Im März hat die IT-Analytikerin Sanjana Sarda eine Sicherheitslücke in der Dating-App „Bumble“ entdeckt und gemeldet. Trotz mehrfacher Benachrichtigung reagierte das Unternehmen erst nach acht Monaten: Mit der Bitte, keine Details an die Presse zu geben.

Sarda veröffentlichte dennoch. Von dem Datenleck betroffen sind potenziell alle Bumble-Nutzer:innen. Wie viele das in Deutschland sind, will eine Sprecherin auf Nachfrage nicht verraten. Bumble zählt zu den bekanntesten Dating-Apps und hat kürzlich die 100 Millionen Marke bei weltweiten Nutzer:innen geknackt.

Ob tatsächlich Daten abgeflossen sind, ist unbekannt. Sarda selbst sagt, sie habe keine Nutzerdaten gespeichert. Eine Sprecherin von Bumble erklärt gegenüber netzpolitik.org, dass es derzeit keine Hinweise gäbe, dass „Nutzerdaten kompromittiert“ worden seien.

Für Hacker:innen wäre es jedoch ein leichtes gewesen, mittels der Schwachstelle in der API die Identitäten aller Bumble-Nutzer:innen abzugreifen, so Sarda. Dazu gehören der Name, das Alter, das Geschlecht, der Wohnort, die sexuelle Präferenzen, alle hochgeladenen Fotos und Hobbys der rund 100 Millionen Nutzer:innen.

In vier Tagen entdeckt

Sarda ist Spezialistin für IT-Sicherheit. Aus purer Neugierde habe sie sich die Bumble-App im März angeschaut: „Bumble ist eine auf Frauen ausgerichtete Dating-App. Als Frau fand ich das deshalb besonders relevant.“ Ihr Arbeitgeber, Independent Security Evaluators, nutzt das als Werbung und stellt sie für solche Tätigkeiten frei.

Innerhalb von zwei Tagen habe sie entdeckt, dass die Server nur unzureichend vor unbefugter Datenabfrage geschützt seien. Weitere zwei Tage später konnte sie nachweisen, dass die Schwachstelle für fast alle Datenpunkte funktioniere.

Für Bumble wäre es unschwer möglich gewesen, diese Schwachstellen zu beheben, sagt Sarda. Es hätte bereits genügt, eine Höchstgrenze für Datenabfragen bei den Servern festzulegen. Teil des Problems war, dass die Datenabfragen unendlich lang für alle Nutzer-IDs wiederholt werden konnten.

Nach acht Monaten geschlossen

Stattdessen tat das Unternehmen acht Monate lang – zumindest nach Außen – nichts. Nachdem Sarda ihre Erkenntnisse im März geteilt hatte, erhielt sie keine Antwort, weder auf HackerOne, einer Plattform zur Koordinierung von Sicherheitslücken, noch auf anderen Kanälen. Vier Mal fragte sie nach, ohne Ergebnis.

Wenige Tage vor der geplanten Veröffentlichung im November erhielt Sarda schließlich eine E-Mail: „Bumble sei sehr daran gelegen, dass keine Details [über die Sicherheitslücke] an die Presse gelangen“, soll darin stehen. Einen Tag später habe man ihr 500 Dollar als Belohnung angeboten. Sarda hat das Geld abgelehnt.

Am selben Tag ist ein Teil der Sicherheitslücken geschlossen worden. Nach heutigem Stand ist es jedoch weiterhin möglich mittels der bekannten Schwachstelle die Fotos und sexuellen Präferenzen von Bumble-Nutzer:innen auszuspähen. Die Nutzer:innen wurden bislang nicht über den Vorgang informiert. 

Liebe hat ihren Preis

Immer wieder kommt es zu Datenlecks bei Dating-Apps. Neben Bumble waren in den letzten Jahren auch bei Tinder, Grindr, OkCupid und Lovoo Nutzerdaten in die falschen Hände geraten oder zumindest gefährdet worden.

Sogar wenn alles rund läuft und die Datensicherheit gewährleistet ist, müssen Dating-App-Nutzer:innen davon ausgehen, dass ihre Daten weiterverkauft werden. Besonders sexy ist das nicht.