AFRINIC-Gemeinschaft besorgt über Datenleck bei Smart Africa

Die AFRINIC-Gemeinschaft ist ein öffentliches Dokument, das auf Artikelbelegen, Objektkontext, Ereignisverknüpfungen und Beziehungskontext basiert.

Die meisten Befragten geben an, besorgt zu sein, und bestreiten, ihre Kontaktdaten mit Smart Africa geteilt zu haben. Viele bringen ihre Besorgnis mit Versuchen der Wahlmobilisierung und einer schlechten E-Mail-Hygiene in Verbindung. Umfrageergebnisse: Besorgnis dominiert, Zustimmung wird bestritten. Vor einigen Wochen hat Smart Africa Tausende von E-Mail-Adressen von Mitgliedern und Ressourceninhabern der AFRINIC offengelegt. BTW Media hat untersucht, wie eine solche Verletzung der Privatsphäre geschehen konnte.

Unser erster Sonderbericht zeigte, dass die Mehrheit der Inhaber dieser Adressen angab, niemals zugestimmt zu haben, dass Smart Africa ihre Adresse für Kommunikation nutzt. Unsere Interviews zeigen einen klaren Trend: Die überwältigende Mehrheit der Befragten erklärte, sie sei besorgt über die E-Mail mit sichtbaren Empfängern von Smart Africa und habe niemals ihre Kontaktdaten an Smart Africa weitergegeben. Einige betonen, dass diese Kontaktaufnahme mit Bemühungen zur Beeinflussung der Governance-Ergebnisse zusammenfällt – insbesondere Wahlmobilisierungskampagnen –, was ihr Unbehagen darüber verstärkt, wie die Liste erstellt und genutzt wird.

Eine sehr kleine Minderheit widerspricht mit dem Argument, dass ihre Adressen bewusst öffentlich für Internetoperationen sind (z.B. als Kontakte für Ressourcenmissbrauch oder technische Kontakte) und dass die Nachricht daher, wenn auch ungeschickt, für sie keinen Verstoß darstellt. Selbst innerhalb dieser Gruppe bezeichnen mehrere die Handhabung als „sehr schlecht“ und fragen nach den Gründen. Siehe auch: Smart Africa legt Tausende E-Mail-Adressen von AFRINIC-Mitgliedern offen. Öffentliche Daten vs. nicht-öffentliche Listen: Warum die Unterscheidung wichtig ist. Zwei Datensätze werden in dieser Debatte oft verwechselt.

Erstens sind WHOIS/IRR-Kontaktobjekte dazu bestimmt, öffentlich zu sein, damit Betreiber Ingenieure in Echtzeit bei Routing-Vorfällen, Missbrauch und Registeränderungen erreichen können. Diese Einträge – admin-c, tech-c, abuse-c – sind operative Kanäle, keine allgemeinen Mailinglisten. Zweitens werden von einem Register (oder einem Dritten) verwaltete Mitglieder-E-Mail-Listen normalerweise nicht massenhaft veröffentlicht. Operative Transparenz bedeutet keine allgemeine Zustimmung für politische Kampagnen oder Massenaussendungen.

Die Empörung konzentriert sich daher weniger auf die Sichtbarkeit eines einzelnen Kontakts als auf den Besitz und die Offenlegung einer konsolidierten, auf AFRINIC ausgerichteten Liste durch Smart Africa, deren Herkunft unklar ist. Rechtliche und sicherheitstechnische Auswirkungen: Ein materielles Risiko besteht. Unabhängig davon, ob ein Empfänger den Vorfall als Verstoß betrachtet oder nicht, ändert sich die Risikoumgebung, sobald ein großer, mit einem Register verbundener Adresssatz weithin sichtbar ist.

Phishing-Kampagnen gedeihen mit aktuellen Aufhängen; eine E-Mail, die sich auf Wahlen, Ressourcenvalidierung oder „Kontoaktualisierungen“ bezieht, kann glaubwürdig nach Passwörtern, Routing-Berechtigungen oder Zahlungsmetadaten fragen. Auf rechtlicher Ebene erlegen die Datenschutzregime in Mauritius und der EU den Verantwortlichen Pflichten auf, wenn personenbezogene Daten in einer Weise offengelegt werden, die ein Risiko für Einzelpersonen darstellen könnte.

