Clouddienst Dropbox droht FTC-Klage wegen Datensicherheit

Der Sicherheitsforscher Christopher Soghoian hat bei der US-Handelsbehörde FTC Beschwerde gegen Dropbox eingelegt.
Seiner Ansicht nach erfüllen Dropbox‘ Machenschaften den Tatbestand des Betrugs („Deceptive Trade Practice“). Demnach haben die Betreiber des Cloud-Speicherdiensts ihre Nutzer mutwillig getäuscht, was die Sicherheit der gespeicherten Daten angeht.

„Dropbox hält sich nicht an die branchenüblichen Standards beim Einsatz von Verschlüsselungstechnologien“, heißt es in der Beschwerde (PDF). „Die Angestellten von Dropbox haben Zugriff auf die unverschlüsselten Dateien ihrer Nutzer.“

Zudem mache Dropbox irreführende Angaben darüber, wie es Dateien schützt und verschlüsselt. „Der Dienst erklärt Anwendern, dass er ‚dieselben sicheren Methoden nutzt wie Banken und das Militär, um Dateien zu speichern und zu verschicken‘ und dass ‚alle auf Dropbox-Servern gespeicherten Dateien verschlüsselt sind'“, schreibt Soghoian in einem Blogeintrag. De facto müsse das Unternehmen jedoch sogar Zugriff auf die unverschlüsselten Dateien haben – „sonst wäre es nicht in der Lage, über verschiedene Konten hinweg Duplikate zu erkennen“.

„Wir gehen davon aus, dass diese Klage unbegründet ist“, erklärte Dropbox-Sprecherin Julie Supan gegenüber Wired. „Sie greift alte Probleme wieder auf, die wir schon in einem Blogeintrag am 21. April angesprochen haben. Millionen Menschen verlassen sich jeden Tag auf unseren Dienst, und wir arbeiten hart, ihre Daten sicher, geschützt und privat zu halten.“ Dropbox hat rund 25 Millionen Nutzer.

Mitte April hatte der Sicherheitsspezialist Derek Newton eine Lücke in Dropbox öffentlich gemacht. Nur wenige Tage später änderte der Clouddienst Soghoians Beschwerde zufolge die Angaben zur Datensicherheit auf seiner Website. Dort steht mittlerweile nicht mehr zu lesen, dass Mitarbeiter nur auf Metadaten zugreifen können, sondern dass es ihnen verboten ist, die gespeicherten Inhalte zu betrachten.

Soghoian argumentiert, dass selbst Experten wie Jon Callas auf Dropbox hereingefallen sind. „Wenn ein Kryptograph und Sicherheitsexperte von Dropbox‘ Angaben getäuscht wurde, was Verschlüsselung angeht, ist es vollkommen unangemessen, zu erwarten, dass der durchschnittliche, weniger technikversierte Nutzer in der Lage ist, zwischen den Zeilen zu lesen.“