Facebook: Richtlinien zur Daten-Weitergabe an Behörden geleakt

Facebook (Logo)

Im Internet tauchte kürzlich ein Dokument des populären Sozialen Netzwerks Facebook auf, in dem die Vorgehensweise für Ermittlungsbehörden bei einer Daten-Abfrage erläutert wird. Derartige "Compliance"-Dokumente werden von den Unternehmen meist geheim gehalten und enthalten Informationen darüber, welche Daten gesammelt und unter welchen Umständen diese herausgegeben werden.

Auch bei Facebook hat man offensichtlich nie beabsichtigt, dass die "Facebook Law Enforcement Guidelines" an die Öffentlichkeit gelangen. Das fünfseitige Dokument ist als "vertraulich und urheberrechtlich geschützt" gekennzeichnet und dient "allein der Nutzung zur Strafverfolgung". Wie die Compliance-Richtlinien trotzdem an die Öffentlichkeit gelangten, liegt im Dunkeln. Das Dokument datiert auf Mai 2010 und dürfte daher recht gut den aktuellen Stand der Dinge weitergeben. Die Echtheit des Dokuments ist nicht letztendlich nachgewiesen. Allerdings wurde das Handbuch durch als vertrauenswürdig bei der Verifizierung bekannte Quellen, unter anderem WikiLeaks, weiterverbreitet, was die Wahrscheinlichkeit erhöht, dass es sich um ein Original-Dokument handelt.

Das Dokument beschreibt laut Einleitung "Prozeduren, denen Ermittlungsbehörden folgen sollten, um Daten von Facebook anzufordern". Dazu werden entsprechende Kontaktmöglichkeiten per Fax, E-Mail und Post angegeben.

In dem Handbuch findet sich die Forderung an die Ermittlungsbehörden, bei der Anfrage genau anzugeben, um welchen Typ Anforderung es sich handelt. Allgemein akzeptiere man nur drei verschiedene Arten von Anfragen durch die Ermittlungsbehörden, heißt es.

Der erste Typ sind sogenannte "Preservation Requests", also Forderungen, bestimmte Daten "einzufrieren" und länger vorrätig zu halten. Dazu heißt es: "Für Anfragen, die einen Account per User-ID, Benutzername oder E-Mail-Adresse identifizieren, speichern wir die zu diesem Zeitpunkt existierenden Aufzeichnungen 90 Tage lang oder bis zu einer entsprechenden formellen richterlichen Anordnung".

Als zweiter Typ werden "Formal Legal Requests" genannt. Diesbezüglich gibt man sich allerdings wenig konkret und auskunftsfreudig. Für diese "formaljuristischen" Anfragen stelle man Aufzeichnungen "wie im Gesetz vorgeschrieben" zur Verfügung, heißt es lediglich. Die Bearbeitungszeit könne dabei je nach Komplexität des Falles sowie Art und Umfang der angeforderten Daten variieren.

Als dritten und letzten Typ von Anfragen nennt das Handbuch sogenannte "Emergency Requests". Für diese wird am Ende des Dokuments sogar ein Formular mitgeliefert. Dieses müssen die Ermittlunsgebehörden im Ernstfall ausfüllen. Facebook teilt mit, derartige "Notfall-Anfragen" (zu vergleichen wohl am ehesten mit dem deutschen Konzept von "Gefahr im Verzug") würden lediglich dann beantwortet, wenn man davon ausgehe, dass "ernste körperliche Verletzungen oder der Tod einer Person eintreten können, wenn wir nicht schnell reagieren".

In dem Dokument wird außerdem auf die AGB von Facebook hingewiesen. Diese sollten Ermittler vor einer Anfrage kennen und berücksichtigen, so die Aussage. So teilt man mit, dass man Accounts, die "falsche oder irreführende Profil-Informationen" verwenden oder "versuchen, technisch oder sozial die Datenschutz-Maßnahmen der Seite zu umgehen" in jedem Fall deaktiviert. Man sei außerdem verpflichtet, Accounts, die in illegale Aktivitäten verwickelt seien, zu deaktivieren, selbst wenn man durch eine Anfrage der Behörden über diese in Kenntnis gesetzt werde. Ermittler, die davon ausgehen, dass eine Deaktivierung der Konten ihre Ermittlungen gefährdet, werden aufgefordert, die Notiz "DO NOT DISABLE UNTIL XX/XX/XXXX" ("nicht vor dem XX.XX.XXXX deaktivieren") explizit in ihrer Anfrage zu vermerken. Sie werden allerdings auch darauf hingewiesen, dass der Fall womöglich schon separat an die zuständige Abteilung gemeldet worden sei und diese dann unter Umständen unabhängig von dem Vorgang handele.

Standardmäßig gebe man lediglich Daten heraus, die zum Zeitpunkt der Anfrage nicht mehr als 90 Tage alt seien, teilt Facebook mit. Man könne allerdings bei Nennung eines spezifischen Datums oder Zeitraums, über den Informationen benötigt werden, womöglich von dieser Regel abweichen.