Wenn ein Teil der Liste aus nicht-öffentlichen Mitgliedsdaten stammt – direkt oder indirekt – stellen sich Fragen nach der Rechtsgrundlage der Verarbeitung, der Zweckbindung und der Offenlegung gegenüber Dritten. Selbst wenn Smart Africa die Liste aus operativ öffentlichen Quellen zusammengestellt hat, muss es dennoch geeignete technische und organisatorische Maßnahmen anwenden, um eine unbeabsichtigte Offenlegung zu verhindern. Worauf Smart Africa jetzt antworten muss. Herkunft und Rechtsgrundlage. Wie wird die Liste erstellt? Wurden Mitgliedsdaten von AFRINIC oder seinen Dienstleistern weitergegeben?

Was ist die Rechtsgrundlage für den Besitz und die Nutzung, und wer ist der Verantwortliche? Reaktion auf den Verstoß. Hat Smart Africa eine dokumentierte Reaktion auf den Vorfall eingeleitet, einschließlich der Benachrichtigung der betroffenen Empfänger über das erhöhte Phishing-Risiko, des Änderns von E-Mail-Anmeldeinformationen und der Überprüfung des Zugriffs auf die Liste? Wie steht es um zukünftige Sicherheitsvorkehrungen? Warum einige gleichgültig bleiben – und warum das nichts löst.

Diejenigen, die nicht besorgt sind, nennen in der Regel einen von zwei Gründen: (a) ihre Adresse ist von Natur aus öffentlich (sie erwarten, für Netzwerkoperationen erreichbar zu sein), oder (b) sie sehen in diesem speziellen Fall keinen signifikanten Schaden. Die WHOIS-Transparenz unterstützt die Zuverlässigkeit des Internets. Dies hebt jedoch nicht die grundlegenden Probleme auf, die von anderen aufgeworfen werden: Zustimmung, Zweck und Zuständigkeit.

Selbst wenn eine Teilmenge von Adressen öffentlich ist, verdient die Erstellung, Pflege und versehentliche Offenlegung einer gebündelten, auf AFRINIC abzielenden Liste durch einen nicht mit dem Register verbundenen Akteur dennoch eine Überprüfung und zumindest bessere Kontrollen. Der Governance-Kontext: Warum Vertrauen auf dem Spiel steht. Diese Episode spielt sich vor dem Hintergrund anhaltender Konflikte um die Governance und die Wahlen der AFRINIC ab.

Mehrere Befragte ordnen die E-Mail in diesen Kontext ein, behaupten, die Liste sei zur Beeinflussung von Wahlergebnissen verwendet worden, und argumentieren, dass das Verhalten von Smart Africa das Vertrauen in einer sensiblen Zeit untergräbt. Unabhängig von der jeweiligen Meinung zum Governance-Streit ist Vertrauen in das Datenmanagement eine Voraussetzung für konstruktives Engagement. Smart Africa strebt eine kontinentale Führungsrolle bei der digitalen Transformation an; diese Rolle bringt erhöhte Verantwortung in Bezug auf Datenschutz, Sicherheit und Kommunikationsdisziplin mit sich. Zusammenfassung.

Die Antworten auf unsere Frage sind gemischt, aber der Schwerpunkt ist klar: Die meisten Befragten sind besorgt, bestreiten ihre Zustimmung und fordern eine transparente Erklärung, wie ihre Daten erhalten und offengelegt wurden. Eine Minderheit hält sie für wenig besorgniserregend, kritisiert aber dennoch die Art und Weise, wie die Nachricht gesendet wurde. Bis Smart Africa die Herkunft der Liste erklärt und seine Praktiken verbessert, ist die Skepsis der AFRINIC-Gemeinschaft sowohl vorhersehbar als auch berechtigt.