Anfang April 2021 sind Daten von ca. 533 Millionen Facebook-Nutzern aus 106 Ländern im Internet öffentlich verbreitet worden. Bei den Datensätzen handelt es sich um Telefonnummer, FacebooklD, Name, Vorname, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus und weiterekorrelierende Daten. Bei diesem Vorfall wurden bei Facebook bzw. der Muttergesellschaft Meta personenbezogene Daten aus dem Datenbestand von Facebook mittels des Facebook-Tools Kontaktlmporter (CIT, Contact-lmport-Tool) „gescrapt", also aus zum Teil öffentlich zugänglichen Daten bei Facebook ausgelesen und persistiert. Diese Datensätze wurden ab April 2021 durch unbekannte Dritte im Internet verbreitet und für Interessenten bereitgestellt. Die Telefonnummern der Benutzer konnten wegen einer Sicherheitslücke mit den restlichen Personendaten korreliert werden und waren somit Bestandteil des jeweiligen unbefugt verbreiteten Datensatzes.

Die genaue Herangehensweise mit allen Parametern ist nicht bekannt, jedoch dürfte das sog. Contact-lmport-Tool zur Bestimmung der Telefonnummern der einzelnen Benutzer genutzt worden sein. Indem eine Vielzahl von Kontakten in ein virtuelles Adressbuch eingegeben wurden, gelang es Unbekannten, die Telefonnummern konkreten Facebookprofilen zuzuordnen, ohne dass in den entsprechenden Profilen die hinterlegten Telefonnummern öffentlich freigegeben waren. Um die Telefonnummer jeweils zu korrelieren, wurde mit Hilfe des Contact-lmportTools jede fiktive Nummer geprüft und der zugehörige Facebook-Nutzer wurde angezeigt. Auf seinem Profi wurde dieser dann besucht und von dort wurden die öffentlichen Daten gescrapt (,,abgeschöpft"). So wurden vermutlich alleine für die Rufnummer eines deutschen Mobilfunkanbieters, ca. 10.000.000 Anfragen gestellt. Vereinfacht dargestellt: Ein Programm testet unzählige Kombinationen von Telefonnummern,

um festzustellen, ob diese mit einem Facebook-Nutzer übereinstimmen bzw. ob diese bei

Facebook hinterlegt worden ist. Ist dies der Fall, ist es dem Programm möglich, sämtliche Daten des Nutzers abzufragen und zu exportieren.