Careems schnelles Wachstum setzte die Daten von 14 Millionen Nutzern Hackern aus

Careem war die Antwort des Nahen Ostens auf Uber – eine in Dubai ansässige Ride-Hailing-App, die rasch in mehr als einem Dutzend Ländern gewachsen war, vom Golf über Nordafrika bis nach Pakistan und in die Türkei. Wie andere Plattformen hielt sie die personenbezogenen Daten von Millionen Kunden und der Fahrer, die sie bedienten.

Am 14. Januar 2018 stellte Careem fest, dass in seine Systeme eingedrungen worden war. Hacker hatten auf die Kontodaten von etwa 14 Millionen Menschen zugegriffen – Fahrgäste wie Fahrer – und dabei Namen, E-Mail-Adressen, Telefonnummern und Fahrtaufzeichnungen erbeutet. Es war eine der größten gemeldeten Datenpannen in der Region.

Careem kündigte die Datenpanne nicht sofort an. Das Unternehmen gab sie am 23. April 2018 öffentlich bekannt, rund drei Monate nach der Entdeckung, und erklärte, es habe Zeit für die Untersuchung gebraucht und mit Strafverfolgungsbehörden und Sicherheitsspezialisten zusammengearbeitet. Die Zeitspanne warf die übliche Frage auf, wie schnell ein Unternehmen seine Nutzer informieren sollte.

Der Fall erinnert daran, dass schnell wachsende Plattformen vor allem anderen Datenziele sind. Careem hatte darum gewetteifert, Städte und Nutzer hinzuzugewinnen, und die mit diesem Wachstum einhergehenden personenbezogenen Informationen wurden für Angreifer zu einem Wert. Die Lehre ist, dass Sicherheit genauso schnell skalieren muss wie die Nutzerbasis und dass der Zeitpunkt der Offenlegung selbst Teil der Reaktion ist.

Careem bemühte sich rasch darum, Städte und Nutzer hinzuzugewinnen, sammelte personenbezogene Daten aber schneller an, als die Abwehrmaßnahmen gehärtet wurden, und verschob die Offenlegung um drei Monate nach Entdeckung der Datenpanne.

Careems rasche Expansion über viele Länder häufte die personenbezogenen Daten von Millionen Fahrgästen und Fahrern schneller an, als seine Abwehrmaßnahmen gegen Angreifer gehärtet wurden.

Eine Ride-Hailing-Plattform ist ein ergiebiges Ziel: Sie hält Namen, Kontaktdaten und Bewegungsdaten einer großen, geografisch verteilten Nutzerbasis an einem Ort.

Die Datenpanne wurde im Januar entdeckt, aber erst im April offengelegt, sodass ein Zeitfenster von drei Monaten blieb, in dem die betroffenen Nutzer nicht wussten, dass ihre Daten entwendet worden waren.

Die Speicherung von Daten sowohl von Fahrgästen als auch von Fahrern verdoppelte die Exposition und bedeutete, dass die Datenpanne auch die Menschen erreichte, die ihren Lebensunterhalt über die Plattform verdienen, nicht nur deren Kunden.

Eine Plattform, die rasch Nutzer hinzugewinnt, baut ebenso schnell ein Angriffsziel auf wie ein Geschäft. Personenbezogene Daten müssen im Tempo des Wachstums gesichert werden, und wenn sie kompromittiert werden, gehört es zur Behebung, die Nutzer unverzüglich zu informieren.

Careem setzte den Betrieb fort und wurde später von Uber übernommen und bildete den Kern von Ubers Geschäft in der Region. Die Datenpanne wird in Diskussionen über Datensicherheit bei schnell wachsenden Technologieunternehmen in Schwellenländern angeführt, wo die Nutzerzahlen die Sicherheits- und Offenlegungspraktiken übertreffen können, die damit einhergehen sollten.