In dieser Woche wurde bekannt, dass LinkedIn erneut Opfer eines weit angelegten Datendiebstahls ist. Dabei lag der letzte Vorfall noch gar nicht lange zurück, denn erst im April macht das Netzwerk schon einmal mit derlei Meldungen von sich reden. Im Frühjahr waren es 500 Millionen abgegriffene Accounts, diesmal sogar 700 Millionen – was insgesamt einer Abdeckung von mehr als 90 Prozent aller Nutzer entspricht. Zwar sickerten keine Passwörter durch, dennoch lassen sich angesichts des umfangreichen Einbruchs sehr genaue Personenprofile erstellen. Neben Name, Anschrift, Telefonnummer und Gehalt beinhalten die Datensätze auch Informationen zu sonstigen Social-Accounts. Inzwischen hat sich LinkedIn zur Sache geäußert.


LinkedIn will von einem "Breach" nichts wissen
Vom Hacker selbst war zu hören, er habe erneut auf frei zugängliche Schnittstellen gesetzt und damit denselben Weg wie im April gewählt. Genau diesem Punkt widerspricht LinkedIn nun allerdings. So habe der Angreifer zwar öffentlich sichtbare Daten per Scraping abgegriffen, sämtliche "versteckten" Informationen konnten sich so angeblich nicht in Besitz bringen lassen. Aus dem Grund muss es noch eine andere Quelle geben, wenngleich LinkedIn keine weiteren Informationen nennt, worum es sich dabei handeln könnte. Von einer Schwachstelle in den APIs will das Netzwerk nichts wissen.

Private Daten abgegriffen? Laut LinkedIn nicht der Fall
Wie es in der offiziellen Stellungnahme heißt, ergaben interne Untersuchungen, dass es kein Datenleck gab, welches private Daten enthüllte. Angeblich beinhaltet der neuerliche Vorfall dieselben Daten wie im April 2021 – wenngleich dieses Argument angesichts 200 Millionen zusätzlicher Datensätze sowie schützenswerter, eindeutig privater Informationen en masse, etwas merkwürdig klingt. LinkedIn verweist darauf, dass auch Scraping ein Verstoß gegen die Nutzungsbedingungen ist, weswegen man alles daran setze, die Hacker zur Verantwortung zu ziehen.

Die Reaktion dürfte mehr Ärger als Ruhe schaffen
Wer die kompletten Nutzerdaten in Form einer fast 300 GB großen Datei erwerben möchte, muss dafür 5000 Dollar bezahlen. Allerdings ist es möglich, auch einen Rabatt zu verhandeln, sollte das beabsichtigte Tun derlei Investitionen nicht rechtfertigen. Für betroffene Anwender, also nahezu jeden LinkedIn-Nutzer, bedeutet die Stellungnahme indes keinerlei Trost. Auf AGBs zum Schutz gegen groß angelegtes Scraping zu verweisen, erscheint wie ein schlechter Witz – zumal die Quelle des eigentlichen Diebstahls privater Daten noch immer völlig im Dunklen liegt. Dass die öffentlichen APIs nicht dafür verantwortlich waren und es stattdessen noch eine andere Schwachstelle geben muss, hilft den betroffenen Anwendern reichlich wenig.