Datenschutz ist ein Dauerproblem bei Facebook. Mitte Oktober berichtete das "Wall Street Journal", dass offenbar Nutzerdaten von Facebook ihren Weg in die Bestände von Datenhändlern gefunden hatten. Das, machte nun Mike Vernal aus dem Facebook-Entwicklerteam in einer umfänglichen Veröffentlichung im Entwicklerblog der Firma  klar, ist offenbar nicht nur versehentlich geschehen, sondern "in einigen Fällen" auch mit voller Absicht.

Damit bestätigt Facebook einmal mehr, dass es sowohl möglich ist, dass eigentlich vertrauliche Daten aufgrund technischer Defizite des Systems unabsichtlich übertragen werden können, als auch, dass Zulieferer externer Applikationen solche Daten abgreifen und weitergeben können.

In seinem Blog-Post erklärt Vernal, dass Facebook erste technische Lösungen entwickelt habe, um die Lecks, über die Daten versehentlich abfließen, zu stopfen. Dazu suche das Unternehmen zurzeit auch das Gespräch mit Browserentwicklern, auf deren Kooperation die Firma dabei anscheinend angewiesen ist.

Strafe für Datensünder: Sechs Monate auf die Bank

Bei der Überprüfung der abgeflossenen Daten sei es allerdings auch aufgefallen, dass rund ein Dutzend Applikationsentwickler die Daten mit voller Absicht weiterverkauft hätten. Das widerspräche aber Facebooks Geschäftsbedingungen. Die Zusammenarbeit mit den betreffenden Entwicklern sei ab sofort und für sechs Monate beendet worden, denn Facebook habe in dieser Hinsicht "keinerlei Toleranz".

Der Vorgang ist aufschlussreich, denn sowohl die versehentliche, als auch die absichtliche Weitergabe von sogenannter User Identification Data (UID), mit der Facebook-Nutzer zweifelsfrei und eindeutig identifiziert werden können, basieren auf einer grundsätzlichen Schwäche des Facebook-Datenschutzes. Zumindest zwischen Facebook und den Entwicklern externer Anwendungen (wie beispielsweise der zahlreichen Spiele bei Facebook) fließen auf jeden Fall unanonymisierte Daten. Offenbar wurden Entwicklerfirmen von Applikationen in mehreren Fällen gezielt von Werbern und Datenhändlern angesprochen, diese Daten dann regelrecht angekauft.

Facebooks strukturelles Problem beginnt schon damit, dass die externen Applikationen nicht genügend auf Datenintegrität und Absicherung geprüft werden. Während die externen Applikationen die UID brauchen, um richtig zu funktionieren, dürfte diese den Facebook-AGB folgend auf keinen Fall in unanonymisierter Form weitergegeben werben, egal ob versehentlich oder um etwa Werbeschaltungen zu personalisieren. Im Laufe der Woche will Facebook ein Programm zur Verfügung stellen, das genau so eine Codierung von Nutzerdaten ermöglichen soll.

Aufgefallen ist Facebook die ganze Sache letztlich nur durch eine Art Selbstanzeige eines Datenhändlers: Das Unternehmen Rapleaf informierte Facebook darüber, dass es nicht ganz dicht ist. Zum Glück, erklärt Mike Vernal in seinem Blog-Beitrag, halte sich der Schaden in Grenzen, da keiner der unautorisierten Datenverkäufer zur Top-10-Gruppe der Applikationsentwickler gehöre, alle seien eher kleinere Lichter.