Zusammenfassung

  • DoorDash führte den Zugriff vom September 2019 auf einen seiner Dienstleister zurück; betroffen waren rund 4,9 Millionen Kunden, Dashers und Händler.
  • Der aufbewahrte Record sagt, wo die Daten lagen, aber nie, wer die fehlgeschlagene Kontrolle verantwortete — und er enthält keine Sanktion, die an den Vorfall von 2019 anknüpft.
  • Das einzige in Kalifornien gefundene Verfahren betrifft anderes Verhalten: den Verkauf personenbezogener Daten ohne Hinweis und ohne Widerspruchsmöglichkeit, im Februar 2024.
  • Prüfbare Reparatur braucht Datenscope, benannte Kontrollverantwortung, tatsächlich ausgeübte Auditrechte, unabhängige Nachprüfung und einen echten Ausstieg.

Im September 2019 teilte DoorDash mit, ein unbefugter Dritter habe auf Informationen zugegriffen, die bei einem der Dienstleister des Unternehmens gespeichert waren. Betroffen waren rund 4,9 Millionen Menschen: Kunden, als Dashers registrierte Zusteller und Handelspartner. Zu den Daten, die typischerweise im Spiel waren, gehörten Namen, E-Mail-Adressen, Lieferadressen, Bestellverlauf und gehashte Passwörter, in einigen Fällen auch die letzten vier Ziffern von Zahlungskarten (zeitgenössische Zusammenfassung des Vorfalls).

Der entscheidende Satz steht am Anfang, nicht am Ende: Die Informationen lagen bei einem Dienstleister. Die Mitteilung nennt den Ort der Daten, nicht die Zuständigkeit für sie. Sie sagt nicht, welches System nachgab, auf wessen Seite die Verantwortung dafür lag, wann der Zugriff begann, wie lange er offen blieb oder ob ein weiterer Unterauftragnehmer beteiligt war. Wer die Mitteilung liest, weiß, dass Daten außerhalb des eigenen Hauses verloren gingen — und weiß nicht, wen er nach dem Warum fragen kann.

Diese Schieflage ist der Fall. Eine Lieferplattform bringt Essen an die Türen von Millionen Haushalten, und die Daten, die abfließen, wandern durch eine Kette von Dienstleistern, die der Kunde nicht ausgewählt, nicht gesehen und nicht bewertet hat. Der Dienstleister betreibt die Umgebung: Server, Konfiguration, Zugriff, Credential. DoorDash behält die öffentliche Beziehung zu Kunden, Zustellern und Händlern — und damit auch die Pflicht zur Erklärung. Betrieb und Gewährleistung sind zwei verschiedene Funktionen, und die Mitteilung von 2019 beschreibt nur die erste.

Die eigene Darstellung der Reaktion lautete: Systeme gesichert, Sicherheitsprotokolle verbessert, Betroffene benachrichtigt. Das ist eine Erklärung über Maßnahmen, kein Testergebnis. Der Unterschied ist nicht rhetorisch. Ein System nach einem Zugriff zu sichern, ist normale Reaktion; zu belegen, dass die Grenze zum Dienstleister prüfbar geworden ist, ist etwas anderes und braucht Dokument, Verantwortlichen und Datum. Was der aufbewahrte Record liefert, ist die Aussage, dass etwas getan wurde. Die Aussage stimmt als Aussage.

Sie belegt nicht, dass die Schwachstelle an der Grenze behoben wurde — und schon gar nicht, dass sie im Folgejahr behoben blieb.

Aus einer Erklärung einen Beleg zu machen, folgt einem bekannten Ablauf. Ein Root-Cause-Bericht, der die fehlgeschlagene Kontrolle und die für sie verantwortliche Partei benennt. Das Zugriffsfenster mit Datum der Entdeckung und Datum der Eindämmung. Die Aufschlüsselung der Gesamtzahl nach Personengruppen, weil 4,9 Millionen Kunden, Zusteller und Händler nicht dieselbe Exposition sind. Und das Ergebnis einer Nachprüfung durch jemanden, der den Vertrag des Dienstleisters nicht unterschreibt. Nichts davon erscheint in dem Material, das für diese Untersuchung aufbewahrt wurde.

Innerhalb dieses Materials — die Zusammenfassung des Vorfalls und zwei Texte zum kalifornischen Vergleich von 2024 — findet sich keine Geldbuße, keine Anordnung, kein Urteil, keine vertragliche Rückforderung und kein vertrauliches regulatorisches Ergebnis mit Bezug zum Vorfall von 2019. Die Lücke ist auf das begrenzt, was gelesen und recherchiert wurde, und genau so ist sie zu lesen: nicht als Beweis, dass nirgends etwas geschah, sondern als Bild eines Falls, der eine Benachrichtigung hervorbrachte und keinen öffentlichen Record der Verantwortung.

