© Verena Müller
Wer surft, ist vor digitalen Nachstellungen nicht sicher
Jeder kennt dieses ungute Gefühl, das einen beschleicht, wenn man persönliche Daten im globalen Netzwerk verschickt. Geburtsdatum, Kreditkartennummer, E-Mail-Adresse - was passiert damit, wenn man auf „Senden“ klickt?
Hundertprozentigen Schutz gibt es nicht, das hat sich inzwischen herumgesprochen. Datenraub kann viele Formen annehmen. Einen Eindruck davon bekommt, wer ein aktuelles Experiment der Electronic Frontier Foundation verfolgt. Die selbsternannten Freiheitskämpfer haben ein kleines Spionageprogramm namens Panopticlick erdacht, das einen einzelnen Computer unter Millionen anderen erkennt.
Einen Schritt weiter
Dafür benötigt es nicht einmal seine IP-Adresse, also den individuellen Erkennungscode des Rechners. Panopticlick durchforstet in Sekundenschnelle einige individuelle Computereinstellungen, unter anderem die Zeitzone, in der das Gerät steht, die gespeicherten Schriftarten, die installierten Programme. Es gibt kaum zwei Computer auf der Welt, die sich in allen Punkten gleichen. Panopticlick gibt mit einem Zahlenwert an, wie einzigartig ein bestimmter Computer ist, und wie gut er damit identifizierbar ist. Freilich klaut das Programm noch keine persönlichen Daten, und auch der Nutzer hinter dem Bildschirm bleibt zunächst unerkannt.
Einen Schritt weiter sind da schon zwei Forscher von der Technischen Universität in Wien. „Wir haben uns gefragt, ob man die persönlichen Daten von Mitgliedern eines sozialen Netzwerks nutzen kann, um sie dann anderswo im Internet wiederzuerkennen und ihr Verhalten auszuspionieren“, sagt Gilbert Wondracek, Informatiker am International Secure System Lab der Hochschule. Das Experiment war von Erfolg gekrönt, die anschließende Aufregung groß.
Wondracek und sein Kollege Thorsten Holz mussten sich nur in der beliebten Wirtschaftskontaktbörse Xing anmelden. Dort existieren rund 7000 öffentliche Gruppen, in denen 1,8 Millionen Nutzer unterwegs sind. Im Durchschnitt ist jedes Mitglied in 3,6 Gruppen angemeldet. Schon daraus ergab sich für 750.000 Nutzer ein spezifisches Profil ihrer Interessen. Dann folgte Schritt zwei: Wondracek und Holz benutzten dafür einen altbekannten Trick, nämlich ein kleines Programm, das den Browser-Verlauf, also die Liste der angeklickten Webadressen, in fremden Computern lesen kann.
Kommerzielles Interesse
„History stealing“ nennen Fachleute das. Der Angreifer sieht im Browser-Verlauf, welche Seiten der Betroffene besucht hat, ob es nun harmlose oder schlüpfrige Seiten sind, Seiten radikaler Gruppen oder Seiten von Internethändlern. Die Persönlichkeit des Nutzers liegt damit offen wie ein Buch.
Der Angegriffene geht den Spionen zwar nur dann ins Netz, wenn er eine Website anklickt, auf der das History-Stealing-Programm lauert. Aber das ist kein Problem, meint Holz: „Man kennt ja die Vorlieben des Betreffenden aus dem sozialen Netz und kann ihn durch E-Mails gezielt auf Seiten locken, auf denen sich das Spionageprogramm befindet.“
Die Wiener testeten ihre Methode mit Hilfe von Freunden. In mehr als der Hälfte aller Fälle gelang es, die Person exakt zu identifizieren. Die Folgen eines solchen indirekten Datenklaus können gravierend sein, sagt Holz. „Das fängt damit an, dass man kompromittierende Informationen im Netz verbreitet. Staatliche Stellen können Bürger überwachen, und natürlich gibt es auch ein kommerzielles Interesse. Wer weiß, wofür sich ein Mensch interessiert, kann ihn gezielt mit Werbung eindecken.“
Auch mit Passwort nicht sicher
Als die Arbeit der Forscher vor wenigen Tagen publik wurde, war der Schreck in der Hamburger Xing-Zentrale natürlich groß. „Wir sind froh, dass sie uns darauf aufmerksam gemacht haben, bevor etwas passieren konnte“, sagt Xing-Sprecher Marc-Sven Kopka. Man setzte sich sofort zusammen. Holz und Wondracek loben die Reaktionsgeschwindigkeit der Hamburger. Inzwischen habe man die Lücke im System gemeinsam gestopft. Künftig wird bei jedem Klick auf eine Gruppe eine Zufallszahl an die Webadresse geheftet. Für ein Spionageprogramm ist sie damit später im Browser-Gedächtnis nicht mehr erkennbar.
