Eine wachsende Zahl anonymer X-Nutzer berichtet, über Google Trends entdeckt zu haben, dass ihre vollständigen bürgerlichen Namen, die sie niemals öffentlich im Internet preisgegeben hatten, kurz nach der Veröffentlichung von Kritik an Israels Militäraktionen von Israel aus gesucht worden sind. Die Berichte, dokumentiert in einer diese Woche veröffentlichten Recherche von MintPress News, betreffen Nutzer aus verschiedenen Ländern und politischen Richtungen, die alle eine Gemeinsamkeit teilen: Sie hatten Israel auf der Plattform kritisiert. Ein Nutzer gab an, dass sein vollständiger bürgerlicher Name einschließlich des zweiten Vornamens an einem einzigen Tag elfmal von Israel aus gesucht worden sei, während ein anderer behauptete, sein Name sei nach der Veröffentlichung von Inhalten zum Fall Jeffrey Epstein hundertmal gesucht worden.
Die Kontroverse hat den Blick erneut auf Au10tix gerichtet, das israelische Identitätsverifizierungsunternehmen, das X seit 2020 zur Verarbeitung von Ausweisdokumenten der Nutzer einsetzt. Au10tix entstand 2002 als technologischer Arm von ICTS International, einem in den Niederlanden registrierten Sicherheitsunternehmen, das 1982 von ehemaligen Mitgliedern des Shin Bet, Israels Inlandsgeheimdienst, und ehemaligen Sicherheitsbeamten der israelischen Fluggesellschaft El Al gegründet worden war. Das Unternehmen mit operativem Sitz in Hod HaSharon in Israel verlangt von X-Nutzern, die eine Premium-Verifizierung anstreben, das Hochladen eines amtlichen Lichtbildausweises und eines Selfies, die dann zur biometrischen Verarbeitung an Au10tix übermittelt werden.
Mehrere Au10tix-Mitarbeiter verfügen über bestätigte Hintergründe bei der Einheit 8200, Israels Fernmeldeaufklärungseinheit, die der US-amerikanischen NSA entspricht und etwa 90 Prozent des israelischen Geheimdienstmaterials liefert. Laut öffentlich zugänglichen LinkedIn-Profilen besetzen ehemalige Angehörige der Einheit 8200 Positionen vom Entwickler bis zum Analysemanager im Unternehmen. Ehemalige der Einheit 8200 gründeten auch umstrittene Überwachungsfirmen, darunter die NSO Group, den Hersteller der Pegasus-Spähsoftware. Au10tix hat erklärt, sich internationalen Datenschutzstandards verpflichtet zu fühlen und keine Daten an Dritte weiterzugeben.
Die Datenschutzbedenken verschärfen sich durch eine schwerwiegende Datenpanne, die im Juni 2024 von 404 Media aufgedeckt worden ist. Eine Infostealer-Schadsoftware auf dem Computer eines Au10tix-Mitarbeiters erbeutete im Dezember 2022 Administratorzugangsdaten, die im März 2023 in einem Telegram-Kanal veröffentlicht worden sind. Sicherheitsforscher stellten fest, dass die Zugangsdaten 18 Monate später noch funktionsfähig waren, was potenziell die vollständigen Namen, Geburtsdaten, Staatsangehörigkeiten, Ausweisnummern und Gesichtsscans von Nutzern aus dem gesamten Kundenstamm von Au10tix offenlegte, zu dem auch TikTok, Uber, LinkedIn und Coinbase gehörten. Die Electronic Frontier Foundation warnte, dass Identitätsverifizierungssysteme grundsätzlich Überwachungssysteme seien und solche Datenpannen zu Identitätsdiebstahl, Erpressung oder dem Verlust der Anonymität führen könnten.
Der Zeitpunkt der Berichte ist besonders heikel, da sie etwa eine Woche nach dem Start koordinierter Militärschläge der Vereinigten Staaten und Israels gegen den Iran am 28. Februar auftraten. Die Europäische Union, das Vereinigte Königreich und der Europäische Wirtschaftsraum sind vom Au10tix-basierten Verifizierungsprogramm von X ausgenommen, fast sicher weil die Datenschutz-Grundverordnung die Übermittlung biometrischer Daten an Drittunternehmen unter solchen Bedingungen untersagt. X leitete im Juni 2024 eine teilweise Umstellung auf den Zahlungsdienstleister Stripe für die US-amerikanische Verifizierung ein, nachdem Eigentümer Elon Musk Nutzerbeschwerden anerkannt hatte, doch das Unternehmen setzt weiterhin auf einen Ansatz mit mehreren Anbietern, der Au10tix einschließt. Experten haben darauf hingewiesen, dass Google-Trends-Daten bekannte Stichprobenbegrenzungen aufweisen, die bei Suchanfragen mit geringem Volumen in kleinen Regionen irreführende Ergebnisse liefern könnten, was bedeutet, dass die Belege zwar auf der Plattform sichtbar, aber kein endgültiger Beweis für eine systematische Überwachung sind.
Kommentare