Vorsicht: Microsofts docs.com-Site legt Dateien offen (Datenskandal)

Von Microsoft gibt es den Dienst doc.com, auf den Benutzer ihre Dokumente hochladen können. Dumm nur, dass diese Dokument durch Dritte durchsuch- und einsehbar sind. Da kann man Zeugnisse, Lebensläufe und teils sehr viel sensitivere Dokumente einsehen.

Stell dir vor, Du nutzt einen Webdienst, um Dokumente mit deinen Freunden, Arbeitskollegen oder einem anderen, definierten Personenkreis zu teilen. Und dann sind diese Dokumente für die Allgemeinheit auffind- und durchsuchbar, ohne dass Du dieses mitbekommst.

Icb hin über diesen Artikel auf das Thema aufmerksam geworden. Beim Microsoft-Dienst docs.com lassen sich Dateien mit Freunden oder der Familie per Internet teilen. So weit so gut – und als Komfortfunktion ist das Ganze auch in Microsoft Office integriert. Da kann ja nichts mehr schief gehen.

Wir teilen einfach mal – mit Freunden – und mit aller Welt

Nun haben Benutzer festgestellt, dass man über die Suchfunktion von docs.com nach Dokumenten suchen kann – was natürlich gut ist (man könnte in eigenen Dokumenten suchen). Nicht so prickelnd dürfte aber die Erkenntnis sein, dass man beliebige Dokumente von Fremden über Suchbegriffe auffinden und dann ansehen kann.

Gesperrt ist nicht gesperrt …

Bei MS PowerUser schreibt man zwar, dass Microsoft die Suchfunktion schnell gesperrt habe, nachdem das bekannt geworden sei. Aber bei meinem kurzen Test ist das wohl nicht vollständig passiert. Ich habe kein Konto bei docs.com und konnte auf Anhieb Dokumente mit Kreditverträgen, Rechnungen, Angeboten oder anderem Material aufspüren. Auch bei ZDNet gibt es den Hinweis, dass die Funktion seit Sonntag wieder zurück sei.

Zeugnisse, Bewerbungen, Anträge und Sensitives

Besonders pikant: Gleich bei der ersten Suche nach Zeugnissen bin ich auf die Daten einer Schweizer Taxi-Chaufeuse gestoßen, deren persönliche Daten als Word Backup-Datei (.wbk) eher unfreiwillig „in der Cloud“ auf docs.com gelandet sein dürften. Auch eine Bewerbung um eine Stelle als Betriebsprüfer ist mir unter die Augen gekommen. Kaufverträge (notariell für Wohnungseigentum), eine Selbstauskunft mit persönlichen Daten wie Telefonnummer, Verdienst etc., Anträge auf Ratenzahlungen, Verdienstbescheinigungen (für Projektleiter), Verträge (Anstellung und Kündigung), Eingaben auf Strafbefehle, aber auch eine Kopie von Kopie von Horst mit seinen E-Mail-Adressen samt Zugangsdaten/Kennwörtern schwirrt da, öffentlich einsehbar, herum.

Ich fasse es nicht, was die Leute in die Cloud alles einstellen, ohne sich den geringsten Gedanken um Sicherheit zu machen. Ich glaube, ich bin einfach eine Dumpfbacke, dass ich hier über Datenschutz und Datenleaks blogge. Das interessiert die Leute nicht oder überfordert sie schlicht.

Der Nutzer ist schlicht überfordert!

Bzw. den Nutzern ist eher unklar, auf welchem dünnen Eis sie wandeln. Wenn dann Angestellt noch brisantes Geschäftsmaterial oder Verträge über docs.com teilen, ist der GAU perfekt. Bei heise.de schreibt man hier, dass Administratoren bei Office 365 das Teilen von Dokumenten über docs.com explizit erlauben müssen. Heißt im Gegenzug: Früher lief das alles freifliegend und im Google Cache kann man das Zeugs möglicherweise finden.

Der Vorfall zeigt wieder einmal, dass das ganze Angebot zum Teilen, die Einbindung in Office 365 (mach es den Leuten so einfach als möglich) absoluter Humbug ist. Die Leute nutzen es und stellen unbewusst Wichtiges, Sensitives oder Privates im Internet zur allgemeinen Ansicht bereit. Das kann es in meinen Augen nicht sein.

Und kommt mir bitte nicht “selbst schuld, wer zu blöd ist”. Mir ist klar, dass die Blog-Leser hier nicht zur Zielgruppe gehören. Aber die Masse der Anwender da draußen ist mit 99 % der Funktionen, die heute per IT angeboten werden, überfordert. Man hangelt sich so durch und ist froh, wenn es zu klappen scheint. Dass da Geschäftsvorgänge von den Nutzern begriffen und in aller Konsequenz abgeschätzt werden können, das halte ich für einen Fehlschluss. Das gehört da nicht hin – ich konstatiere ein weiteres kolossales Versagen von Microsoft. Denn ich hoffe mal nicht, dass jemand seine privatesten Dokument und Verdienstbescheinigungen bei Facebook einstellt, in der Hoffnung, diese seien da sicher vor Einsichtnahme durch Dritte.