Facebook Hack schlimmer als befürchtet? Sensible Datensets entwendet

Zum Wochenende gab Facebook bekannt, dass der Hack im September für den Zugriff auf 30 Millionen Konten gesorgt hat. Während bei der Hälfte davon Namen und Kontaktdaten entwendet wurden, konnten die Hacker bei 14 Millionen Accounts Daten zu Suchanfragen, Geschlecht, Sexualität, Gerätetypen, Websites usw. erlangen. Das FBI ermittelt und hat Stillschweigen über mögliche Verantwortliche angeordnet.

Facebook Hack: Weniger schlimm oder schlimmer als befürchtet?

Am späten Freitag gab Facebooks Vice President im Produktmanagement Guy Rosen per Blogpost bekannt, dass von den 50 Millionen Accounts bei der Plattform, von denen man glaubte, dass deren Access Tokens gestohlen worden waren, nur 30 Millionen tatsächlich betroffen waren. Dabei klärte er auch darüber auf, wie der umfassende Facebook Hack überhaupt zustande kommen konnte:

First, the attackers already controlled a set of accounts, which were connected to Facebook friends. They used an automated technique to move from account to account so they could steal the access tokens of those friends, and for friends of those friends, and so on, totaling about 400,000 people. 

Hierbei hatten die Hacker schon Einsicht in die Accounts. Einen Teil der 400.000 Accounts nutzten sie dann, um Access Tokens – die dafür sorgen, dass man nicht bei jedem Login seine Daten komplett neu eingeben muss – von etwa 30 Millionen Konten zu stehlen. Bei 15 Millionen hiervor wurden lediglich der Namen und die Kontaktdaten wie Telefonnummer oder E-Mail entwendet; was bereits schlimm genug ist. Während Facebook nun Wert darauf legt, dass bei einer Million Konten keinerlei Daten abhanden gekommen sind, hatten die Hacker bei 14 Millionen Accounts schließlich Zugriff auf in höchstem Maße sensible Daten, die sich sicherlich auch gut verkaufen lassen. Denn dabei handelt es sich um Kategorien wie:

• Usernamen
• Geschlechtsangaben
• Sprachen oder Orte
• Beziehungsstatus
• Angaben zur Religion
• Angaben zur Heimatstadt
• selbst eingestellte Informationen zum aktuellen (Wohn)Ort
• Geburtsdaten
• Angaben zu Gerätetypen, mit denen auf Facebook zugegriffen wurde
• Details zur Ausbildung
• Details zur Arbeit
• die letzten zehn Orte, an denen die User getaggt wurden
• Websites, Leute oder Pages, denen die User folgen
• die letzten 15 Suchen

In den kommenden Tagen wird Facebook Nachrichten an die Nutzer der betroffenen 30 Millionen Accounts schicken und erklären, welche Informationen von ihnen entwendet wurden.

User können sich schützen

Bei den personalisierten Mails wird Facebook außerdem darstellen, wie sich die Betroffenen gegen etwaige fragwürdige Anrufe, E-Mails oder Nachrichten schützen können.

Der Angriff, betont Rosen noch, hat jedoch keinen Einfluss auf Messenger, Messenger Kids, Instagram, WhatsApp, Oculus, Workplace, Pages oder auf Third-Party Apps, Accounts von Entwicklern oder Werbetreibenden gehabt.

Um die Hintergründe zu diesem Facebook Hack, aber auch potentiellen weiteren, zu klären, arbeitet das Soziale Netzwerk mit der US Federal Trade Commission und der Irish Data Protection Commission sowie mit dem FBI zusammen. Das FBI hat Facebook angewiesen nicht öffentlich zu diskutieren, wer hinter dem Angriff stecken könnte.

Nutzer, die nicht wissen, ob sie betroffen sind, können im Help Center weitere Informationen erhalten. Wer betroffen ist, dürfte also demnächst von Facebook selbst eine Nachricht erhalten. Die Frage, die sich der digitalen Gemeinschaft nach dem nächsten Eklat um die Plattform stellt, ist letztlich: war der Hack nicht ganz so schlimm wie befürchtet, da weniger Konten betroffen waren? Davon kann wohl angesichts der Bandbreite an Daten, die entwendet wurden, keine Rede sein. Auch wenn man sich als Internetnutzer und User von Social Media keine Illusionen machen darf, dass die Daten nicht irgendwo an Dritte gelangen könnten, ist Facebooks Reputation stark angeschlagen. Gerade dort scheinen wirklich konkrete Informationen nicht sicher. Dass das auch für andere Player – Stichwort Google+ – gilt, ist keine Verharmlosung der Tatsache. Der Datenklau ist ernst und mit mehr verfügbaren Daten auch immer lukrativer. Die Plattformen, Autoritäten, aber insbesondere Nutzer müssen dem gemeinsam und informiert entgegentreten.