg da. Und seit Jahren steht Sony immer wieder im Mittelpunkt der Kritik der Community, wenn es um die Gängelung der Kunden und Einschränkung von Kundenrechten geht (Beispiele: Rootkit bei Audio-CDs, DRM). Man sollte auch beachten, dass Sony auch ein Medienunternehmen ist, welches maßgeblich an der Verfolgung von Urheberrechtsverletzungen im Internet beteiligt ist (inkl. der Abmahnindustrie). Sicherheit heisst für Sony hauptsächlich „die eigene Geschäftsgrundlage sichern“. Mit Sicherheit im Sinne der Kunden hat das wenig zu tun.

Aber solange Sonys Produkte und Dienstleistungen ihren eigentlichen, begrenzten Zweck erfüllten, habe ich mich dadurch nicht über Gebühr eingeschränkt gefühlt (ein Vorteil, wenn man nicht im Mainstream schwimmt und z.B. kein Windows einsetzt). Die PS3 als Multimedia-Zentrale und Sonys Video-Download-Dienst fand ich trotz allem gelungen. Bei zu großer Gängelung (wie DRM-Musik) habe ich eben nicht gekauft.

Jetzt ist aber ein Punkt gekommen, wo Sony ganz eindeutig handeln muss im Sinne der Verbraucher. Denn wer seine Dienste und Produkte so gut abschottet (u.a. durch etliche „Sicherheitsupdates“ der PS3) und Zuwiderhandlungen vehement verfolgt, von dem kann man doch wohl verlangen, die persönlichen Daten der Kunden ebenso gut abzuschotten. Oder? Der Vorfall zeigt eindeutig, dass Sony die falschen Prioritäten setzt, technisch beim Datenschutz nicht auf der Höhe der Zeit ist und geschludert hat. Außerdem lässt die Unternehmenskommunikation zu wünschen übrig. Inwiefern waren z.B. die geklauten Daten verschlüsselt? Sony verliert kein Wort darüber.

Gleichwohl sind die Kriminellen, die die Kundendaten entwendet haben, mit allen rechtsstaatlichen Mitteln zu verfolgen. Denn mit einem eher „ethischen Angriff“ a la „wir legen mal den Dienst lahm“ als eine Art Demonstration oder Streik hat der aktuelle Datenklau nichts mehr zu tun.

Von daher fordere ich von Sony, die folgende Maßnahmen bei einem Neustart des PSN umzusetzen:

  • Der technische Datenschutz muss verbessert und im Detail erklärt werden. Dazu gehört z.B., dass Passwörter und sensible Daten wie Kreditkartennummern verschlüsselt abzuspeichern sind. Und zwar wirksam verschlüsselt mittels Hash und Salt.
  • Diese technischen Maßnahmen müssen ausreichend dokumentiert sein (z.B. in den AGB), damit ich als Kunde deren Wirksamkeit abschätzen kann. Es soll mir niemand mit „Geschäftsgeheimnissen“ oder „Security by obscurity“ kommen. Beim Autokauf erfahre ich auch, ob und welche Schlösser verwendet und welche Airbags eingesetzt werden.
  • Es werden nur Daten erhoben, die unbedingt nötig sind. Ist die Angabe der Adresse wirklich zwingend nötig? Die Verwendung von Pseudonymen ist dem Kunden bevorzugt anzubieten.
  • Sony überdenkt seine Geschäftspolitik und stellt sich mehr auf Kundenwünsche ein. Es muss Friede geschlossen werden mit der Hacker-Community, aber nicht über Rechtsanwälte sondern in einem offenen Dialog. Das mag zwar mit dem aktuellen Datenklau nichts zu tun haben, würde aber Sony sehr gut tun.
  • Sony unterstützt die Politik und die Behörden bei der Definition und Verbesserung allgemeiner Datenschutzvorgaben (im o.g. Sinne). Hier ist natürlich vor allem die Politik gefragt. Es kann nicht sein, dass für jeden Mist im täglichen Leben Vorgaben gemacht werden, im digitalen Leben die Unternehmen aber machen dürfen, was sie wollen (zumindest ohne Folgen). Mit Worten der Politik: Es darf keinen rechtsfreien Raum in Unternehmen geben. Da nützen jedoch nicht noch mehr schwammige Gesetze, sondern ins Detail gehende Vorgaben. So wie man z.B. beim Auto die Profiltiefe der Reifen vorgibt, müssen technische Mindeststandards im Datenschutz definiert werden.

Sollte Sony dem nicht entsprechen, werde ich meine Konsumgewohnheiten ändern. Letztlich bleibt dann nur ein Boykott aller Produkte und Dienstleistungen von Sony.

Weitere Infos:

Updates: