Krypto e.V.

Facebook - Die Datenkrake

Facebook kommt aus der Kritik rund um seine Datenschutzpolitik nicht heraus. Nachdem das Social-Network vergangene Woche mit der Einführung neuer Funktionen bereits für Datenschutz-Bedenken gesorgt hatte, fordern nun vier US-Senatoren die Anpassung der neuen Privateinstellungen bzw. die Rücknahme einzelner Veränderungen. Vor allem das Feature “Instant Personaliziation”, das einigen Facebook-Partnern den Zugriff auf Nutzerdaten erlaubt, steht in der Kritik.

Die vier Senatoren – alle Demokraten – zeigen sich besorgt darüber, dass die Funktion “jetzt Dritten ermöglichen wird, nicht nur auf die öffentlich zugänglichen Informationen der Nutzer zuzugreifen, sondern auch auf deren Freundeslisten und öffentlich zugängliche Informationen dieser Freunde”.

Opt-in statt Opt-out
Facebook-Nutzern steht die Möglichkeit zur Verfügung, die Funktion über Opt-out stillzulegen. Die Sentoren plädieren allerdings dafür, den umgekehrten Weg zu gehen. Facebook solle das Feature grundsätzlich ausgeschaltet lassen, bis sich ein Nutzer selbst dafür entscheidet, es zu autorisieren (Opt-in).

Sorgen bereitet den Senatoren unter anderem auch, dass Drittanbieter nun Nutzerdaten von Facebook unbegrenzt speichern können. Das Social-Network reagierte bereits auf die Kritik der Politiker, zeigt sich gesprächsbereit, aber sieht wenig Handlungsbedarf. “Die neuen Funktionen sind darauf ausgelegt, die Personalisierung zu steigern und soziale Aktivitäten im Internet zu bewerben. Gleichzeitig wird den Nutzern weiterhin uneingeschränkte Kontrolle darüber gegeben, welche Informationen sie teilen und mit wem.”

In ständiger Kritik
Facebook war bereits häufiger im Visier der Datenschützer und sorgte mit Änderungen bei den Privateinstellungen immer wieder für negative Schlagzeilen. Im vergangenen Dezember etwa legten US-Datenschützer Beschwerde bei der Verbraucherbehörde Federal Trade Commission (FTC) ein.

Klare und einheitliche Regelungen, was Facebook machen ‘darf’ und was nicht, fehlen bisher – insbesondere, da sich die Vorgaben in den USA, wo das Unternehmen beheimatet ist, stark von jenen hierzulande unterscheiden. “Im Prinzip können Seiten wie Facebook hier machen, was sie wollen und Bestimmungen nach Belieben ändern”, so Datenschützer Hans Zeger. Gleichzeitig wiederum habe sich Facebook in den USA dem Safe-Harbor-Abkommen unterworfen, wonach es zumindest bestimmte Datenschutzregelungen gibt, die eingehalten werden müssen.

Bei jenen Hacker-Attacken, die mitverantwortlich für Googles Rückzug aus China waren, dürfte den Angreifern ein echtes Juwel in die Hände gefallen sein. Einem Insider mit Kenntnis des aktuellen Ermittlungsstand zufolge haben die Hacker nämlich des Quellcode des Passwort-Systems “Gaia” gestohlen, das den Zugang zu Googles vielfältigen Webservices kontrolliert, berichtet die New York Times. Obwohl Google intern schnell auf diesen Diebstahl reagiert haben soll, könnte der Wert für die Hacker dennoch groß sein.

“Diese Angreifer hatten die nötigen Fähigkeiten, um den ursprünglichen Einbruch bei Google durchzuführen. Sie sind also sicher auch in der Lage, aus dem Quellcode verwertbare Erkenntnisse zu gewinnen”, meint der IT-Security-Consultant Thomas Mandl. Das liegt nicht zuletzt daran, dass den Hackern ein tieferes Verständnis des Systems möglich wird.

Aus China bis ins Code-Herz
Mitte Januar ging Google damit an die Öffentlichkeit, dass bei einem Hackerangriff aus China nicht näher definiertes geistiges Eigentum gestohlen worden sei. Dem aktuellen Bericht zufolge soll die Attacke mit einer Microsoft-Messenger-Nachricht an einen Google-Mitarbeiter in China ihren Anfang genommen haben. Über eine verseuchte Webseite haben die Hacker die Kontrolle über den PC des Mitarbeiters erlangt und sind in weiterer Folge bis zum Code-Repository von Gaia vorgedrungen.

Zwar haben die Angreifer angeblich keine Gmail-Passwörter gestohlen, doch wären diese Entwickler-Ressourcen ohnehin ein weitaus größerer Schatz. Denn dort würden sich wohl auch Informationen über bekannte, aber noch nicht geschlossene Sicherheitslücken in Googles Single-Sign-On-Lösung finden. Freilich soll Google in den letzten Monaten seine Sicherheitsvorkehrungen allgemein nachgebessert haben. Mandl zufolge ist naheliegend, dass dabei auch großes Augenmerk auf das Schließen bekannter Gaia-Lücken gelegt wurde. Aber der Diebstahl birgt noch andere Risiken.

