Bei eBay zu verkaufen: Datenbank für militärische Fingerabdrücke und Iris-Scans

„Das hätte nicht passieren dürfen“, sagte Becker. „Es ist eine Katastrophe für die Menschen, deren Daten offengelegt werden. Im schlimmsten Fall können die Folgen schwerwiegend sein.“

Von den sechs Geräten, die die Forscher bei eBay gekauft haben – vier SEEKs und zwei HIIDEs für tragbare behördenübergreifende Identifikationsgeräte – enthielten zwei der SEEK II-Geräte sensible Daten. Ein zweites SEEK II, dessen Website-Metadaten zeigen, dass es zuletzt 2013 in Jordanien verwendet wurde, scheint die Fingerabdrücke und Iris-Scans einer kleinen Gruppe von US-Militärangehörigen zu enthalten.

Als die Times eintraf, bestätigte ein Amerikaner, dessen biometrischer Scan auf dem Gerät gefunden worden war, dass die Daten wahrscheinlich seine waren. Er arbeitete zuvor als Marine-Geheimdienstexperte und sagte, seine Daten und die aller anderen Amerikaner auf den Geräten seien wahrscheinlich während eines militärischen Trainingskurses gesammelt worden. Der Mann, der unter der Bedingung der Anonymität sprach, weil er immer noch im Geheimdienstgeschäft arbeitet und nicht berechtigt war, öffentlich zu sprechen, bat darum, sein biometrisches Profil zu löschen.

Militärbeamte sagten, der einzige Grund, warum diese Geräte Daten über Amerikaner enthalten könnten, sei, dass sie während Trainingseinheiten verwendet wurden, was üblich ist, um sich auf ihren Einsatz im Feld vorzubereiten.

Laut der Defense Logistics Agency, die jedes Jahr Millionen von Dollar an überschüssigen Pentagon-Materialien handhabt, hätten Geräte wie SEEK II und HIIDE es niemals auf den freien Markt schaffen dürfen – geschweige denn auf eine Online-Auktionsseite wie eBay. Stattdessen sollen alle biometrischen Erfassungsgeräte vor Ort zerstört werden, wenn Militärpersonal sie nicht mehr benötigt, wie dies bei anderen elektronischen Geräten der Fall ist, die zuvor sensible Betriebsinformationen enthielten.

Es ist unklar, wie eBay-Verkäufer diese Geräte erworben haben. Das Gerät mit dem Profil 2632 wurde von Rhino Trade verkauft, einem texanischen Unternehmen für überschüssige Ausrüstung. Der Schatzmeister des Unternehmens, David Mendez, sagte, es habe den SEEK II bei einer staatlichen Ausrüstungsauktion gekauft, ohne zu ahnen, dass das stillgelegte Militärgerät sensible Daten enthalten würde.

„Ich hoffe, wir machen nichts falsch“, sagte er.

Der SEEK II wurde mit Informationen der US-Streitkräfte von Tech-Mart, einem in Ohio ansässigen eBay-Verkäufer, geliefert. Tech-Mart-Ladenbesitzer Ayman Arafa weigerte sich, offenzulegen, wie er oder die anderen beiden Geräte, die er an Forscher verkaufte, erworben wurden.