Aktuell | c't investigativ: Europol Most Wanted | c't

Datenpanne in Europols Most-Wanted-Liste

Erfolge dokumentierte Europol in der Most-Wanted-Liste durch verfremdete Fahndungseinträge. Doch die Anonymisierung war unzureichend, wie c’t herausfand.

Die EU-Polizeibehörde Europol macht auf der Website eumostwanted.eu eine Liste der meist gesuchten Tatverdächtigen einsehbar und aktualisiert sie dort ständig.. Dabei kam es zu einer Panne, wie c’t aufdeckte: Die Daten kürzlich gefasster Personen wurden nur unvollständig von der Fahndungsliste entfernt, sodass sie ohne Rechtsgrundlage weiterhin abrufbar waren.

Die Website zeigt ein Foto der gesuchten Person mit ihrem Namen. Außerdem sind, wenn man mit der Maus über das Fahndungsfoto fährt, weitere Details wie Alter und Tatvorwürfe abrufbar. Wurde eine Person gefasst, ersetzte man bis Ende Oktober das Fahndungsfoto durch ein Symbolbild und ein Banner „Arrested“. Außerdem wurde das Namensfeld ebenfalls mit dem Wort „Arrested“ überschrieben.

Diese Anonymisierung ist erforderlich, da mit der Ergreifung die Rechtsgrundlage für die Veröffentlichung von Fahndungsfoto und Personendaten entfällt – schließlich ist die Fahndung abgeschlossen. Das Alter und die Tatvorwürfe waren zwar weiterhin abrufbar, weshalb der Eintrag in der Fahndungsliste weiter mit dem Fahndungseintrag in der Datenbank verknüpft blieb. Diese Informationen waren aber ohne Namen und Foto keiner Person mehr zuzuordnen. Offenbar wollte Europol so die Fahndungserfolge öffentlichkeitswirksam dokumentieren.

Unzureichend anonymisiert: Um Fahndungserfolge zu dokumentieren, wurden nach Ergreifung lediglich Fahndungsfoto und der Namenseintrag überschrieben. Dass beim Bild weiterhin der vollständige Name der Person zu sehen war, fiel erst c’t auf.

Dabei übersah das Web-Team von Enfast (European Network of Fugitive Active Search Teams), dem Zusammenschluss der fahndenden Ermittlungsbehörden der einzelnen Länder, das die Website betreibt, dass nicht nur Alter und Tatvorwurf aus der Fahndungsdatenbank ausgelesen werden: Das HTML-Image-Tag des Fahndungsfotos enthält auch den alt-Parameter, in dem etwa Text-Browser eine Beschreibung des Bildinhalts finden. Dieser wurde mit dem Namen der Person direkt aus der Fahndungsdatenbank gespeist und nicht mit „Arrested“ überschrieben, sodass selbst nach Abschluss der Fahndung Name, Alter und Tatvorwürfe weiterhin öffentlich abrufbar waren, obwohl sie eigentlich unkenntlich sein sollten.

Wir informierten Europol über das Ergebnis unsere Recherchen, woraufhin die Behörde umgehend alle abgeschlossenen Fahndungen vollständig aus der Liste gelöscht hat und auch künftig nicht mehr anzeigen will. (mid@ct.de)