Viereinhalb Jahre später, im Februar 2024, kündigte der Attorney General von Kalifornien einen Vergleich mit DoorDash an, der Vorwürfe nach dem California Consumer Privacy Act und dem California Online Privacy Protection Act beilegte: Verkauf personenbezogener Verbraucherdaten ohne Hinweis und ohne Widerspruchsmöglichkeit, verbunden mit Unterlassungspflichten zu den Datenpraktiken des Unternehmens (Ankündigung des Attorney General, Berichterstattung zum Verfahren).

Dieses Verfahren betrifft das Verhalten von DoorDash selbst: was das Unternehmen verkaufte, worüber es informierte und welche Wahl es anbot. Es ist nicht der Zugriff von 2019, nicht der Dienstleister von 2019, nicht die Kontrolle, die 2019 versagte. Das eine als Strafe für das andere zu behandeln, würde einem Verfahren eine Wirkung zuschreiben, die es nicht hatte. Und der angekündigte Betrag wird hier nicht wiedergegeben: Die für diese Untersuchung aufbewahrten Dokumente tragen keinen wörtlichen Text der Ankündigung, und eine Zahl ohne diese Bestätigung wäre eine Schätzung im Gewand einer Angabe.

Was bleibt, ist unbequem und brauchbar. Ein Unternehmen kann einen dienstleistervermittelten Verlust erleiden, Millionen Menschen benachrichtigen, verschärfte Protokolle erklären und weiterarbeiten — und die Öffentlichkeit hat weiterhin kein Dokument, mit dem sie beurteilen könnte, ob die Grenze sicherer geworden ist. Die Benachrichtigung erfüllt ihre Aufgabe: Sie warnt. Sie belegt nichts.

Die prüfbare Grenze hat konkrete Bestandteile: ein definierter Umfang, welche Daten und welche Zugriffe der Dienstleister berühren darf; ein benannter Verantwortlicher für jede Kontrolle, auf Auftraggeber- wie auf Auftragnehmerseite; Korrekturmaßnahmen, die an eine identifizierte Ursache gebunden sind und nicht an eine allgemeine Diagnose; messbare Melde- und Auditrechte mit Frist und Folge; Evidenz, die der Betreiber ohne Rückfrage beim Dienstleister einsehen kann; eine unabhängige Nachprüfung nach der Korrektur; und ein echter Ausstieg mit Datenportabilität und Übergangsfrist.

Ohne den letzten Punkt sind die ersten sechs Absichtserklärungen.

Der Ausstieg ist die härteste Prüfung, weil sie sich als einzige nicht mit Dokumenten beantworten lässt. Ein Vertrag, der Audits erlaubt und nie ein Audit erlebt hat, ist eine Klausel, keine Kontrolle. Ein Kündigungsrecht, das den Umzug eines ganzen Systems in Wochen verlangt, ist eine Wirkungsphrase. Die praktische Frage, die jeder Aufsichtsrat seinem Dienstleister für kritische Daten stellen sollte, ist einfach und unangenehm: Wenn wir Sie im kommenden Quartal ersetzen müssten — was genau würde blockieren?

DoorDash steht im BTW-Verzeichnis als Fall für Risiko und Rechenschaft, und das ist er: ein Fall über den Abstand zwischen der Ankündigung einer Schwachstelle und jedem Record, der ihre Messung erlaubt. Der Vorfall von 2019 endete in einer Mitteilung. Der von 2024 endete in einem Vergleich über eine andere Materie. Dazwischen liegt keine Leerstelle der Erzählung, sondern das Fehlen eines Dokuments, das die Beziehung zum Dienstleister in etwas verwandelt hätte, das ein Kunde, ein Berater oder ein Regulator aufschlagen, prüfen und gegebenenfalls beenden kann.

Ein Unternehmen, das Millionen Lieferungen pro Tag koordiniert, kann Logistik unter Druck. Die Fähigkeit, die diese Akte einfordert, ist eine andere: die Grenze zum Dienstleister so zu ziehen, dass sie den Ausfall, den Anbieterwechsel und die Prüfung übersteht. Solange diese Grenze nur als unterschriebene Klausel und versandte Mitteilung existiert, wird die nächste Warnung dieselbe Struktur haben wie die von 2019 — ein Ort, kein Verantwortlicher.