Gefängnis-Telefonanbieter Pay Tel ließ 3,4 Millionen Dateien offen auf Azure und legte 300.000 Führerscheine offen
Am 28. Mai 2026 berichtete TechCrunch, dass UpGuard einen öffentlich zugänglichen Microsoft-Azure-Bucket des Gefängnis-Telefonanbieters Pay Tel fand. Er enthielt 3,4 Millionen Dateien (1,1 TB) ohne Passwort, darunter mehr als 300.000 ungeschwärzte Führerschein-Scans, Rechtsdokumente und Familienfotos mit GPS-Standortdaten. Der Bucket war seit 2018 offen.
VaultTools · 4. Juni 2026
Inhaltsverzeichnis
- Was geschah
- Was offengelegt wurde
- Wie die Daten offen lagen
- Der Ablauf der Offenlegung
- Warum das für browserbasierte Datei-Tools wichtig ist
- Quellen
Was geschah
Am 28. Mai 2026 berichtete TechCrunch, dass Sicherheitsforscher von UpGuard einen Microsoft-Azure-Speicherserver von Pay Tel fanden, einem Unternehmen, das Tablets und Kommunikationsgeräte an Gefängnisse in weiten Teilen der USA liefert. Der Server war laut TechCrunch “ungeschützt ohne Passwort, sodass die enthaltenen Daten aus dem Web zugänglich waren”.
Pay Tel wickelt die Kommunikation zwischen inhaftierten Personen und den Angehörigen und Freunden ab, die sie anrufen oder ihnen schreiben. Um diese externen Kontakte zu prüfen, sammelt der Dienst gescannte Ausweisdokumente. Diese Scans lagen zusammen mit Nachrichten und Fotos in einem offenen Bucket.
Laut dem Bericht von UpGuard enthielt der Bucket rund 3,4 Millionen Dateien mit insgesamt 1,1 TB und war seit 2018 aktiv. Zum Zeitpunkt der Entdeckung gingen weiterhin neue Uploads ein. UpGuard analysierte eine Stichprobe von etwa 314 GB, also rund 500.000 Dateien.
Was offengelegt wurde
Die Analyse von UpGuard ergab mehr als 300.000 ungeschwärzte Ausweisdokumente, vor allem Führerscheine. Die meisten gehörten nicht inhaftierten Personen, also den Freunden und Angehörigen, die mit Insassen kommunizierten, und nicht den Gefangenen selbst.
Der Datensatz ging weit über Ausweis-Scans hinaus. UpGuard dokumentierte Tausende Rechtsdokumente (Gerichtsakten, Haftbefehle und Anträge), Finanzunterlagen (Einzahlungsbelege und Bestellungen im Gefängnisladen) und rund 10 Prozent persönliche Kommunikation wie Screenshots von Textnachrichten, Briefe und Inhalte aus der Gefängnis-Messaging-App. Auch Familienfotos waren enthalten.
Viele der von Nutzern hochgeladenen Fotos trugen GPS-Metadaten. TechCrunch berichtete, die Standortdaten seien teils “genau genug, um die Wohnadresse einer Person zu ermitteln”.
Wie die Daten offen lagen
UpGuard erklärt, der Azure-Bucket sei “so konfiguriert gewesen, dass er öffentlich zugänglich war, ohne jede Authentifizierung oder Identifizierung”. Der Bucket-Name enthielt “cdn”, was auf Produktivinfrastruktur hindeutete und nicht auf eine vergessene Testumgebung.
Es gab keinen Durchbruch durch eine Firewall und keine gestohlenen Zugangsdaten. Wer die Adresse erreichte, konnte die Dateien lesen. UpGuard ordnete den Bucket Pay Tel zu, anhand verwandter Buckets mit Pay-Tel-Branding, GPS-Metadaten, die zu Pay-Tel-Standorten in Georgia und North Carolina passten, und Geräte-Metadaten, die zu Insassen-Tablets passten.
Es war Pay Tels zweite bekannte Sicherheitspanne in zwei Jahren, nach einem Ransomware-Angriff im Juni 2025.
Der Ablauf der Offenlegung
UpGuard dokumentierte die Abfolge. Das Unternehmen entdeckte und analysierte den Bucket ab dem 4. Mai 2026, lud am 5. Mai eine Stichprobe herunter und benachrichtigte Pay Tel am 7. Mai unter privacy@paytel.com. Nach ausbleibender Reaktion eskalierte UpGuard die Sache am Morgen des 11. Mai an die Unternehmensleitung. Der Bucket wurde noch am selben Tag gegen 13 Uhr Pazifischer Zeit gesichert.
Zum Zeitpunkt der Veröffentlichung von TechCrunch am 28. Mai hatte Pay Tel den Vorfall nicht bestätigt. Präsident Vincent Townsend reagierte nicht auf die E-Mail von TechCrunch, und es war unklar, ob das Unternehmen die betroffenen Personen informieren wollte.
Warum das für browserbasierte Datei-Tools wichtig ist
Die Pay-Tel-Offenlegung folgt einem Muster, das dieser Newsletter immer wieder dokumentiert. Ein gescannter Reisepass, ein Führerschein oder eine Gerichtsakte gelangt nur deshalb an die Öffentlichkeit, weil die Datei irgendwo hochgeladen und auf einem Server gespeichert wurde, den jemand später falsch konfigurierte. Der Bucket sammelte seit 2018 Dokumente. Der Schaden war kein raffinierter Angriff. Es war eine Einstellung, die auf dem Standardwert blieb.
Die strukturelle Lehre ist einfach. Eine Datei, die das Gerät nie verlässt, kann nicht in einem offenen Bucket liegen. Wird ein Dokument lokal im Browser verarbeitet, gibt es keinen Upload, keine serverseitige Kopie und keine Speicherkonfiguration, die Jahre später falsch sein kann.
Genau das ist der Grundgedanke von datenschutzorientierten Browser-Tools. Das Komprimieren eines PDF, das Entfernen von EXIF-Daten aus einem Foto oder das Konvertieren eines Bildes geschieht auf dem eigenen Gerät des Nutzers. Die Bytes werden nie übertragen, also gibt es nichts, was ein Anbieter offenlegen könnte. Für die Art sensibler Ausweisdokumente, die im Zentrum des Pay-Tel-Lecks standen, beseitigt die lokale Verarbeitung den Fehlerfall, statt nur zu versprechen, ihn zu verwalten.
Besteht ein Dienst dennoch auf einer Ausweiskopie, können Sie sie vorher mit dem Bild-Wasserzeichen-Tool mit Empfänger und Zweck versehen, sodass eine später geleakte Kopie klar diesem einen Vorgang zugeordnet ist.
Quellen
- A security lapse at prison payphone service Pay Tel publicly exposed over 300K callers’ driver’s licenses (TechCrunch, 28. Mai 2026)
- Breaking Confinement: How a Corrections Vendor Exposed Inmate Communications (UpGuard)
- Prison communication service Pay Tel exposed hundreds of thousands of driver’s licenses (SC Media)
- Data Breach Roundup (May 22 - 28, 2026) (Privacy Guides)