YouTube-Exploit: Wie Piraten Urheberrechts-Strikes löschen

Hacking YouTube DMCA: Wie große Kanäle die Plattform-Automatisierung missbrauchen

Als offizieller EU DSA Trusted Flagger ist es unsere Pflicht, systemische Plattformrisiken zu dokumentieren und öffentlich zu machen, die die digitale Rechtskonformität gefährden und den Urheberrechtsschutz wirkungslos machen. Wir haben kürzlich eine hochentwickelte Betrugsmasche auf YouTube aufgedeckt, die es kriminellen Kanälen ermöglicht, legitime Verwarnungen (Strikes) durch gezielten Identitätsbetrug vollständig zu löschen.

Das Ziel: Ein millionenschweres Piraterie-Unternehmen

Das Ziel unserer rechtlichen Schritte war der illegale Kanal „RomanceTelevision“ mit über 155.000 Abonnenten. Nach unseren berechtigten DMCA-Löschanträgen wurden die betroffenen Videos entfernt, und der Kanal erhielt kritische Urheberrechts-Strikes, was ihn an den Rand einer dauerhaften Sperrung brachte. Für ein Unternehmen dieser Größe bedeutete die Sperrung den sofortigen Ruin. Um sich zu retten, griffen sie zu Cyberbetrug.

Was ist E-Mail-Spoofing? 

Das automatisierte System von YouTube verarbeitete plötzlich einen gefälschten „Antrag auf Rücknahme der Beschwerde“, der angeblich von unserer offiziellen Adresse stammte. Der dafür genutzte Mechanismus ist höchstwahrscheinlich E-Mail-Spoofing. Für den normalen Leser erklärt: Spoofing ist eine Technik, bei der ein Angreifer Ihr eigentliches E-Mail-Konto nicht hacken muss. Er nutzt einen speziellen Mailserver, mit dem er das technische Feld „Absender“ manipulieren und eine beliebige fremde Adresse eintragen kann (in diesem Fall unsere Arbeits-E-Mail ****.axghouse@gmail.com). Es ist so, als würde man einen analogen Brief per Post verschicken, aber als Absenderadresse die Daten einer fremden Person auf den Umschlag schreiben. Die Automatisierung von YouTube versagte kläglich: Sie glaubte dem Text auf dem Umschlag, überprüfte die digitalen Sicherheitsschlüssel (SPF/DKIM-Einträge) nicht, stellte die Videos sofort wieder her und löschte alle Strikes des Kanals.

Die unumstößliche Logik der Masche

Die folgenden Ereignisse enthüllen die Drahtzieher hinter dem Betrug. Nur wenige Stunden nachdem das System von YouTube die Videos automatisch wiederhergestellt hatte, loggte sich der Kanalbetreiber ein und löschte die Videos manuell selbst aus seinem Creator Studio.

Analysieren wir die logische Konsequenz: Wenn diese gefälschte Rücknahme von einem unbeteiligten Hacker oder einem externen Dritten durchgeführt worden wäre, hätte der Kanalbetreiber die Videos online gelassen, um weiterhin Aufrufe und Werbeeinnahmen zu generieren. Stattdessen wurden sie sofort gelöscht. Die Motivation der Piraten ist offensichtlich:

1. Zurücksetzen des Strafkontos: Den Kanal wieder in einen „sauberen“ Status versetzen und die Löschung bei 3 Strikes verhindern.

2. Vernichtung von Beweismitteln: Die Video-URLs komplett löschen. Sobald ein Video vom Ersteller gelöscht wurde, kann der Rechteinhaber technisch gesehen keine Folge-DMCA-Beschwerde mehr gegen genau diese Links einreichen.

Wie YouTube sein eigenes Sicherheitssystem erblindet

Die verheerendste Folge dieser Sicherheitslücke betrifft den automatisierten Schutz. Wenn ein Video über ein reguläres DMCA-Verfahren entfernt wird, speichert YouTube dessen digitalen Fingerabdruck. Das Tool „Übereinstimmungen finden“ („Find matches“) blockiert dann automatisch zukünftige Piraten-Kopien durch andere Nutzer. Da das System jedoch die gefälschte Rücknahme verarbeitet hat, zeigt das Dashboard nun den Status „Sie haben den Rückzug erklärt“. Die Algorithmen interpretieren dies so, dass keine Verletzung vorliegt. In der Folge deaktiviert YouTube den proaktiven Abgleich, wodurch die Plattform gegenüber zukünftigen Raubkopien dieses Inhalts völlig erblindet.

Das Versagen des Supports und nächste Schritte

Als wir den YouTube-Support auf diesen eklatanten Sicherheits-Exploit hinwiesen, erhielten wir eine automatisierte Standardantwort: „Das Problem ist gelöst, da die Videos nicht mehr online sind“. Der Identitätsbetrug wurde mit keinem Wort untersucht.