Datenpanne: Unesco entblößt Bewerber im Netz
Schwere Datenpanne bei der Unesco: Wer sich in den vergangenen Jahren bei der UN-Organisation in Paris beworben hat, muss damit rechnen, dass Dritte seine Daten eingesehen haben. Unzählige Bewerbungen waren jahrelang im Internet frei abrufbar.
Die UN-Organisation für Bildung, Wissenschaft und Kultur (Unesco) hat über Jahre hinweg Bewerbungsunterlagen für jeden einsehbar ins Internet gestellt. Die Dokumente enthielten nach Recherchen von Spiegel Online Informationen über den Bildungsweg, die bisherigen Arbeitgeber und zum Teil auch Angaben über Jahresgehälter. Betroffen waren zwei Datenbanken, eine mit Bewerbungen um Praktikumsplätze, die andere für reguläre Posten innerhalb der Organisation. "Ja, es gab ein echtes Problem", bestätigte eine Unesco-Sprecherin am Donnerstagabend gegenüber dpa in Paris. Die Sicherheitslücken seien nach ihren Informationen aber mittlerweile geschlossen.
Laut dem Bericht von Spiegel Online waren Zehn-, womöglich Hunderttausende Bewerbungsunterlagen frei im Internet abrufbar – inklusive Anschreiben und Adressen. Aus den Bewerbungen erfahre man zum Beispiel exakt, wie viel ein leitender Mitarbeiter im diplomatischen Dienst Pakistans verdiene (einen sechsstelligen Dollar-Betrag) und welche Angestellten der Weltbank zur Unesco wechseln wollen. Die Bewerber kämen aus aller Welt. Unter ihnen seien Diplomaten und Wissenschaftler. "Die Unesco und ich, das könnte eine Liebesgeschichte werden", zitiert Spiegel Online aus dem Anschreiben einer Bewerberin. Die stichprobenweise eingesehenen Bewerbungen stammten aus den Jahren 2006 bis 2011.
Die Unterlagen von Praktika-Bewerbern waren völlig ungeschützt über die Eingabe einer bestimmten URL abrufbar. Um zu einem anderen Bewerber zu springen, soll es gereicht haben, die Kennziffer in der URL zu verändern. Die Bewerbungen für reguläre Unesco-Stellen waren nur einsehbar, wenn man sich als Bewerber bei der Unesco registriert hatte – dazu reichte aber eine Mail-Adresse, wie es heißt. Zu anderen Bewerbern sei man wiederum über die Veränderung der Kennziffer in der Adresszeile gekommen.
"Ich habe meine personenbezogenen Daten der Unesco zur internen Datenverarbeitung zur Verfügung gestellt, diese waren keinesfalls zur Weitergabe an Dritte bestimmt", wird ein betroffener Bewerber zitiert. Die Unesco muss sich nun auch den Vorwurf gefallen lassen, wochenlang nicht auf Hinweise auf das Sicherheitsproblem reagiert zu haben. Ein Unesco-Bewerber soll das Problem bereits vor mehr als einem Monat entdeckt und die Organisation schriftlich darüber informiert haben. Die Unesco wollte sich dazu nicht äußern. Bis zum Donnerstagnachmittag sollen weiter Bewerbungen zugänglich gewesen sein.
Die 1945 in London gegründete Unesco ist in der breiten Öffentlichkeit vor allem für ihre Welterbeliste bekannt. Die mehr als 2000 Mitarbeiter in der Pariser Zentrale und den 65 Außenbüros kümmern sich aber auch um Bildungsprojekte in Entwicklungsländern, den Schutz von Ökosystemen oder Wissenschaftsprogramme. Deutschland ist seit 1951 Mitglied und nach den USA und Japan drittgrößter Beitragszahler. (jk)
