Europäische X-Alternative W Social bestreitet, persönliche Daten geleakt zu haben

W Social, eine europäische Social-Media-Plattform, ist überzeugt: Nutzer sollen selbst entscheiden, welche ihrer Daten öffentlich werden.

Das Unternehmen veröffentlichte am 14. Oktober 2026 eine Stellungnahme, nachdem der deutsche Tech-Journalist Gavin Karlmeier eine öffentlich einsehbare Datenbank mit W-Social-Konten aufgedeckt hatte.

Bei mehr als 2.500 Nutzern soll die Staatsangehörigkeit im offenen Netz gelandet sein, bei knapp 2.000 der vollständige Name. In seltenen Fällen seien laut Karlmeier auch E-Mail-Adressen sichtbar gewesen.

W Social, das im Juni 2026 als datenschutzorientiertes soziales Netzwerk in die öffentliche Beta startete und echte Identitäten verlangt, um Bots fernzuhalten, erklärte, es seien keine personenbezogenen Daten abgeflossen, unbefugt abgerufen oder versehentlich veröffentlicht worden.

„Die Verifizierungseinträge enthalten ausschließlich jene Informationen, die Nutzer bei der Erstellung eines Kontos auf unserer Plattform selbst für die Veröffentlichung freigegeben haben. Wir haben den Sachverhalt gemeinsam mit unserem Datenschutzbeauftragten bewertet und diese Bewertung dokumentiert“, heißt es in der Stellungnahme.

Zudem liege keine Verletzung des Schutzes personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) vor, ergänzt das Unternehmen.

Karlmeiers Funde sorgen allerdings für Unruhe unter den 55.000 Nutzern der Plattform, so der Stand vom Juni.

We Don’t Have Time, eine Social-Media-Plattform für Klimaschutz, hat Have you been Wned? gestartet: ein Online-Tool, mit dem W-Social-Nutzer prüfen können, wie viele ihrer personenbezogenen Daten frei im Netz stehen.

Ist das AT-Protokoll schuld?

Teilweise räumte W Social die Veröffentlichung von Nutzerdaten ein und verwies auf den öffentlichen Charakter des zugrunde liegenden AT-Protokolls, entwickelt von Bluesky Social PBC, dem US-Unternehmen hinter der Plattform Bluesky.

Verifiziert ein Nutzer sein Konto, schreibe W Social laut eigenen Angaben einen Verifizierungseintrag in das Moderationskonto im AT-Protokoll.

„Wie alle Profildaten im AT-Protokoll ist dieser Eintrag öffentlich – nur so erkennen Nutzer, dass ein Konto zu einem verifizierten Menschen gehört. Der Eintrag enthält den Verifizierungsstatus, das Ausstellungsland des Reisepasses, ein synthetisches Geburtsdatum zur Ableitung einer Altersspanne und, ausschließlich bei Nutzern, die ihren bürgerlichen Namen freigegeben haben, diesen Namen“, heißt es in der Stellungnahme.

Aras Nazarovas, Senior Information Security Researcher bei Cybernews, erklärt, W Social veröffentliche unter anderem Vor- und Nachnamen, E-Mail-Adressen, Staatsangehörigkeiten und ungefähre Geburtsdaten.

Die meisten Einträge bleiben allerdings anonym und enthalten lediglich Metadaten wie IDs sowie Angaben zu „created at“ und „verified at“. Taucht das tatsächliche Geburtsdatum doch einmal im Nachnamenfeld auf, weicht es offenbar um rund sechs Monate ab.

Die ungewollten Datenpannen zeigen jedoch, dass die Verifizierungssysteme von W Social „unvollkommen“ seien und sich vermutlich „leicht umgehen“ ließen.

Das Unternehmen hat gar keine echte Kontrolle darüber, welche privaten Daten es offenlegt. Trägt ein Nutzer seine Adresse als Nachnamen ein, wird sie veröffentlicht. Und aus einem dezentralen System lassen sich solche Daten nach einem Fehler nur schwer wieder entfernen.

Aras Nazarovas, Senior Information Security Researcher bei Cybernews

Welche Risiken drohen?

Nazarovas warnt, Kriminelle könnten die öffentlichen Verifizierungsdaten für „Doxxing“ oder gezielte Phishing-Angriffe missbrauchen, etwa indem sie Nachrichten passend zu Staatsangehörigkeit, Alter und Namen der Nutzer zuschneiden.

„Manche Plattformen nutzen Angaben wie Alter, Namen und Staatsangehörigkeit als zweite Sicherheitsebene, um die Identität eines Nutzers am Telefon oder im Chat zu prüfen. Werden diese Informationen öffentlich, erleichtert das Kontoübernahmen erheblich“, sagt er.

Nazarovas weist darauf hin, dass Angreifer Daten aus mehreren Leaks üblicherweise kombinieren. Die frei zugänglichen Informationen könnten deshalb als verlässliche Quelle dienen, um bereits geleakte Daten zu bestätigen und um Staatsangehörigkeit oder ungefähres Geburtsdatum anzureichern.

Streit um die Verifizierungsmethoden

Seit der Ankündigung Anfang 2026 steht W Social wegen seiner Verifizierungsmethoden in der Kritik: Nutzer müssen ihren Reisepass oder biometrische Daten wie ein Selfie in der Begleit-App W Identity hochladen.

Das Unternehmen betonte wiederholt, die App W Identity sei dezentral aufgebaut und speichere Daten direkt auf dem Gerät der Nutzer, während Dokumente auf den Servern von W „unmittelbar nach Abschluss des Verifizierungsprozesses“ gelöscht würden.

Cybernews-Forscher heben allerdings hervor, dass biometrische Daten und Dokumente „hochsensibel“ seien und von Hackern gezielt gesucht würden. Wer solche Daten hochlädt, schafft einen „dauerhaften Identitätsnachweis“, der sich anders als ein Passwort nicht zurücksetzen lässt.

In seiner jüngsten Stellungnahme erklärt W Social, die öffentlich zugänglichen Daten enthielten zu keinem Zeitpunkt Passbilder, Passnummern, Selfies, echte Geburtsdaten oder sonstige Passinformationen:

„Weder ein Verifizierungseintrag noch ein Datenspeicher auf dem Personal Data Server von W Social enthält E-Mail-Adressen von Nutzern – es sei denn, jemand hat eine E-Mail-Adresse als Handle oder Anzeigenamen gewählt“.