Warum Maliks Microsoft-Login plötzlich nicht mehr funktionierte.

tl;dr: Vertrauen Sie Ihre Daten nicht Big Tech an. Wählen Sie Dienste, die Ihre Daten verschlüsseln und Ihre Privatsphäre respektieren, wie Tutanota. 😉

Microsoft-Login blockiert

Wie die deutsche Tech-Seite Heise berichtet, konnte sich Malik plötzlich nicht mehr bei seinem Microsoft-Konto einloggen, ohne zu wissen, warum das passiert war.

Was noch schlimmer war: Wie von Microsoft empfohlen, hatte er alle seine Daten mit Bitlocker verschlüsselt und den Verschlüsselungsschlüssel nicht lokal, sondern bei Microsoft gespeichert. Laut Microsoft sei dies die beste Option, um seine Sicherheit zu erhöhen. Doch nun hatte er aufgrund dieser Entscheidung keinen Zugriff mehr auf seine Daten: Da er nicht auf sein Microsoft-Konto zugreifen konnte, hatte er auch keinen Zugriff auf den Schlüssel, der für die Entschlüsselung seiner Daten erforderlich gewesen wäre.

Auch andere Logins waren weg, da Malik nicht mehr auf seine OTP-Schlüssel mit zweitem Faktor zugreifen konnte, die er mit Microsoft Authenticator generiert hatte.

Big Tech und automatisierte Scans

Das Problem wurde durch einen automatischen Scan verursacht. Dieser suchte nach kriminellen Inhalten und markierte Maliks Microsoft-Konto als missbräuchlich. Solche Vorfälle sind keine Seltenheit.

Ein ähnlicher Fall ereignete sich bei einem Gmail-Nutzer, dessen gesamtes Google-Konto gesperrt wurde, weil er während der Covid 19-Lockdowns Nacktbilder seines Sohnes zur Ferndiagnose an seinen Arzt geschickt hatte: E-Mails, Kalender, Fotos, Logins - alles auf einen Schlag weg.

Big Tech-Unternehmen wie Microsoft und Google sind dafür bekannt, Benutzerkonten ohne Vorwarnung zu sperren. Sie setzen automatische Scans ein, um kriminelle Inhalte zu markieren, z. B. Nacktbilder von Kindern.

Um den sexuellen Missbrauch von Kindern zu verhindern oder aufzudecken, scannen viele Plattformen wie Microsoft, Google und Meta die Inhalte ihrer Nutzer. Sie verwenden Algorithmen und maschinelles Lernen, um bereits bekannte Bilder zu finden und auch neue zu erkennen. Die Big-Tech-Unternehmen leiten ihre Erkenntnisse an das National Center for Missing and Exploited Children (NCMEC) weiter, wo sie mit einer Datenbank abgeglichen werden. Das NCMEC leitet die Verdachtsfälle an die Strafverfolgungsbehörden weiter, auch international.

Die automatisierten Scans sind jedoch nicht immer korrekt und blockieren daher auch versehentlich Logins bei Microsoft und Google.

Das Hauptproblem für die Betroffenen ist, dass sie ihre gesamte digitale Identität bei einem Online-Dienst haben - wenn das Konto verloren geht, ist auch diese digitale Identität verloren.

Zumindest war das bei Malik der Fall, wie Heise berichtet:

“Die Daten auf OneDrive sind noch da, aber Malik, den wir hier auf seinen Wunsch hin nicht mit seinem richtigen Namen nennen, kann nicht mehr darauf zugreifen. Damit sind Fotos aus 13 Jahren, alle Arbeiten und Recherchen für sein laufendes Informatikstudium, Dokumente für seine Arbeit als studentische Hilfskraft in der IT-Branche und sensible Dokumente, die im “sicheren Tresor” von OneDrive gespeichert sind, zumindest vorerst verloren. Microsoft lässt Malik auch nicht in die Xbox-Bibliothek, und seine Spiele für über 1000 Euro kann er vergessen. Ganz zu schweigen von der 400 Euro teuren Familienlizenz für Office 365, die nun nutzlos ist.

”Kurz vor der Sperrung hat Malik seine Fotosammlung in OneDrive über das Microsoft-Konto sortiert, ansonsten ist nichts Besonderes passiert. Doch Microsoft begründet die Sperrung so: “Wir haben Aktivitäten festgestellt, die gegen unsere Microsoft-Dienstvereinbarung verstoßen” Malik kann nicht wissen, dass sich hinter diesem nichtssagenden Satz der Verdacht der Verbreitung von Kinderpornografie verbirgt. Er ist ratlos.”

Ähnliche Vorfälle sind nicht nur von Microsoft, sondern auch von Google, Amazon oder Apple bekannt geworden. Was für die Menschen frustrierend ist, wenn ihr Konto gesperrt wird, ist der komplizierte Prozess, um wieder Zugang zu erhalten.