Tiefe Einblicke
Zum einen sitzen die Hacker damit praktisch an der Quelle, um neue Lücken zu finden. “Man kann Quellcode mit relativ geringem Aufwand auf Schwachstellen untersuchen”, sagt Mandl. Er betont, dass es kommerzielle Tools zur Codeanalyse gibt und es plausibel wäre, dass auch die Google-Hacker solche Methoden nutzen. Freilich hat die Möglichkeit der automatisierten Code-Analyse auch das Unternehmen selbst, sodass sich die Angreifer damit nicht unbedingt einen großen Wissensvorsprung sichern können.

Das größte Problem könnten also die tiefen Einblicke in Gaia sein, welche die Hacker nun haben. “Mit dem Quellcode ergibt sich eine komplette Überblick über die Architektur”, erklärt Mandl. Während Google zwar einzelne Komponenten leicht nachbessern kann, wäre ein grundlegender Umbau ein enormer Aufwand. Außerdem könnte ein genaueres Verständnis des Single-Sign-On-Systems die Entwicklung effektiver Social-Engineering-Attacken erleichtern, bei denen gar keine Schwachstelle im engeren Sinne, sondern letztendlich die Leichtgläubigkeit von Usern ausgenutzt wird.

Raubkopien-Warnung mit Sprachwahl als Filesharer-Erpressung (Foto: F-Secure)

Die Antiviren-Experten von F-Secure haben einen Trojaner beobachtet, der Nutzer mit angeblich entdeckten Filesharing-Raubkopien auf ihrem Rechner erpresst. Wer nicht reumütig 400 Dollar für eine außergerichtliche Einigung zahlt, wird dabei mit einer Klage wegen dem Copyright-Verstoß bedroht. Dabei setzt der Schädling nicht nur auf die vorgespiegelte Seriosität der angeblichen Rechtsanwaltskanzlei “ICPP Foundation”, sondern auch auf das Service mehrsprachiger Informationen.

Zwar sind betrügerische Tricks, bei denen Cyberkriminelle Nutzer erst verunsichern und letztendlich zu einer unnötigen Zahlung veranlassen wollen, nichts neues. “Mir war aber bisher kein Erpressungs-Trojaner untergekommen, der Copyright-Verletzungen als Druckmittel nutzt”, betont Mikko Hyppönen von F-Secure.

Filesharing-Klagen als Druckmittel
Ob sich der Trojaner über Torrents oder auf anderem Weg verbreitet, ist dem Experten zufolge noch unklar. Jedenfalls sind gerade Filesharer Nutzer, auf die es die Hintermänner abgesehen haben. Denn der angebliche Raubkopien-Scanner wird natürlich fündig und droht damit, entsprechende Informationen an Rechtinhaber-Vertreter und Gerichte weiterzuleiten. Ein Strafmaß von bis zu fünf Jahren Haft und 250.000 US-Dollar Geldbuße sollen den Nutzer vom Vorteil der günstigeren Alternative überzeugen.

Die Cyberkriminellen hinter dem Trojaner spiegeln vor, mit Rechteinhaber-Vertretern wie der Copyright Alliance

oder der Recording Industry Association of America in Verbindung zu stehen. Außerdem nervt die Malware bei jedem Systemstart mit dem Verweis auf die angeblichen Copyright-Verstöße. Angesichts realer Filesharing-Urteile mit hohen Schadenersatzzahlungen entsteht so ein beachtlicher Druck auf infizierte Nutzer.

Pseudo-seriös in zehn Sprachen
Bemerkenswert ist laut Hyppönen, dass der angebliche Raubkopien-Scanner Informationen gleich in zehn EU-Sprachen, darunter auch Deutsch, bietet. Das gilt auch für eine Webseite mit angeblichen Informationen über die europäische Copyright-Rechtslage, die aus der Raubkopien-Warnung heraus aufgerufen werden kann. Die ICPP Foundation hat sogar eine eigene offiziell aussehende Webseite unter icpp-foundation.com, um den seriösen Schein perfekt zu machen.

“Ich bin sicher, dass so mancher tatsächlich zahlen wird”, meint daher Hyppönen. Das ist freilich ein großer Fehler, da die Anwaltskanzlei so falsch ist wie der Raubkopien-Scanner. Die ICPP-Foundation-Domain wurde auf einen Namen registriert, der dem Experten zufolge unter anderem schon in Zusammenhang mit dem Social-Networks-Wurm Koobface aufgetaut ist. “Zahlen Sie diesen Clowns ja nichts. Wenn Leute zahlen, wird das Problem nur größer”, mahnt daher Hyppönen.

