Beschwerden von Belarussen an Behörden landen in einem Telegram-Suchbot
Beschwerden, die Belarussen über Obrashcheniya.bel, das staatliche Portal für offizielle Eingaben, an Behörden geschickt haben, tauchen jetzt in einem Telegram-Suchbot auf. Das unabhängige Medium Zerkalo fand in einem Bot namens Sherlock Datensätze mit der Kennzeichnung "users of obrashcheniya.bel" und prüfte, dass es sich um echte Eingaben handelt. Der Bericht erschien am Abend des 9. Oktober. Am Morgen des 10. Oktober teilte das Ministerium für Kommunikation und Informatisierung mit, der Zugang zum Portal sei wegen technischer Arbeiten "vorübergehend eingeschränkt". Ein Datenleck erwähnt es nicht.
Was abgeflossen ist
Laut Zerkalo liefert eine Suche im Bot den vollständigen Namen, die Telefonnummer und die E-Mail-Adresse einer Person, bei manchen Nutzern auch die nationale Identifikationsnummer, dazu den vollen Text der Eingabe. Datumsangaben und angehängte Dokumente fehlen. Zerkalo erklärt, mit den ihm zur Verfügung stehenden Mitteln lasse sich nicht feststellen, wie viele Menschen betroffen sind. Auf dem Portal sind mehr als 413.000 Privatpersonen sowie 19.000 Behörden und Organisationen registriert, und seit 2023 ist es der einzige Weg, eine elektronische Eingabe an eine belarussische Behörde zu schicken.
Um zu belegen, dass die Daten echt sind, veröffentlichte Zerkalo einige Einträge. Einer gehört Sergei Belikov, dem Direktor des staatlichen Zentrums für digitale Entwicklung, das das Portal gebaut hat, und besteht aus einem einzigen Wort: "Test". Wahrscheinlich war er einer der ersten Nutzer. Die übrigen Beispiele sind unter anderem ein Dankesschreiben an Ärzte und die Forderung an eine Regionalzeitung, einen Artikel zu widerrufen.
Warum ein Suchbot heikel ist
Suchbots, auf Russisch "probiv"-Dienste genannt, nehmen einen Namen oder eine Telefonnummer und liefern, was geleakte Datenbanken über die Person enthalten: Adresse, Geburtsdatum, Fotos und jetzt auch Beschwerden. Viele werden aus Russland betrieben und bewegen sich in einer rechtlichen Grauzone: Sie beruhen auf geleakten Datenbanken, die auf spezialisierten Märkten weiterverkauft werden, und Telegram sperrt sie regelmäßig wegen Verstößen gegen seine Regeln. Zerkalo weist darauf hin, dass belarussische Sicherheitsbeamte eingeräumt haben, solche Bots bei ihrer Arbeit zu nutzen, und dass Betrüger dieselben Daten verwenden, um Menschen anzurufen und sie zur Freigabe ihres Bankzugangs zu überreden.
Eine Eingabe ist oft eine Beschwerde über einen Beamten, einen Nachbarn oder einen Arbeitgeber. Sobald der Text in einem durchsuchbaren Bot mit einer Telefonnummer verknüpft ist, kann jeder mit Zugang sehen, wer sich worüber beschwert hat.
Keine offizielle Meldung
Nach belarussischem Recht muss ein Betreiber ein Datenleck dem Nationalen Zentrum für den Schutz personenbezogener Daten melden, das die größten Vorfälle veröffentlicht. In diesem Jahr meldete es Verstöße bei belarussischen Kunden von Dodo Pizza, General Leasing und Maxbet-M. Zu Obrashcheniya.bel hat es sich nicht geäußert. Zerkalo schreibt, das bedeute entweder, dass die Administratoren des Portals noch nichts von dem Leck wissen, oder dass sie beschlossen haben, es nicht zu melden. Die Mitteilung des Ministeriums nennt keinen Grund für den Ausfall und keinen Termin für die Wiederherstellung des Dienstes. Zum Vergleich: Schwedens Aufsichtsbehörde verhängte in diesem Jahr ein Bußgeld gegen einen IT-Dienstleister wegen eines Lecks, von dem jeder fünfte Einwohner des Landes betroffen war.
Wenn Sie das Portal genutzt haben
- Behandeln Sie Anrufe, die Ihre Eingabe erwähnen oder sich als Behörde ausgeben, an die Sie geschrieben haben, als möglichen Betrug. Legen Sie auf und rufen Sie die Behörde unter ihrer offiziellen Nummer zurück.
- Suchen Sie sich nicht selbst in Suchbots. Zerkalo warnt, dass deren Betreiber protokollieren können, wer wonach gesucht hat, und diese Aufzeichnung verkaufen oder weitergeben.
- Wurden Ihre personenbezogenen Daten missbraucht, können Sie beim Nationalen Zentrum für den Schutz personenbezogener Daten Beschwerde einreichen.
Geleakte Datensätze verschwinden nicht, wenn eine Website vom Netz geht. Die Eingaben liegen bereits im Bot, und die Schließung des Portals wegen Wartungsarbeiten holt sie dort nicht heraus.