Diese großen Technologieunternehmen machen es ihren Kunden sehr schwer, sie zu kontaktieren. Und selbst wenn man den Support erreicht, kann es sehr mühsam - wenn nicht gar unmöglich - sein, sie davon zu überzeugen, dass man nichts Illegales getan hat und dass sie das Konto wieder freischalten sollen.

In dem Bericht der New York Times über ein gesperrtes Google-Konto spekuliert die Rechtsprofessorin Frau Hessick:

“Aus der Sicht von Google ist es einfacher, diesen Leuten die Nutzung ihrer Dienste zu verweigern. Andernfalls müsste das Unternehmen schwierigere Fragen darüber klären, “was ein angemessenes Verhalten bei Kindern ist und was dann angemessen ist, um zu fotografieren oder nicht”.

In diesem Fall war es eine besonders schwerwiegende Entscheidung von Google, da das Konto gesperrt blieb, nachdem der Mann, dessen Konto gesperrt wurde, Google seine Unschuld bewiesen hatte. Er verfügte sogar über einen Polizeibericht, aus dem hervorging, dass die Behörden entschieden hatten, dass das Senden des Nacktfotos seines Sohnes an seinen Arzt “keinen Kindesmissbrauch oder Ausbeutung” darstellte.

Trotzdem hat Google die Sperrung des Kontos nicht aufgehoben. Daraufhin wurde es aufgrund von Inaktivität dauerhaft gelöscht.

Prozess ist legal

Das Verfahren von Microsoft, Google und anderen zur Sperrung von Nutzerkonten ist völlig legal. Während die Sperrung eines Kontos nur wegen eines “wichtigen Grundes”, zum Beispiel der Verbreitung von Kinderpornografie, erfolgen darf, kann die Sperrung bei Verdacht jedoch sofort und dauerhaft erfolgen. Ein begründeter Verdacht des Onlinedienstes ist absolut ausreichend - auch wenn sich der Verdacht als falsch herausstellt.

Im Fall von Malik wurde sein Microsoft-Login wegen des Verdachts der Speicherung von kinderpornografischem Material auf Microsofts OneDrive gesperrt. Nach Maliks Angaben handelte es sich um harmlose Bilder, die seinen Neffen nackt beim Spielen am Strand zeigen.

Die mit seinem Smartphone aufgenommenen Bilder waren auf OneDrive hochgeladen worden, wo sie von Microsofts CSAM-Scan als potenziell kriminelle Inhalte eingestuft wurden.

Als Malik sich an den Microsoft-Support wandte und das Problem schilderte, erhielt er lediglich die Antwort: “Microsoft hat den Zugriff auf das Konto aufgrund eines schwerwiegenden Verstoßes gegen die Microsoft-Dienstvereinbarung deaktiviert.”

Rechtsstreit gegen Sperre

Die Rechtsanwälte Sebastian Laoutoumai und Oliver Löffel empfehlen in dem Heise-Artikel, dass jeder, dem der Login zu seinem Online-Dienst grundlos gesperrt wurde, die Sperrung sofort anfechten und den Dienst abmahnen sollte. Reagiert der Dienst “nicht oder nicht wie gewünscht”, kann man in Deutschland eine einstweilige Verfügung gegen die Sperrung des Kontos beantragen: “Diese verbietet dem Online-Dienst die Sperrung des Kontos - aus bestimmten Gründen oder ohne Angabe von Gründen - unter Androhung eines Ordnungsgeldes von bis zu 250.000 Euro.”

Was geschah mit Malik?

Maliks Fall wurde von der Polizei untersucht, die die Anklage wegen der Verbreitung kinderpornografischer Bilder fallen ließ.

Sein Microsoft-Konto blieb jedoch weiterhin gesperrt.

Behalten Sie Ihre Daten lokal und zahlen Sie für Dienste

Viele Google-Nutzer berichten, wie schwierig - oder unmöglich - es ist, ein Konto, für das der Login gesperrt wurde, wieder zurückzubekommen (1, 2, 3).

Die beiden hier geschilderten Beispiele von Microsoft- und Google-Nutzern, die den Zugang zu ihrem Login verloren haben, zeigen, wie “einfach” es für Big Tech ist, mit dieser Praxis der Sperrung von Konten auf der Grundlage von automatischen Scans durchzukommen. Es ist daher ratsam, Microsoft oder Google nicht als einzigen Backup- oder Originalspeicher zu verwenden.

Stattdessen sollten Sie immer eine lokale Sicherungskopie Ihrer Daten behalten. Es ist auch empfehlenswert, für Online-Dienste zu bezahlen, da der direkte Support oft auf zahlende Kunden beschränkt ist. Wenn Sie Ihre Anmeldedaten verlieren, kann ein schneller Zugang zum Support entscheidend sein.