Kommentar: Ausgelesene Nutzerdaten keine Überraschung

Es ist mal wieder so weit: Medien in ganz Deutschland melden ausgelesene Profile auf ihren Titelseiten. 1,6 Millionen sind es in diesem Fall, allesamt aus dem sozialen Netzwerk „schülerVZ“. Die Nachricht vermittelt im Grunde genommen nichts Neues. Schon im Oktober 2008 wurde auf ähnliche Weise in allen drei VZ-Netzwerken mitgeschnitten. Allein die Summe der Profile hat Sensationscharakter: 1,6 Millionen Kinder. Das entspricht in etwa der Einwohnerzahl Wiens. Wer sich am Tag im „schülerVZ“ etwa 30 Profile anschaut, braucht nicht weniger als 146 Jahre, um all diese Profile zu besuchen.

Offiziell soll es sich um kein Sicherheitsproblem handeln, so Clemens Riedl, Chief Executive Officer der VZ-Netzwerke: „Entscheidend ist, dass es sich hierbei weder um ein Datenleck noch um einen Angriff auf unsere Server handelt.“ Also alles falscher Alarm, die VZnet Netzwerke Ltd. hat ihre minderjährigen Mitglieder ausreichend geschützt? Definitiv kann dies verneint werden. Wer sich 1,6 Millionen Datensätze von Minderjährigen wegschnappen lässt, sollte wenigstens Fehler eingestehen können.

Datensammeln als Seminararbeit

Der durchführende Informatikstudent nutze keine Sicherheitslücken aus. Die gesamte Aktion wurde mit einem Crawler-Script umgesetzt, wobei laut eigenen Angaben um die 800 Falsch-Profile benutzt wurden. Via Automatisierung wurde „schülerVZ“ durchgescannt. Jedes gescannte Profil verweist auf weitere Profile in der Freundesliste. Das Sammelscript springt von einer Masche des Netzes zur nächsten. Dabei ist es nur eine Frage der Zeit, bis alle Profile ausgelesen sind.

Aber es gibt wirkungsvolle Techniken gegen die Datenkraken. Im Gespräch weisen Mitarbeiter vom „Facebook Fund“ und „Google-Aardvark“ auf folgende Überprüfungs-Verfahren hin: Bei „studiVZ“ liegen die maximalen Benutzeraktionen bei 2000 Lesezugriffen, bei „Facebook“ dagegen bei 800 Klicks. Wenn immer wieder nacheinander identische Schritte in viel zu kurzer Zeit ausgeführt werden, blockiert das System Profilseiten. Als halbwegs effizient haben sich Captchas erwiesen, die kryptischen Buchstaben und Zahlenkombinationen. Diese können aber, wenn zu schwach eingestellt, mit entsprechenden Texterkennungs-Programmen ausgelesen werden. Leider sind diese zur Bequemlichkeit der Benutzer aus den VZ-Netzwerken verbannt.

Den Hack bei „studiVZ“ könne man sich nur so vorstellen, indem auf ein Blockieren der IP-Adresse nach zu vielen Zugriffen verzichtet worden wäre. Aus Sicht der Entwickler ein echtes Versäumnis, denn diese Methode verlangsamt das Mitschneiden erheblich.

Die VZnet Netzwerke Ltd. haben sich den Umgang mit Daten von Minderjährigen zum Geschäftsmodell gemacht. Das Schützen dieser Daten sollte noch vor geschäftlichen Interessen höchste Priorität genießen. Dass nicht eher reagiert wurde, ist fahrlässig. Zum Glück war die Aktion im engeren Sinn eine wissenschaftliche Arbeit mit dem Ziel, den Betreibern ihre Versäumnisse vorzuführen.

Egal ob ein grundsätzlicher Fehler im System der sozialen Netzwerke oder nur ein Hacker-Trick: Den Benutzern von sozialen Netzwerken sollte immer bewusst sein, welche Daten sie der Welt zur Verfügung stellen. Von Kindern kann nicht erwartet werden, dass sie schon diesen Weitblick besitzen.

Wer beim amerikanischen Netzwerk „Facebook“ ein Profil mit persönlichen Interessen, der Arbeit und Fanpages bestückt hat, wird seit Montag damit konfrontiert, diese Informationen trotz privater Einstellung für jeden öffentlich zu machen. Entweder wird dem neuen Konzept zugestimmt oder diese Informationen werden vom eigenen Profil gelöscht. Der private Mittelweg wird vorenthalten, getreu Mark Zuckerbergs Worten: „Wir bauen ein Internet, das mehr sozial ist.“

Pure Ironie: Während der Recherche für diesen Artikel veröffentlichte der Blog TechCrunch ein Sicherheitsleck im Chat-System von „Facebook“. Ausgerechnet in der Vorschaufunktion des eigenen Profils („So sehen andere Benutzer ihr Profil“) ließ sich mit Hilfe eines kleinen Kniffs die Chatnachrichten und Freundschaftseinladungen anderer Mitglieder lesen. „Facebook“ schloss diese Lücke umgehend.