Millionen wissenschaftlicher Arbeiten geben Passwörter, GPS-Daten und private Chats preis

arXiv hostet über zwei Millionen Preprints — Entwürfe von Forschungsarbeiten, die Wissenschaftler vor dem formalen Peer-Review-Prozess teilen. Es ist das Rückgrat der Physik, Mathematik, Informatik und zunehmend auch der Biologie. Lade deine LaTeX-Quelldatei hoch, die Welt bekommt dein Paper. Einfach. Nur: Die Welt hat auch noch viel mehr bekommen.

Vergraben in den Metadaten und rohen Quelldateien einer riesigen Anzahl dieser Einreichungen: Passwörter, GPS-Koordinaten, die präzise genug sind, um jemandes Zuhause oder Labor zu lokalisieren, und private Unterhaltungen, die niemals einen Slack-Kanal oder einen E-Mail-Thread verlassen sollten. Die Art von Daten, die in jedem anderen Kontext eine Datenschutzverletzungsmitteilung auslösen würde.

Wie passiert das? LaTeX, das Satzsystem, das die meisten Wissenschaftler zum Schreiben von Arbeiten nutzen, arbeitet mit einem Bündel von Quelldateien. Diese Dateien können versteckte Kommentare, eingebettete Daten und Compiler-Logs enthalten — digitale Flusen, die sich unsichtbar ansammeln, während ein Paper geschrieben, überarbeitet und diskutiert wird. Ein GPS-Tag von einem Foto, das in eine Abbildung gezogen wurde. Ein Passwort, das in einem Config-Snippet steckengeblieben ist. Ein hitziger Schlagabtausch zwischen Co-Autoren, der in ein Kommentarfeld kopiert und vergessen wurde. Niemand prüft. Niemand bereinigt. Rauf damit.

Die unbequeme Pointe: arXiv ist von Grund auf offen konzipiert. Das ist ja der ganze Sinn. Was bedeutet, dass diese Metadaten nicht hinter einer Sicherheitsverletzung versteckt sind — sie liegen seit Jahren in aller Öffentlichkeit, frei herunterladbar. Jeder mit einem Script und einem freien Nachmittag könnte sie abschöpfen.

Um fair zu sein: „Millionen von Arbeiten enthalten sensible Daten" braucht eine Einordnung. Nicht jede durchgesickerte GPS-Koordinate führt zum Schlafzimmerfenster einer Person, und nicht jedes offengelegte Passwort ist noch aktiv. Aber das Muster ist systemisch, nicht anekdotisch, und die Forschenden, die es gefunden haben, waren offensichtlich nicht die ersten, die hätten hinschauen können.

Die Lösung ist nicht glamourös: bessere Tools zum Bereinigen von Quelldateien vor dem Upload, klarere Warnungen von arXiv und Wissenschaftler, die tatsächlich überlegen, was in ihrem LaTeX-Bündel steckt, bevor sie auf Senden klicken. Nichts davon ist schwierig. Es wurde nur nie als dringend behandelt — bis jetzt sollte es das wahrscheinlich sein.