US-Richter lässt Studio Torrent-Nutzer über ihre Gmail- und Yahoo-Konten enttarnen
Ein US-Bundesrichter hat dem Erotikstudio FlavaWorks erlaubt, Google, Yahoo, Microsoft und drei weitere Unternehmen per Subpoena zur Herausgabe von Daten über Nutzer des privaten Torrent-Trackers Gay-Torrents.org aufzufordern. Die Studio-Anwälte setzen dabei nicht auf IP-Adressen aus Torrent-Schwärmen, sondern auf die E-Mail-Konten, mit denen sich die Nutzer auf der Seite registriert haben. Richter John Robert Blakey vom Northern District of Illinois gab dem Antrag am 14. Oktober statt, TorrentFreak berichtete am 27. Oktober darüber.
FlavaWorks hatte Anfang des Jahres die Betreiber des Trackers und 325 Nutzer verklagt. Die Seite ging bald darauf offline, später verkleinerte das Studio die Liste auf 39 Nutzer. Die meisten von ihnen sowie mehrere Administratoren werden weiterhin als anonyme John Does geführt.
Was die Subpoenas verlangen dürfen
Die Anordnung betrifft Google, Yahoo, Microsoft, AT&T, Cloudflare und Newfold Digital, den Eigentümer von Bluehost. Jede Subpoena ist auf die E-Mail-Adressen der Beklagten bei dem jeweiligen Anbieter beschränkt. Für den Zeitraum ab 1. Januar 2025 dürfen die Unternehmen nach Folgendem gefragt werden:
- Identität: Name, Postanschrift und Telefonnummer des Kontoinhabers.
- Verknüpfte Adressen: hinterlegte Zweit-, Wiederherstellungs- und Zwei-Faktor-E-Mail-Adressen.
- Letzter Login: die zuletzt für den Zugriff genutzte IP-Adresse mit Datum und Uhrzeit.
Laut der Liste des Studios nutzen 22 Beklagte Gmail, neun Yahoo, drei Hotmail und einer AT&T. Zwei weitere verwenden eigene Domains, registriert über Cloudflare und Bluehost. Einen Teil des Antrags lehnte der Richter ab: FlavaWorks wollte auch Rechnungsnamen und -adressen von den Mailanbietern sowie eine Subpoena gegen den Zahlungsdienst Stripe und bekam beides nicht.
Warum das Studio auf IP-Adressen verzichtet
Rechteinhaber sammeln in Torrent-Fällen meist IP-Adressen in einem Schwarm und fragen Internetanbieter, wer für den Anschluss zahlt. FlavaWorks sagt, es habe auch IP-Daten der Beklagten, setze aber auf E-Mail-Konten, und nutzt dafür ein Argument, das sonst Beklagte vorbringen. „Eine IP-Adresse identifiziert einen Internetanschluss, keine Person", schrieb das Studio. Sie führe „zu dem, der die Rechnung für einen Haushalt, ein Büro, ein Uni-Netz oder einen gemeinsam genutzten Adresspool des Providers zahlt, und sie lässt sich mit einem VPN verbergen". Ein E-Mail-Konto gehöre dagegen einer Person.
Genau hier liegt die Schwachstelle für alle, die ihre IP verbergen, sich aber mit einer persönlichen Adresse anmelden. Ein VPN ändert nichts daran, was Gmail oder Yahoo bereits über den Kontoinhaber wissen: Telefonnummer, Wiederherstellungsadresse und die IP des letzten Logins, falls man sich einmal ohne VPN angemeldet hat.
Ein Administrator fehlt auf der Liste. Diese Person nutzte eine ProtonMail-Adresse, und eine US-Zivil-Subpoena erreicht das Schweizer Unternehmen nicht direkt. Proton unterliegt Schweizer Recht, und sein VPN-Dienst hat alle 47 gerichtlichen Anordnungen zur Enttarnung von Nutzern abgelehnt, weil er keine Logs speichert.
Woher das Studio die E-Mail-Adressen hat
Auf einem Tracker, der nur auf Einladung zugänglich ist, sehen normalerweise nur die Betreiber die E-Mail-Adressen der Mitglieder. Wie FlavaWorks sie bekommen hat, geht aus den Akten nicht hervor. In einem Statusbericht vom September schrieb das Studio, es habe „zudem die Kooperation einer Person mit direkter Kenntnis des Seitenbetriebs gewonnen". Die beklagten Mitglieder wurden ausgewählt, weil die E-Mail ihres Tracker-Kontos zu einem Konto auf einer der eigenen Seiten von FlavaWorks passte.
Die Daten werden nicht sofort herausgegeben. Die Anordnung erlaubt Nutzern und Anbietern, die Aufhebung der Subpoenas zu beantragen, bisher zeigt die Akte aber keinen solchen Antrag. Google hatte Anfang des Jahres unter Berufung auf den ersten Verfassungszusatz Einwände gegen eine ähnliche Subpoena von FlavaWorks erhoben, laut dem Studio aber in jenem Fall später Abonnentendaten geliefert. Einige Mitglieder haben sich bereits verglichen, darunter ein Beklagter in einer separaten Klage von FlavaWorks nach dem Anti-Mafia-Gesetz RICO gegen 75 Nutzer desselben Trackers.
