Richter weist Klage gegen LinkedIn ab

Ein US-Bezirksrichter in Kalifornien hat entschieden, dass Kläger in einem Prozess gegen LinkedIn versäumt haben, ihnen tatsächlich entstandenen Schaden nachzuweisen. Es geht in dem Fall um 6,5 Millionen im letzten Jahr gestohlene Passwörter.

Richter Edward J. Davila konnte keinen Nachweis einer „kausalen Verbindung“ zwischen behaupteten Schäden und LinkedIns angeblichem sicherheitstechnischen Versagen erkennen. Die Passwörter sollen schlecht verschlüsselt gewesen sein, was weder Branchenstandards noch LinkedIns eigenen Sicherheitsrichtlinien entspreche. Zum letzten Punkt merkt der Richter an, dass die Kläger die Datenschutzrichtlinie nie gelesen hätten. Von einem nicht gehaltenen Versprechen könne daher nicht die Rede sein. Außerdem seien die Sicherheitsversprechen für kostenlose und Premium-Konten gleich, was wesentliche Anklagepunkte entkräfte.

Im Juni 2012 musste LinkedIn melden, dass russische Hacker fast 6,5 Millionen Passwörter von seinem Webserver gestohlen hatten. Da das Business-Social-Network zu diesem Zeitpunkt über 150 Millionen Nutzer hatte, waren nicht ganz 5 Prozent betroffen.

Die US-Klage reichte kurz darauf die seit 2010 bei LinkedIn registrierte Katie Szpyrka ein. Wegen Vertragsbruchs und Nachlässigkeit forderte sie ein Geschworenenverfahren sowie 5 Millionen Dollar Schadenersatz. Als Premium-Mitglied zahlt sie 26,95 Dollar je Monat. Ein zweiter Nutzer schloss sich der Klage später an. Die beiden wurden dann zu Stellvertretern einer Sammelklage ernannt.

Konkret warfen von der Anklage zitierte Experten LinkedIn vor, die Passwörter nur mit SHA-1 verschlüsselt und vor allem kein Salt verwendet zu haben. Salt (Salz) ist eine zufällige Zeichenfolge, die an das Passwort angehängt wird, um Entschlüsselungsversuche erheblich zu erschweren. Nach eigenen Angaben hat LinkedIn kurz darauf reagiert und „die zusätzliche Sicherheitsebene eingeführt, die zu den anerkannt vorbildlichen Praktiken der Branche gehört“.

Außerdem hieß es in der Klage, die Hacker hätten eine einfache SQL Injection für ihren Angriff verwendet. Hätte sich LinkedIn an die simplen Ratschläge auf einer Checkliste des National Institute of Standards and Technology (NIST) gehalten, wäre der Angriff nicht erfolgreich gewesen.

[mit Material von John Fontana, ZDNet.com]

Tipp: Wie gut kennen Sie Hightech-Firmen, die an der Börse notiert sind? Testen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.