Online-Communities: Unbekannten keine persönlichen Daten verraten

Mitglieder von Online-Communities sollten mit der Herausgabe persönlicher Daten an Nutzer, die sie nicht kennen, sehr vorsichtig sein. Denn hinter einem scheinbar harmlosen Profil, von dem eine Mail im Postfach gelandet ist oder mit dem der Nutzer Kontakt aufnehmen möchte, stecken möglicherweise Kriminelle, die die Daten etwa für eine Phishing-Attacke nutzen wollen. Darauf weist das Unternehmen Sophos aus Mainz hin, das IT-Sicherheitslösungen für Firmen anbietet.

Wie einfach man es Adressensammlern und potenziellen Betrügern macht, zeigt ein von Sophos-Mitarbeitern vorgenommener Test. In einer deutschsprachigen Community erstellten sie ein Profil namens "Natalie" - komplett mit Foto einer leicht bekleideten jungen Frau und den zentralen Angaben "suchend" und "für alles aufgeschlossen". Innerhalb weniger Minuten gingen zum Beispiel 27 E-Mails mit Kontaktanfragen und 48 Nachrichten ein - teils mit umfangreichen persönlichen Angaben der Nutzer wie Adresse, Alter und Interessen.

Erst überlegen, dann antworten

Bei einem älteren Test offenbarte sich ebenfalls eine erstaunliche Arglosigkeit bei den Mitgliedern von Online-Communities: Viele geben dort auf Anfrage unüberlegt persönliche Daten, wie E-Mail-Adresse, Geburtstag oder Telefonnummer, preis - ohne die Identität des Absenders zu kennen. Für Cyberkriminelle ist es dann ein Leichtes, potenzielle Opfer auszuspionieren und gezielt zu attackieren. Sophos rät daher zu erhöhter Vorsicht in sozialen Netzwerken und einem sensiblen Umgang mit vertraulichen Daten im Internet.

Christoph Hardy, Security Consultant bei Sophos: "Millionen von Internet-Nutzern registrieren sich heute in Online-Communities, um alte Schulkameraden zu finden, neue Freundschaften zu schließen oder berufliche Kontakte zu knüpfen. Dafür wirft so mancher Nutzer jegliches Misstrauen über Bord und offenbart Wildfremden vertrauliche Informationen. Dass sich hinter dem viel versprechenden neuen Geschäftspartner auch ein krimineller Hacker oder Spammer verstecken kann, scheinen die wenigsten zu bedenken. Eine kurze Anfrage per Mail genügt und viele Nutzer geben bereitwillig Auskunft."

Unter dem frei erfundenen Namen "Freddi Staur" registrierte sich Sophos im populären englischsprachigen Online-Netzwerk Facebook und hinterlegte im Profil lediglich das Foto eines kleinen, grünen Frosches sowie einige wenige persönliche Daten. Um zu erfahren, wie viele Mitglieder auf die Anfrage eines unbekannten Absenders antworten, sendete Sophos daraufhin Anfragen an 200 willkürlich ausgewählte Facebook-Nutzer. Das Ergebnis: 41 Prozent antworten auf die Kontaktaufnahme und gewährten Freddi den Zugriff auf ihre in Facebook hinterlegten persönlichen Informationen.

Nicht jeden Frosch küssen

In vielen Fällen wurde ihm dabei der Zugriff auf eine oder gar mehrere E-Mail-Adressen, das Geburtsdatum, die Adresse und Telefonnummer sowie häufig auch auf private Fotos von Freunden und Angehörigen erlaubt. Viele der Kontakte nannten darüber hinaus persönliche Vorlieben und Abneigungen, Hobbies wie auch berufliche Details.

Christoph Hardy: "Es ist erschreckend zu sehen, wie leicht es ist, im Internet an persönliche Daten zu gelangen. Wäre Freddi ein Cyberganove, hätte er jetzt alle Informationen, um die User gezielt zu attackieren und sie um ihr Geld zu bringen - sei es über individuell gestaltete Phishing- und Spam-Mails oder Malware-Angriffe. Mithilfe persönlicher Daten, wie den Geburtstag oder den Namen der Freundin, lassen sich beispielsweise ebenso einfach Passwörter herausfinden, falsche Identitäten anlegen oder gar Konten leeren." Um nicht Opfer gezielter Datenspionage zu werden, sollten Mitglieder sozialer Netzwerke bei Kontaktanfragen von Unbekannten daher besonders wachsam sein und sich erst erkundigen, mit wem sie es zu tun haben. Auch Unternehmen kann der nachlässige Umgang ihrer Mitarbeiter mit Firmenadressen schnell zum Verhängnis werden - sie sollten daher Richtlinien zur beruflichen Nutzung von Online-Netzwerken definieren und geeignete Sicherheitslösungen zum Schutz vor Spam - und Hacker - Angriffen installieren.