Ein Journalist fand Nationalität und Namen Tausender W-Social-Nutzer offen im Netz. Die Plattform verweist auf das öffentliche AT Protocol.
Öffentliche Einträge
W Social bestreitet Datenleck bei Verifizierung
Bildquelle: T. Schneider/Shutterstock.com
Die europäische Social-Media-Plattform W Social hat Vorwürfe zurückgewiesen, personenbezogene Daten ihrer Nutzer offengelegt zu haben. Anlass sind Recherchen des deutschen Tech-Journalisten Gavin Karlmeier. Er hatte eine öffentlich einsehbare Datenbank mit Konten der Plattform entdeckt. Laut Karlmeier war bei mehr als 2.500 Nutzern die Staatsangehörigkeit und bei fast 2.000 der vollständige Name im offenen Netz sichtbar, in seltenen Fällen auch E-Mail-Adressen.
W Social war im Juni 2026 als öffentliche Beta gestartet und hatte laut Cybernews im Juni rund 55.000 Nutzer. Die Plattform positioniert sich als datenschutzorientierte Alternative zu X und verlangt eine Verifizierung mit echter Identität, um Bots fernzuhalten.
„Die Verifizierungseinträge enthalten nur die Informationen, die Nutzer bei der Erstellung eines Kontos auf unserer Plattform öffentlich zugänglich machen wollten.“
W Social
W Social habe den Sachverhalt mit seinem Datenschutzbeauftragten geprüft. Eine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO liege nicht vor.
Einträge im AT Protocol öffentlich
W Social basiert auf dem AT Protocol, das von Bluesky Social PBC entwickelt wurde. Wird ein Konto verifiziert, schreibt W Social laut eigener Darstellung einen Verifizierungseintrag in das Moderationskonto der Plattform auf dem Protokoll. Wie alle Profildaten im AT Protocol sei dieser Eintrag öffentlich. Er enthält den Verifizierungsstatus, das Land, das den Reisepass ausgestellt hat, ein synthetisches Geburtsdatum zur Ableitung einer Altersgruppe und, wenn Nutzer dies wählen, den bürgerlichen Namen. Passbilder, Passnummern, Selfies und echte Geburtsdaten seien darin nicht enthalten. E-Mail-Adressen erschienen nur, wenn Nutzer sie als Handle oder Anzeigenamen verwendeten.
Die Klimaschutz-Plattform We Don’t Have Time hat inzwischen ein Online-Werkzeug veröffentlicht, mit dem W-Social-Nutzer prüfen können, welche ihrer Daten öffentlich einsehbar sind.
Risiko für Phishing und Doxing
Laut Aras Nazarovas, Sicherheitsforscher bei Cybernews, sind die meisten Einträge anonym und enthalten nur Metadaten wie Kennungen und Zeitstempel. W Social könne aber nicht kontrollieren, welche Daten Nutzer eingeben. Wer etwa seine Adresse als Nachnamen eintrage, veröffentliche diese. Aus einem dezentralen System ließen sich solche Daten nur schwer wieder entfernen. Angreifer könnten die Angaben für Doxing oder gezielte Phishing-Angriffe nutzen oder mit Daten aus früheren Leaks verknüpfen.
W Social steht bereits seit seiner Ankündigung wegen seines Verifizierungsverfahrens in der Kritik. Nutzer müssen dafür ihren Reisepass oder biometrische Daten wie ein Selfie in der Begleit-App W Identity hochladen. Laut W Social werden die Dokumente nach der Verifizierung sofort von den Servern gelöscht.
(red)