Die Spuren eines ausgefeiltes Cyber-Spionagenetzwerk, das unter anderem auf Indien, die tibetische Exilregierung und die Vereinten Nationen abzielt, kann bis nach China verfolgt werden. Das berichten der kanadische Information Warfare Monitor und die Shadowserver Foundation im heute, Dienstag, veröffentlichten Report “Shadows in the Cloud: Investigating Cyber Espionage 2.0“.

Demzufolge konnten die Hacker geheime Dokumente aus indischen Regierungskreisen ebenso stehlen wie Briefe aus dem Büro des Dalai Lama. Als Erfüllungsgehilfen haben die Cyber-Spione dabei das Web 2.0 missbraucht. Denn ihre Kommandoinfrastruktur hat diverse Cloud-basierte Social-Media-Dienste von Twitter bis zu Blogging-Diensten genutzt.

Massiver Datendiebstahl
Die Forscher haben Beweise für ein Spionagenetzwerk zusammengetragen, das beispielsweise Computersysteme der indischen Regierung und ihrer Botschaften kompromittiert hat. Dabei sind sie auf gestohlene geheime und vertrauliche Dokumente gestoßen, zu denen unter anderem Visa-Anträge aus Deutschland und der Schweiz stammen. Unklar sei, ob diese Dokumente direkt von Regierungscomputern gestohlen wurden oder aber, nachdem indische Offizielle sie auf Privat-PCs kopiert haben.

Ebenfalls gefunden haben die Forscher 1.500 Briefe aus dem Büro des Dalai Lama. Auch bei diversen anderen Institutionen seinen Systeme kompromittiert worden, darunter die Vereinten Nationen und die pakistanische Botschaft in den USA. Die Spuren des Netzwerks führen in die chinesische Provinz Chengdu und somit in ein Land, das sich auch im Hacker-Streit mit Google befindet. Die Identität und Motivation der Hinterleute sind aber den kanadischen Forschern zufolge ungeklärt.

Soziales Web als Hackerwerkzeug
Fest steht dagegen, dass sich das Web 2.0 bei den Hackern großer Beliebtheit erfreut. Die Kommando- und Kontrollinfrastruktur des Spionagenetzes nutze frei verfügbare Social-Media-Angebote, darunter Twitter, Google Groups, Blogspot und Yahoo Mail. Über diese Kommunikationskanäle wurden kompromittierte Computer an freie Webhosting-Dienste oder die eigentlichen Knotrollserver in China verwiesen.

Die aktuelle Untersuchung ist der Nachfolger zu “Tracking GhostNet”, einem vor rund einem Jahr veröffentlichten Bericht des Information Warfare Monitors. Schon damals war die Kooperation von Citizen Lab am Munk Centre for International Studies der University of Toronto und The SecDev Group einem aus China gesteuerten Spionagenetz auf die Spur gekommen. Nun wollten die Forscher damals unbeantwortete Fragen aufgreifen und eine detailliertere Analyse der Cyber-Unterwelt liefern.

Mit einem Datenschutz-Reset reagiert Google auf die wachsende Kritik am Umgang mit privaten Informationen im Social Network Buzz. So werden seit dieser Woche Nutzer automatisch aufgefordert, ihre Privatsphäre-Einstellungen zu bestätigen oder gegebenenfalls zu ändern, berichtet die BBC.

Neben Nutzern und Datenschützern hatte sogar der US-Kongress die Behörden dazu aufgefordert, den neuen Dienst und den Umgang mit privaten Informationen eingehend zu überprüfen. “Schon kurz nach dem Start von Google Buzz haben wir schnell realisiert, dass wir nicht alles richtig hingekriegt haben und alles daran gelegt, die Buzz-Erfahrung zu verbessern”, so Todd Jackson, Produkt-Manager bei Buzz. “Unseren Usern Transparenz und Kontrolle zu geben ist uns sehr wichtig”, so Jackson weiter.

Reaktion auf Kritik
Bereits seit Anfang Februar ist Buzz online und integrierte von Anfang an die Nutzer des Google-Mail-Services Gmail mit geschätzten 170 Mio. Mitgliedern. In der Nutzung unterscheidet sich Buzz nicht besonders von anderen Social Networks wie Facebook oder Twitter. So können Status-Updates abgegeben, Inhalte geteilt und Kommentare gepostet werden. Auf erste Kritik, Buzz würde mit persönlichen Daten nicht sorgfältig genug umgehen, reagierte Google umgehend – vielen gingen die Anpassungen jedoch nicht weit genug.

So auch dem knappen Dutzend an Kongressmitgliedern, das im vergangenen Monat die Federal Trade Commission (FTC) aufforderte, Bedenken bezüglich des Datenschutzes bei Google Buzz zu untersuchen. Man sei besorgt, dass die Privatsphäre verletzt und das Vertrauen der Nutzer missbraucht würde. Über das vorläufige Einlenken von Google zeigt sich die Web-Community nun erfreut. Man hätte diese Eingeständnisse bereits von Beginn an erwartet, begrüße aber trotzdem die Änderungen.