Ferner nennt das Handbuch formale Voraussetzungen, die eine Anfrage erfüllen muss. Als erstes gehören dazu Informationen über die anfragende Partei. Dazu zählen der Name der betreffenden Behörde, Name, Dienstnummer und Kontaktdaten des zuständigen Beamten sowie die Frist für die Bearbeitung der Anfrage. Facebook bittet darum, einen Bearbeitungszeitraum von mindestens zwei bis sechs Wochen einzuräumen.

Daneben ist auch die Identifizierung des Accounts über E-Mail-Adresse, User-ID oder Benutzername. Das Dokument enthält eine Anleitung, wie man über die URL des betreffenden Profils die Benutzer-ID herausfinden kann.

Zudem fordert Facebook auch die Nennung einiger Details zu den Einzelheiten der laufenden Ermittlungen. So soll es leichter gemacht werden, dem Vorgang die richtige Priorität zuzuweisen und die für den speziellen Fall relevantesten Informationen zusammenzustellen.

Das Handbuch nennt auch die Arten von gespeicherten Daten, die - je nach Fall-Details - herausgegeben werden können. Einerseits sind dies "Basisdaten" des Facebook-Nutzers, laut Dokument manchmal auch als "Neoselect" bezeichnet. Dazu gehören die Benutzer-ID, E-Mail-Adresse, Zeitpunkt der Registrierung, die Zeitpunkte der letzten Log-Ins (sofern diese nicht mehr als zwei bis drei Tage zurückliegen) sowie gegebenenfalls die registrierte Mobilfunk-Nummer.

Daneben gibt es die "erweiterten" Benutzerdaten ("Neoprint"). Diese umfassen im Profil hinterlegte Kontakt-Informationen, einen "Mini-Feed", die History der Status-Updates des Benutzers, "Shares" (also "geteilte" Links, Videos und andere Inhalte), Notizen, Wall-Postings, Freundesliste mit Facebook-IDs, Gruppenliste mit Facebook-IDs, vergangene und zukünftige "Events" sowie eine Auflistung von Videos mit Dateinamen.

Eine weitere Kategorie von Daten sind die Benutzerfotos ("Photoprint"). Diese werden laut Facebook im PDF-Format herausgegeben. Die Auflistung enthält sowohl eigene Fotos des betreffenden Benutzers als auch Fotos anderer Benutzer, in denen diese Person getaggt ist. Werden detaillierte "Gruppen-Informationen" herausgegeben, enthält das Datenpaket die Daten (samt ID) des Erstellers beziehungsweise Admins der Gruppe im XML-Format sowie den "aktuellen Status der Gruppe" im PDF-Format. Private Nachrichten werden "falls gespeichert" ebenfalls im PDF-Format herausgegeben.

IP-Logs, so das Dokument, seien "sehr begrenzt und häufig nicht komplett". Falls verfügbar, können sie aber (als "durch Tabs getrenntes Textdokument", also wahrscheinlich eine CSV- oder ähnliche Datei) bei Bedarf herausgegeben werden. Die IP-Logs enthalten die Zeit des Zugriffs, die Benutzer-ID, die IP-Adresse des Benutzers, das ausgeführte Script auf der Facebook-Seite und der hinterlegte Session Cookie.

Sensationelle Enthüllungen oder Skandale sind in diesem Dokument keine zu finden. Für Facebook-Nutzer (oder auch Kritiker des Sozialen Netzwerks) kann es aber unter Umständen durchaus relevant sein, festzustellen, welche Daten gespeichert werden und wie die Prozeduren für deren Herausgabe aussehen.

Eine Reaktion des Facebook-Managements auf den Leak ist derzeit nicht bekannt.

Annika Kremer am Dienstag, 03.05.2011 18:14 Uhr

tags Tags: facebook social network compliance

Weitere interessante News

13 Reaktionen zu dieser Nachricht

DanVanDamn am 17.05.2011 07:52:15

Ja, auch die USA sind bis zum Beweis ihrer Schuld unschuldig. :D ...
a_d_s am 17.05.2011 05:34:15

Da hat Hasron recht. Manning ist bis zum Beweis des Gegenteils unschuldig. Das begreifen aber viele Leute nicht. Gilt das auch für die Vereinigten Staaten? ...
Annika_Kremer am 10.05.2011 12:53:59

Da hat Hasron recht. Manning ist bis zum Beweis des Gegenteils unschuldig. Das begreifen aber viele Leute nicht. ...
Hasron am 09.05.2011 16:50:32

Manning hat sich ja auch einer Straftat schuldig gemacht. Hat er? Ich warte mal auf die News die du dazu hast - denn bisher gab es keine rechtskräftige Verurteilung... ...
WildWill am 09.05.2011 11:51:21

Du meinst doch nicht etwa, dass Facebook persönliche Daten ohne Gerichtsbeschluss rausgiebt, sondern sich lediglich auf eine rechtlich unverbindliche Begründung in Schriftform verlässt :P Also ich interpretiere das Dokument auf andere weise, Facebook sammelt Daten, ...

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...