Discord-Nachrichten-Scraping-Dienst behauptet Zugriff auf 1,8 Milliarden Nachrichten

Eine neue Art von Datenscraping zielt auf Discord-Nutzer ab

Entwickler von Discord-orientierten Online-Tools bewerben einen Dienst, der angeblich 1,8 Milliarden Nachrichten von 35 Millionen Nutzern aus 6.000 Servern gescrapt hat. Der angebliche Datenbestand umfasst auch 207 Millionen Sprachsitzungen, Benutzerprofile und Dateien, was ernsthafte Datenschutzbedenken aufwirft. Dies geschieht weniger als zwei Jahre, nachdem Discord einen ähnlichen Dienst, Spy.Pet, wegen Verstoßes gegen seine Nutzungsbedingungen abgeschaltet hat.

Der neue Dienst, der in einem beliebten Datenleck-Forum beworben wird, behauptet, zahlenden Abonnenten die Möglichkeit zu bieten, Milliarden von Datensätzen zu durchsuchen. Forscher von Cybernews, die zuerst über den Dienst berichteten, warnen, dass ein solcher Zugang für gezielte Belästigung, Doxxing und andere böswillige Aktivitäten genutzt werden könnte.

Der technische Umfang des angeblichen Scrapings

Laut der Anzeige indexiert der Dienst 1,8 Milliarden Nachrichten von 35 Millionen Nutzern. Aber die Daten gehen über Text hinaus: Sie umfassen Berichten zufolge Metadaten von Sprachsitzungen aus 207 Millionen Anrufen, Benutzerprofilinformationen und auf Server hochgeladene Dateien. Das Cybernews-Forschungsteam stellt fest, dass es unmöglich ist, den vollen Umfang zu überprüfen, ohne den Dienst zu abonnieren (wovon sie abraten), aber die Behauptung der Live-Indexierung deutet auf eine kontinuierliche Datensammlung hin.

Dieser Umfang übertrifft die frühere Spy.Pet-Operation, die öffentliche Nachrichten von 620 Millionen Nutzern scraped. Der neue Dienst integriert auch Daten aus durchgesickerten Datenbanken und FiveM-Servern und erweitert so seine Reichweite über Discord hinaus.

Wie Discord-Datenscraping typischerweise funktioniert

Discord-Nachrichten-Scraping basiert in der Regel auf Automatisierungstools oder Selfbots (automatisierten Benutzerkonten), die Daten aus Kanälen extrahieren, auf die der Bot zugreifen kann. Öffentliche Discord-Server sind besonders anfällig, da ihre Nachrichten für jedes Mitglied sichtbar sind. Kommerzielle Scraping-Tools, wie sie auf Plattformen wie Apify erhältlich sind, bieten Schritt-für-Schritt-Anleitungen zum Erhalten von Discord-Tokens und zum Exportieren von Nachrichtenverläufen. Obwohl diese Tools legitime Verwendungszwecke haben – Community-Analyse, Archivierung oder Backup – können sie leicht von böswilligen Akteuren missbraucht werden.

Estnische Registrierung, russische Server: Ein Datenschutz-Paradoxon

Die Allgemeinen Geschäftsbedingungen des Dienstes besagen, dass er von Estland aus betrieben wird, einem EU-Mitglied mit strenger GDPR-Durchsetzung. Dieselben AGB geben jedoch an, dass die gescrapten Daten auf Servern in Russland gespeichert werden. Dies schafft eine rechtliche Grauzone: Während die Einhaltung der EU-Datenschutzgesetze behauptet wird, könnte das Datenlager effektiv außerhalb der Reichweite der EU liegen.

„Der Dienst wurde wahrscheinlich geschaffen, um Online-Belästigung zu erleichtern“, erklärte das Cybernews-Team. Die Zwei-Standort-Strategie könnte den Betreibern helfen, rechtliche Konsequenzen zu vermeiden, während sie die Daten auf zwei Arten monetarisieren: Sie verlangen Gebühren von Nutzern für den Zugriff auf Nachrichten und von Opfern für den Ausschluss ihrer Daten.

Monetarisierung durch Privatsphäre-Verletzung

Das Geschäftsmodell des Dienstes scheint darauf ausgelegt zu sein, sowohl die Nachfrage nach Überwachung als auch die Verzweiflung nach Privatsphäre auszunutzen. Forscher stellen fest, dass dies dem Spy.Pet-Modell ähnelt, das ebenfalls eine „Enterprise-Option“ für KI-Training anbot – angeblich mit Interesse von Bundesbehörden. Indem die Betreiber sowohl für den Zugriff als auch für die Löschung Gebühren verlangen, können sie von dem von ihnen verursachten Datenleck profitieren.

Vergleich mit Spy.Pet und dem Katz-und-Maus-Spiel

Anfang 2024 sperrte Discord mit Spy.Pet verbundene Konten und Bots und unterbrach damit effektiv dessen Datenversorgung. Discords Nutzungsbedingungen verbieten Scraping ausdrücklich, und das Unternehmen hat erklärt, dass es Durchsetzungsmaßnahmen gegen Verstöße ergreift. Doch das Auftauchen eines ähnlichen Dienstes deutet darauf hin, dass die Maßnahmen unzureichend sind.

Der neue Dienst behauptet, eine „stärkere Integration mit durchgesickerten Datenbanken und FiveM-Servern“ zu haben, was auf eine Weiterentwicklung der Datenaggregation hindeutet. FiveM, ein beliebter Grand Theft Auto-Multiplayer-Mod, hostet oft große Communities mit Discord-Servern. Durch die Kombination von Discord-Daten mit externen Datenlecks erstellt der Dienst ein umfassenderes Profil der Nutzer, was seinen Wert für Belästigung oder Identitätsdiebstahl erhöht.

Auswirkungen für Discord-Nutzer und Communities

Für normale Nutzer bedeutet die Existenz eines solchen Dienstes, dass alles, was in öffentlichen Discord-Servern gepostet wird, archiviert, durchsuchbar und für jeden zugänglich sein könnte, der bereit ist zu zahlen. Selbst private Server sind nicht immun, wenn ein Mitglied einen Scraper-Bot betreibt. Sprachsitzungen, die schwerer aufzuzeichnen sind, sind jetzt ebenfalls Ziel.

Das Risiko ist nicht hypothetisch: Anfang dieses Jahres behauptete eine Gruppe, über 348 Millionen Nachrichten von fast 1.000 öffentlichen Discord-Servern gescrapt zu haben. Mit immer ausgefeilteren und zugänglicheren Tools sinkt die Einstiegshürde für groß angelegtes Scraping. Community-Manager und Server-Administratoren sollten proaktive Schritte unternehmen, um die Exposition zu begrenzen, wie z. B. die Sichtbarkeit des Nachrichtenverlaufs einzuschränken und auf unbefugte Bots zu achten.

Discord hat sich noch nicht öffentlich zu diesem speziellen Dienst geäußert, aber das Muster deutet auf ein fortgesetztes Katz-und-Maus-Spiel hin. Wenn eine Datenscraping-Operation abgeschaltet wird, taucht eine andere auf – oft mit mehr Funktionen und besseren Umgehungstechniken. Das Wettrüsten zwischen Plattformsicherheit und Datensammlern zeigt keine Anzeichen einer Verlangsamung.