Sonderbericht: Smart Africa hat E-Mail-Liste ohne Zustimmung erhalten

Sonderbericht: Smart Africa hat E-Mail-Liste ohne Zustimmung erhalten wird von BTW Media profiliert, weil veröffentlichte Beweise es mit Internetinfrastruktur, Governance, operativen Abhängigkeiten oder Marktsichtbarkeit verbinden.

• Unsere Gespräche zeigen, dass die überwältigende Mehrheit der Befragten bestreitet, ihre Kontaktdaten mit Smart Africa geteilt zu haben oder die Organisation überhaupt zu kennen.
• Der Besitz einer massiven Mailingliste durch Smart Africa ist höchst fragwürdig.

Was passiert ist: Ein Massen-E-Mail-Fehler legt eine sensible Kontaktliste offen

Eine Sonderermittlung von BTW Media hat ergeben, dass die Mehrheit der von Smart Africa bei seinem ungeschickten Versand im letzten Monatweitergegebenen E-Mailsohne Zustimmung ihrer Eigentümer erlangt wurde.

Smart Africa verbreitete eine Einladung mit dem Titel "Online Consultation Session on AFRINIC Elections & CAIGA Framework" mit den Empfängern im Feld An (To) statt im Bcc (Bcc),wodurch eine große Anzahl von E-Mail-Adressen, die mit AFRINIC verbunden sind, allen anderen Empfängern offengelegt wurden. Unabhängige Artikel berichten, dass die Nachricht von einem Projektleiter bei Smart Africa stammt, und beschreiben den Umfang als Tausende von Adressen, was den Vorfall von einem einfachen Höflichkeitsfehler zu einem bedeutenden Datenleck macht.

Was unsere Gespräche zeigen: Die meisten Empfänger weisen jede Vorstellung von Zustimmung zurück

BTW Media hat zahlreiche AFRINIC-Ressourcenmitglieder und Netzbetreiber kontaktiert, deren E-Mails offengelegt wurden. Die überwältigende Mehrheit sagte uns, sie hätten niemals E-Mail-Adressen mit Smart Africa geteilt und in vielen Fällen „keine Ahnung, wer das ist". Typische Antworten sind: „Absolut nicht"; „Nein, haben wir nicht"; „Ich habe meine Kontaktdaten nie weitergegeben und nicht zugestimmt"; und „Nein, ich habe meine E-Mail nicht geteilt und kenne sie nicht". Mehrere Befragte bitten ausdrücklich darum, keinen weiteren Kontakt aufzunehmen.

Eine Minderheit räumt ein, dass ihre Adressen möglicherweise anderswo gefunden werden können – zum Beispiel, wenn ein Ingenieur zustimmt, als technischer Ansprechpartner für eine ASN oder IP-Ressource gelistet zu werden – betont jedoch, dass technische WHOIS-Einträge keine allgemeine Zustimmung für Massenaussendungen darstellen, die nichts mit einer Incident-Response zu tun haben.

Lesen Sie auch:Smart Africa gibt Tausende von E-Mail-Adressen von AFRINIC-Mitgliedern preis

Warum die Erklärung von Smart Africa unzureichend ist: öffentliche vs. nicht öffentliche Daten

• Die Mitgliederseiten von AFRINIC listen Organisationen und physische Adressen zu Transparenzzwecken auf, bieten jedoch keine herunterladbare oder durchsuchbare Sammlung von Mitglieder-E-Mails.
• Das WHOIS von AFRINIC ist ein öffentliches offizielles Register, das für Internetoperationen (Missbrauch, Routing, Incident-Koordination) bestimmt und ausdrücklich für alle zugänglich ist; es ist keine Marketingdatenbank. AFRINIC stellt ferner klar, dass WHOIS-Massendaten für operative oder Forschungszwecke bestimmt sind.

Im Gegensatz dazu scheint die Nachricht von Smart Africa mit sichtbaren Empfängern auf eine breite Gruppe von Mitgliedern abzuzielen, nicht auf spezifische Ressourcenkontakte im Zusammenhang mit einem operativen Vorfall. Diese Diskrepanz zwischen Zweck und Nutzung steht im Mittelpunkt der von den Befragten geäußerten Kritik.