Grund zur Entwarnung gibt es dennoch nicht, meint Vitaly Shmatikov, Professor für Computerwissenschaften an der University of Texas und Pionier in Sachen Netzwerkspionage. „Die Nutzer von sozialen Netzen müssen lernen, dass es keine robuste technische Lösung gibt, die ihre privaten Daten schützt.“ Selbst dann nicht, wenn man sie per Passwort nur dem engsten Freundeskreis zugänglich macht.
Anonyme und öffentliche Datensätze
Shmatikovs Spezialität ist es, anonyme und öffentliche Datensätze miteinander zu vergleichen. Aufsehen erregte er vor zwei Jahren, als er ein anonymisiertes Videoforum, auf dem Cineasten Filme kommentieren, mit der öffentlich zugänglichen Internet-Movie-Database verknüpfte. Mit diesem „Matching“ gelang es ihm, die anonymisierten Nutzer allein anhand der kommentierten Filme zu identifizieren. Vor wenigen Monaten gelang Shmatikov außerdem ein statistischer Abgleich zwischen dem Blogging-Dienst Twitter und der Fotobörse Flickr. Ein Drittel der untersuchten Nutzer, die in beiden Netzwerken aktiv sind, konnte er identifizieren.
„Natürlich sind derartige Internetbörsen per se öffentlich. Umfragen unter Kollegen von der Carnegie Mellon University in Pittsburgh haben aber ergeben, dass die Mitglieder gleichwohl Wert auf den Schutz ihrer privaten Daten legen“, sagt Shmatikov. Bei Flickr etwa kann man zwar viele Fotos öffentlich einsehen, die Namen der Fotografen und der Porträtierten aber sind meist mit Pseudonymen geschützt.
Wie Bananen auf dem Wochenmarkt
Doch Listen von Nutzerprofilen werden längst wie Bananen auf dem Wochenmarkt gehandelt. Die Betreiber von Netzwerken wie Facebook veräußern diese Listen anonymisiert an Dritte. Shmatikovs Mitarbeiter Arvind Narayanan sieht darin ein Problem. „Verkauft man diese Datensätze weiter, ist es durchaus denkbar, dass Dritte sie deanonymisieren.“ Dass das technisch möglich ist, haben er und Shmatikov ja bereits bewiesen.
Auch Joseph Bonneau, Forscher am Computer Laboratory der University of Cambridge hat verschiedene Arten des Datenklaus ausprobiert. Er hat ein Web-Crawler-Programm geschrieben, das täglich 500.000 Profile in sozialen Netzwerken analysieren kann. Auch Techniken wie die von Holz und Wondracek hat Bonneau bereits unter die Lupe genommen. Ein vergleichsweise naheliegender Weg wäre noch der, ein eigenes Profil ins Netz zu stellen, mit möglichst vielen Nutzern Kontakt aufzunehmen und diese nach weiteren Kontakten und Freunden auszuhorchen. Angesichts dieser Fülle von Möglichkeiten sagt Bonneau: „Die derzeitigen Strategien gegen Datenraub können nicht mehr mit dem Tempo Schritt halten, in dem sich Facebook und andere Internetseiten zu globalen Netzwerken entwickeln.“
Gefahren lauern überall
Ende Januar trafen sich Experten im Internetkonferenzzentrum Schloss Dagstuhl bei Saarbrücken, um die Sicherheit sozialer Netze zu diskutieren. Neben kritischen waren dort allerdings auch erstaunlich moderate Töne zu hören. „Man kann solche Netze nicht verteufeln, so lange Menschen sehr private Daten auf anderen Wegen vollkommen freiwillig preisgeben“, sagte beispielsweise Nicola Döring, Expertin für Medienpsychologie an der Technischen Universität Ilmenau. „Schon durch die unbedarfte Nutzung von Rabattkarten im Kaufhaus verrät eine Person sehr viel über sich.“ Andere ihrer Kollegen warnten davor, allein die sozialen Netzwerke als Datensumpf hinzustellen.
Gefahren lauern schließlich überall. So brachte ein Konferenzteilnehmer auf Schloss Dagstuhl schließlich eine sehr pragmatische Spionagelösung ins Spiel: Wer nicht nur Menschen, sondern gleich ganze Unternehmen ausspionieren will, braucht vor der betreffenden Firma nur eine Handvoll USB-Sticks aufs Pflaster zu streuen. Mit Sicherheit steckt irgendjemand dann einen dieser Sticks in den Firmencomputer - und schon hat sich die Spionagesoftware installiert.
Ein "InPrivate"-Test mit dem IE8 ergibt ...
Franz Müller (Franzy)
- 14.02.2010, 18:09 Uhr
Interessanter Test
Eddie Dean (eddie_dean)
- 15.02.2010, 11:17 Uhr
Statistik
Christian Jessen (cj911)
- 15.02.2010, 16:42 Uhr
