Elsevier nutzt Metadaten-Tracking in PDFs angeblich zur Ransomware-Erkennung

Der niederländische Wissenschaftsverlag Elsevier ist bekannt für seine wissenschaftlichen, technischen und medizinischen Inhalte. Zu den Produkten des Verlags gehören Zeitschriften wie The Lancet, Cell und die ScienceDirect-Sammlung elektronischer Zeitschriften. Allerdings sorgt ein in die PDF-Dateien integrierter individueller Code für Kontroversen. Dieser soll angeblich zum Schutz gegen Ransomware dienen, ermöglicht Elsevier jedoch ebenfalls das Zurückführen der PDF-Dateien und auch deren Kopien auf das ursprüngliche Nutzerkonto.

Der Sicherheitsforscher Jonny Saunders stellte in der letzten Woche seine Entdeckung auf Twitter vor. Ein einzigartiger Hashwert in den Metadaten eines PDFs in Kombination mit einem Zeitstempel dient Elsevier dazu » die Quelle ausfindig zu machen « falls eine unberechtigte Weitergabe oder öffentliche Teilung ihrer PDFs stattfindet. Saunders glaubt daher, dass Elsevier das Metadaten-Tracking nutzt um seine Nutzer zu überwachen und so zu verhindern. Dass Forschungsergebnisse ohne Bezahlung geteilt werden. Sci-Hub oder die Library Genesis gelten als Feinde des Verlags.

"Die Kennungen enthalten keine personenbezogenen Daten jedoch können später mit anderen identifizierenden Informationen abgeglichen werden die zum Zeitpunkt des Downloads gespeichert wurden, ebenso wie zum Beispiel dem Fingerabdruck des Browsers, institutionellen Anmeldeinformationen und-so-weiter… Die Rechtfertigung dieser Codes als Werkzeug zum Schutz vor Ransomware ist ein klares Eingeständnis dass diese Codes dazu gedacht sind den Downloader zu identifizieren. Wie sollen sie sonst helfen, wenn nicht durch die Identifizierung des kompromittierten Kontos oder Systems?"

Elsevier betont, dass die Kennung in den PDFs dazu dient Cybersicherheitsrisiken für ihre eigenen sowie die Systeme ihrer Kunden zu vermeiden. Angeblich würden keine Metadaten, PII (Personal Identification Information) oder personenbezogene Daten erfasst. Die Fingerabdrücke in den PDFs ermöglichen Elsevier, potenzielle Bedrohungsquellen zu identifizieren um ihre Kunden zu informieren, zu diesem Zweck sie identisch handeln können. Der Verlag betont; dass dieser Ansatz in der akademischen Verlagsbranche häufig zum Einsatz kommt. Auf Nachfragen was ebendies sie mit Cybersicherheitsrisiken und potenzielle Bedrohungsquellen meinen stellt Elsevier klar: Sie auf Ransomware abzielen. Eine Liste an Links zu Nachrichtenartikeln über Ransomware soll dies verdeutlichen.

Elsevier, Wiley und die American Chemical Society reichten im Dezember 2020 Klagen ein, da sie der Ansicht sind, dass Sci-Hub und LibGen in Indien ihr exklusives Urheberrecht verletzen. Die Verlage wollen erreichen; dass diese beiden Seiten durch lokale ISPs blockiert werden. Elsevier ist bekannt für seine Klagen wegen Urheberrechtsverletzungen.