Lesen Sie auch:Warum der AFRINIC-Streit über IP-Adressen hinausgeht – es geht um Freiheit

Risikoprofil: Auslösung von Sicherheits- und rechtlichen Pflichten

Die offengelegten Adressen, die mit dem Register verbunden sind, locken Phisher an, die sich als AFRINIC oder Anbieter ausgeben können, um Anmeldedaten zu sammeln, betrügerische Ressourcenänderungen vorzunehmen oder Zahlungen zu verlangen. Das rechtliche Risiko ist nicht unerheblich: Das mauritische Datenschutzgesetz von 2017 (Data Protection Act 2017) verlangt eine Meldung der Verletzung an den Beauftragten innerhalb von 72 Stunden nach Kenntniserlangung einer Verletzung personenbezogener Daten durch den Verantwortlichen, mit möglichen Pflichten zur Benachrichtigung der betroffenen Personen bei hohem Risiko.

Wenn die Liste von AFRINIC oder einem Auftragnehmer von AFRINIC stammt, stellen sich Fragen zu den Rollen von Verantwortlichem/Auftragsverarbeiter und zur Rechtsgrundlage der Offenlegung; wenn Smart Africa die Liste aus verschiedenen Quellen zusammengestellt hat, muss es dennoch eine gültige Rechtsgrundlage für die Verarbeitung nachweisen.

Die wachsende Rolle von Smart Africa – und warum höhere Standards gelten

Smart Africa positioniert sich als Konsultationsplattform für die digitale Transformation Afrikas und hat kürzlich eine koordinierte kontinentale Antwort auf die Governance-Krise von AFRINIC veröffentlicht. Dieser Governance-Anspruch erhöht die Erwartungen an das Datenmanagement: Eine Einrichtung, die die Ergebnisse der Internet-Governance beeinflussen will, muss die Mindeststandards für Datenschutz- und Sicherheitshygiene einhalten, einschließlich einer strengen Zugangskontrolle zu Listen, expliziter Opt-in-Einwilligungsregister und der standardmäßigen Verwendung von Bcc (Blindkopie) für jede externe Sendung.

Lesen Sie auch:Das geheime „Reformkomitee" von AFRINIC weckt neue Bedenken hinsichtlich der Internet-Governance in Afrika

Worauf Smart Africa jetzt antworten muss

• Herkunft: Wie erhält Smart Africa eine Mailingliste, die der von Mitgliedern ähnelt, die nicht öffentlich auf der AFRINIC-Website verfügbar ist? Wenn sie von einer AFRINIC-Quelle erhalten wurde, welche Rechtsgrundlage und welche Vereinbarungen regeln die Übermittlung? Wenn sie extern zusammengestellt wurde, welche Rechtsgrundlage und Zweckbindung gibt es?
• Reaktion auf die Verletzung: Wer ist der Verantwortliche für diesen Datensatz und wurden die erforderlichen Meldungen innerhalb von 72 Stunden ausgelöst? Werden die betroffenen Personen vor Phishing gewarnt (mit DMARC/DKIM/SPF-Hinweisen) und wird ihnen ein Ansprechpartner für die Behebung zur Verfügung gestellt?

Kontext für die Leser: Was WHOIS tut – und was nicht

Um die von unseren Quellen aufgeworfene Nuance zu verstehen, ist es hilfreich, daran zu erinnern, dass die IANA AS-Nummernbereiche an regionale Register vergibt und jedes RIR ein WHOIS veröffentlicht, damit Ingenieure schnell die richtigen Personen kontaktieren können. In der AFRINIC-Region ist diese Transparenz grundlegend für die Routing-Stabilität, aber sie stellt keine Blankovollmacht für eine groß angelegte politische oder strategische Mobilisierung ohne Zustimmung dar.

Fazit der Gespräche

Die mehrheitliche Botschaft derer, die wir kontaktiert haben, ist einfach: Sie stimmen Smart Africa nicht zu, sie wissen nicht, wie ihre E-Mails auf die Liste gekommen sind. Smart Africa muss eine überprüfbare Erklärung für die Herkunft der Liste liefern und seine Einhaltung der Datenschutzpflichten nachweisen; die Kritik der AFRINIC-Community ist sowohl vernünftig als auch berechtigt.