Facebook hat zugegeben, die Passwörter von Millionen Nutzern in unverschlüsselter Form auf seinen internen Servern gespeichert zu haben. "Wir gehen davon aus, dass wir hunderte Millionen Nutzer von Facebook Lite, Dutzende Millionen weitere Facebook-Nutzer sowie zehntausende Instagram-Nutzer benachrichtigen werden", erklärte das Unternehmen. Facebook Lite ist eine abgespeckte Version der App.

Die Passwörter seien aber "niemals" für Aussenstehende sichtbar gewesen und es gebe "bislang" keinen Hinweis, dass Mitarbeiter sie missbraucht hätten, teilte das Unternehmen in einem Blogbeitrag mit. Die Betroffenen würden informiert, das Problem sei mittlerweile gelöst.

Die Passwörter hätten eigentlich auch intern unkenntlich sein müssen. Der Fehler sei bei einer Routine-Prüfung im Januar aufgefallen. Er sei inzwischen behoben worden – Facebook machte keine Angaben dazu, wann genau.

Kurz vor der Facebook-Mitteilung hatte der IT-Sicherheitsexperte Brian Krebs in seinem Blog von dem Fall berichtet. Er schrieb unter Berufung auf einen nicht namentlich genannten Facebook-Insider, mehr als 20'000 Mitarbeiter des Online-Netzwerks hätten auf die im Klartext gespeicherten Passwörter zugreifen können. Insgesamt könnten 200 bis 600 Millionen Facebook-Nutzer betroffen sein.

Die Archiv-Dateien mit unverschleierten Passwörtern gingen bis ins Jahr 2012 zurück, hiess es bei Krebs weiter. Laut Logdaten hätten rund 2000 Entwickler rund neun Millionen interne Abfragen nach Daten gemacht, die ungeschützte Passwörter enthielten, schrieb der Sicherheitsexperte unter Berufung auf den Firmen-Insider. Facebook machte dazu zunächst keine Angaben. (sda/mag)