Darum gehts
- Private Fotos aus Dating-Apps monatelang ungeschützt im Internet zugänglich
- Sicherheitsexperte entdeckte Lücke, Entwickler reagierte erst nach Medienanfrage
- Schätzungsweise 800'000 bis 900'000 Menschen nutzen die betroffenen Apps
Alptraum für Betroffene: Fast 1,5 Millionen private Fotos von Nutzern spezieller Dating-Apps lagen monatelang ungeschützt im Internet – für jeden zugänglich, der den Link kannte. Betroffen sind fünf Apps des Entwicklers M.A.D Mobile: die Fetisch-App BDSM People, die Sugardaddy-App Chica sowie die LGBT-Apps Pink, Translove und Brish.
Laut einem Bericht der BBC werden die Apps von schätzungsweise 800'000 bis 900'000 Menschen genutzt. Viele der Bilder zeigten auch explizite Inhalte.
«Ein nackter Mann»
Der Sicherheitsexperte Aras Nazarovas vom News-Portal cybernews.com entdeckte die Lücke. Bei einer Analyse des Quellcodes stiess er auf Zugangsdaten zu einem digitalen Speicher, der ohne Passwortschutz einsehbar war. «Die erste App, die ich analysierte, war BDSM People. Das erste Bild in dem Ordner zeigte einen nackten Mann in seinen Dreissigern», schildert Nazarovas der BBC. «Da war mir sofort klar, dass dieser Ordner keinesfalls öffentlich sein sollte.»
Besonders problematisch: Unter den Bildern befanden sich nicht nur Profilfotos, sondern auch Aufnahmen aus privaten Nachrichten und sogar Bilder, die von Moderatoren wegen Regelverstössen entfernt worden waren.
Cyberkriminelle könnten solche Bilder für Erpressungen nutzen. Für Nutzerinnen und Nutzer aus Ländern, in denen Homosexualität verfolgt wird, können solche Bilder sogar lebensbedrohlich sein. Obwohl die Bilder nicht mit Nutzernamen oder Klarnamen verknüpft waren, könnten Kriminelle mithilfe etablierter Software zur Analyse von biometrischen Daten die Identität der Betroffenen herausfinden.
Entwickler reagiert erst nach Monaten
M.A.D Mobile wurde bereits am 20. Januar 2025 über das Problem informiert – reagierte jedoch erst, nachdem die BBC am vergangenen Freitag nachfragte. Die Sicherheitslücke wurde mittlerweile geschlossen. Warum es Monate dauerte, bis auf die wiederholten Warnungen reagiert wurde, liess die Firma unbeantwortet.
Der Fall erinnert an den Hack der Seitensprung-Plattform Ashley Madison im Jahr 2015, bei dem Kundendaten gestohlen und später veröffentlicht wurden – mit verheerenden Folgen für die Betroffenen. Betroffen vom damaligen Hack waren auch 160'000 Kunden aus der Schweiz.
