Die facebook-Falle

wenn ein anderes Facebook-Mitglied diese Kontaktdaten hochlädt. Für Facebook ist diese Art der Suchfunktion bares Geld wert, trägt sie doch zur rasanten weltweiten Expansion des Netzwerks bei. Zwar bieten auch andere soziale Netzwerke, von der deutschen VZ-Gruppe über Xing bis zu LinkedIn, diese Möglichkeit, aber die VZ-Netzwerke beispielsweise speichern die Daten von Nicht-Mitgliedern nicht über die direkte Einladung hinaus. Vor allem aber verknüpfen sie diese nicht mit anderen Datensätzen, und das über Jahre hinaus, wie Facebook es tut.
    Es bedarf keiner großen Fantasie, um das eigentliche Problem an dieser Art Datenstaubsauger zu begreifen. Jeder stolze Besitzer eines Smartphones weiß, dass es die Kartei eines ganzen Büros ersetzen kann: Namen, E-Mail-Adressen, Postadressen, Geburtstage, Beruf und Arbeitgeber und was sonst noch wichtig bei einem Kontakt ist. Und all diese Daten werden regelmäßig mit der Bürosoftware synchronisiert. Der Smartphone-Besitzer freut sich, auf diese Weise nicht nur jederzeit erreichbar zu sein, sondern auch jederzeit zu wissen, mit wem er es zu tun hat. Das gilt für Detektive wie für Rechtsanwälte, für mittelständische Firmenchefs und Versicherungsmakler wie für Wirtschaftsprüfer
oder Steuerberater, für Politiker und Lobbyisten ebenso wie für Prostituierte und Polizisten. Und natürlich auch für Journalisten, die nicht selten über vertrauliche, auch den Kollegen nicht bekannte Informanten-Kontakte verfügen. Nachdem im April 2010 einige Zeitungen über die Synchronisation der iPhone-Kontakte mit Facebook berichtet hatten, wollte ich es als Autor des Fernsehmagazins »Monitor« genauer wissen. In der Redaktion diskutierten wir die brisante Frage, welche Daten aus dem iPhone-Adressbuch tatsächlich ausgelesen werden. 22 Um das herauszufinden, baten meine Kollegin Monika Wagener und ich Institute und Hersteller von Sicherheitssoftware um Hilfe. Schließlich sagte das Institut für Internetsicherheit der Fachhochschule Gelsenkirchen uns Unterstützung zu.
    Ein brisanter Test entlarvt eine Sicherheitslücke
    Dazu bauten die Informatiker Marco Smiatek und Malte Woelky eine Versuchsanlage, in der sie den Datenabfluss aus dem iPhone genauestens kontrollieren konnten. Zunächst meldeten sie eine fiktive E-Mail-Adresse an, samt geheimem Passwort, mit dem wir den Zugang zu unseren E-Mails gegen andere schützen können. Dann gaben sie erfundene Daten in das fiktive Adressbuch ein, Daten von Freunden, die keine Facebook-Mitglieder waren. Einen Freund nannten wir Max Mustermann, dessen Freundin Paula Irgendwas. Zu Max Mustermann notierten wir außerdem: »Sucht neuen Arbeitgeber. Abwerben möglich. Ist sehr geschwätzig.« Und nebenbei gaben wir noch weitere
Kontakte intimerer Art ein: »Sexy Schnitte« mit einer erfundenen Mobilnummer. Die Experten luden nun die Kontaktdaten zu Facebook hoch. Eigentlich müssen diese Daten in dem Moment, wo sie unsere Quelldateien verlassen, samt Passwort verschlüsselt und damit unsichtbar für Außenstehende werden. Dann fingen die Informatiker die gesendeten Daten ab, um zu sehen, ob sie tatsächlich verschlüsselt worden waren. Zuerst probierten sie es mit einem einfachen Kodierungs- bzw. Dekodierungsprogramm, Base-64, das zum Beispiel der technischen Umformatierung von E-Mail-Anhängen dient. Ein einfaches Programm, das jeder kostenlos im Internet herunterladen kann, wenn er es nicht schon auf seinem Rechner hat. Mit Hilfe dieses Programms versuchten sie nun, die Daten sichtbar zu machen.
    Das Ergebnis war ebenso erstaunlich wie niederschmetternd. Das Programm spuckte die eingegebenen Daten eins zu eins wieder aus. In den Datenströmen fanden sich sämtliche Details aus dem Adressbuch wieder: nicht nur E-Mail-Adresse, Telefonnummer und Name von Max Mustermanns Freundin Irgendwas, sondern auch der Vermerk über seine Geschwätzigkeit und die Suche nach einem neuen Arbeitgeber. Und natürlich auch die »Sexy Schnitte« samt lesbarer Mobilnummer.
    Wer seine Kontaktdaten an Facebook hochlädt, übergibt dem Netzwerk damit sämtliche vertraulichen Information aus seinen Adress- und Kontaktdateien. Der Test der beiden Informatiker förderte zugleich ein weiteres, für Facebook nicht gerade schmeichelhaftes Ergebnis zu Tage. Während Facebook in seinen Datenschutzrichtlinien verspricht:
»Wenn du vertrauliche Daten, wie z. B. Kreditkartennummern und Passwörter, eingibst, werden diese Informationen mithilfe der SSL-Technologie (Secure Socket