Sammelklage gegen Crime Stoppers nach Leck von 1,5 Millionen „anonymen“ Hinweisen

Eine kanadische Kanzlei hat eine Sammelklage gegen die Canadian Crime Stoppers Association und deren US-Dienstleister Navigate360 angestrebt. Anlass ist ein Hack, bei dem mehr als 1,5 Millionen Hinweise offengelegt wurden, die Kanadier an die anonyme Verbrechens-Hotline geschickt hatten. Consumer Law Group kündigte die Klage am 30. Oktober an, berichtet Daily Hive. Hauptkläger ist ein Einwohner von Dunnville in Ontario, der Crime Stoppers Namen, Adresse, Telefonnummer und E-Mail gab, als er ein mutmaßliches Drogenhaus in seiner Nachbarschaft meldete.

Was abgeflossen ist und wie es herauskam

Crime Stoppers ist ein Netz gemeinnütziger Organisationen, das Hinweise auf Straftaten an die Polizei weitergibt und den Hinweisgebern Anonymität verspricht. Die Ortsgruppen speichern die Hinweise auf P3, einer Plattform von Navigate360. Eine Hacktivisten-Gruppe namens Internet Yiff Machine stahl die Daten im März und erklärte, sie habe beweisen wollen, dass die Plattform nicht so „anonym“ und „sicher“ sei wie beworben. Die gemeinnützige Organisation Distributed Denial of Secrets gab später eine Kopie an Journalisten und Forscher weiter.

Am 21. Oktober veröffentlichte CBC News ihre Auswertung des kanadischen Teils: mehr als 1,5 Millionen Hinweise aus über 60 Ortsgruppen aus 25 Jahren, mehr als 850.000 davon mit persönlichen Angaben. CBC konnte nicht immer erkennen, ob die Angaben zu einem Hinweisgeber, einem Opfer oder einem Verdächtigen gehörten. Sie reichten aber, um mehr als ein Dutzend Hinweisgeber zu erreichen, von denen einige sagten, sie fürchteten Vergeltung. Die Bundespolizei RCMP erklärte, der Vorfall könne Hinweisgeber, in Hinweisen genannte Personen und Polizisten gefährden, und fügte hinzu, man habe ihr anfangs gesagt, es seien keine kanadischen oder persönlichen Daten betroffen.

Navigate360 bestätigte den Angriff am 23. Oktober öffentlich. Ein Unbefugter habe zwischen dem 21. November 2025 und dem 5. März 2026 Daten aus einem ihrer Systeme kopiert, und es gebe keine Hinweise, dass sie für Betrug oder Identitätsdiebstahl genutzt wurden. Toronto Crime Stoppers zufolge informierte das Unternehmen die Organisation am 18. März über das Leck, nannte das System eine Woche später „sicher und voll funktionsfähig“ und änderte danach mehrmals seine Darstellung, was genau entwendet wurde.

Was die Klage behauptet

Laut der geplanten Klage haben Crime Stoppers und Navigate360 persönliche Daten weder geschwärzt noch verschlüsselt und Datensätze jahrzehntelang aufbewahrt, obwohl sie längst nicht mehr gebraucht wurden. Unter den offengelegten Daten seien Wohnadressen, Telefonnummern, Kennzeichen, Bankdaten und Sozialversicherungsnummern sowie Angaben zu in Hinweisen genannten Personen, Mitarbeitern und Polizisten. Navigate360 wird vorgeworfen, seit dem 18. März von den verdächtigen Aktivitäten gewusst, Betroffene und Öffentlichkeit aber erst im Oktober informiert zu haben. Keine dieser Behauptungen wurde vor Gericht geprüft, und die Sammelklage ist noch nicht zugelassen.

Die Polizei zieht sich zurück, die Aufsicht hat wenig Befugnisse

Bis zum 27. Oktober zählte CBC mindestens 11 Crime-Stoppers-Programme, die keine Hinweise mehr annehmen, darunter alle fünf in Saskatchewan, sowie 24 Polizeibehörden, die ihre Zusammenarbeit ausgesetzt haben. Andere nutzen das Programm weiter: Die Polizei von Calgary sagte Global News am 30. Oktober, sie sei mit den zusätzlichen Sicherheitsmaßnahmen zufrieden, und einige RCMP-Dienststellen warben weiter dafür.

Am 27. Oktober leitete der kanadische Datenschutzbeauftragte Philippe Dufresne eine Untersuchung ein, die sich auf die Schutzmaßnahmen von Navigate360 richtet. Crime Stoppers selbst kann er nicht prüfen: Das Bundesgesetz für den Privatsektor gilt in der Regel nicht für gemeinnützige Organisationen, und die Aufsicht in Ontario ist nur für den öffentlichen Sektor zuständig. CBC liegt zudem ein Rundschreiben vom Juni vor, in dem der Präsident des Verbands den Ortsgruppen riet, sich nicht an Datenschutzbehörden zu wenden. Der Juraprofessor Michael Geist von der Universität Ottawa sagte CBC, wer Entschädigung wolle, müsse auf Sammelklagen setzen, weil das geltende Datenschutzrecht Betroffenen wenig biete.