Vorsicht bei Social Networks

 
Heft 2/2010
 

Das ganze Leben ist (k)ein offenes Buch.Soziale Netzwerke haben neben privaten Zielgruppen längst die Ebene der Politik und Wirtschaft erreicht. Die andere Seite der Medaille ist jedoch, dass die Blauäugigkeit der Nutzer in puncto Datensicherheit auch ihre Schattenseiten mit sich bringt.

Laut Angaben der Sicherheitsspezialisten von Sophos geben fast die Hälfte der bei Facebook registrierten Nutzer anderen Mitgliedern aus der Community bereitwillig jede erdenkliche Information preis, etwa E-Mail-Adresse, Geburtsdatum oder Telefonnummer. Da braucht man sich über Datenklau und Missbrauch nicht zu wundern.

Was lässt sich vorbeugend tun?

Soziale Netzwerke sind immer häufiger das Ziel von Phishingkampagnen. Das Forschungsteam des IT-Sicherheitsanbieters eleven beobachtet immer wiederkehrende Wellen von E-Mails, welche sich ganz gezielt an die Nutzer von Facebook, MySpace, StudiVZ und andere Netzwerke richten. „Weiterhin im Visier der Spammer sind Kreditkartenanbieter wie Visa oder Anbieter von Online-Bezahlsystemen wie PayPal. Phishingversuche alten Stils gibt es dagegen nur noch sehr selten“, bilanziert Unternehmenssprecher Sascha Krieger vom Berliner Securityspezialisten.

Ein blauäugiger Umgang mit sensiblen Daten stellt die größte Herausforderung dar. So ergab ein virtueller Testlauf mit Hilfe eines fiktiven Nutzers „Freddie“ durch den Sicherheitsspezialisten Sophos, dass fast die Hälfte der bei Facebook registrierten Nutzer auf Anfrage persönliche Informationen mitteilten. Drei Viertel aller untersuchten Accounts gab mindestens die E-Mail-Adresse an. Bei 84 Prozent aller untersuchten Accounts ließ sich das Geburtsdatum ablesen. Immerhin noch 78 Prozent gaben ihre derzeitige Anschrift oder den Wohnort preis.

Zu finden sind in den sozialen Netzwerken aber neben der ausführlichen Darstellung von schulischen Ausbildungsgängen auch gezielte Beschreibungen zum Arbeitsplatz. So listet jeder vierte Nutzer dort sein aktuelles Instant-Messaging-Profil. Einige der Benutzerprofile enthalten sogar Details von Produkten, an denen die Mitarbeiter arbeiten, bis hin zu Schlüsselqualifikationen einzelner Mitarbeiter. Zudem legen Angestellte ihre beruflichen Verbindungen detailliert offen, so dass sich darüber Rückschlüsse zu Geschäftspartnern und Kunden ziehen lassen.

Die Folge dieser neuen sozialen Freizügigkeit und „Entblätterung“ ist, dass soziale Netzwerke zum El Dorado für kriminelle Akteure aller Art werden. Da täglich neue User bei Facebook einen Zugang beantragen, lässt sich das Missbrauchspotenzial nur allzu leicht ermessen, wenn Cyberkriminelle an zusätzliche persönliche Informationen gelangen, die sie für Phishingattacken oder die betriebliche Datenspionage benutzen.

Die Experten von Sophos empfehlen den Usern von Social-Networking-Portalen, die Sichtbarkeit von persönlichen Informationen erheblich einzuschränken. Gefordert sind aber auch die Portalbetreiber der Internetseiten, indem sie analog wie beim Onlinebanking mit Hilfe von Richtlinien und Warnhinweisen der Fall die Nutzer aktiv auf Risiken und Nebenwirkungen sozialer Netzwerke aufmerksam machen.

Mehr Transparenz und Warnhinweise sorgen für ein deutlich höheres Problembewusstsein. Denn kriminelle Akteure heuern immer wieder Mitwisser über soziale Netzwerke an, die sie dann beim Phishing als „Strohmänner“ für verdeckte Onlineüberweisungen missbrauchen. Ein anderer Zweck liegt in der Wirtschaftsspionage. Über Google-Groups etwa lassen sich Diskussionsbeiträge von Mitarbeitern rekonstruieren, die dort häufig unter ihren beruflichen Kennungen agieren. Die oftmals technisch orientierten Expertenbeiträge und Anfragen sind ein offenes Buch, um die IT-Infrastruktur eines Unternehmens auszuloten.

Auch der Trend zu personalisierten Suchmaschinen erhöht das Risiko. Schließlich sind dort bereits Angaben von mehren hundert Millionen Menschen indexiert. Oftmals braucht es aber nicht unbedingt den großen Lauschangriff mit Hilfe von Social Engineering. IBM-Experte Gunter Ollmann fand sogar heraus, wie ein Mitarbeiter in einem öffentlichen Blogeintrag den Code diskutierte, den er ein Jahr zuvor für sein Unternehmen geschrieben hatte. In einem öffentlich zugänglichen Tagebuch teilte der Angestellte sogar mit, dass der Code wahrscheinlich das Patent eines Mitbewerbers verletzen würde.

Eine weitere Variante zur Ausforschung von Benutzerdaten, Personenhistorie oder unternehmensrelevanten Informationen, sind technische Werkzeuge. Die passende Spionagesoftware liest per Webcrawler die Nutzerprofile von Social-Networking-Seiten wie Facebook, Myspace und Linkedin aus.

Nur soziale Enthaltsamkeit und Datensparsamkeit hilft weiter

So nützlich sich also das Internet als Instrument der sozialen Kontaktpflege erwiesen hat, so vorsichtig sollten die Nutzer ihre eigenen Profile darstellen. Für jeden privaten Nutzer und Mitarbeiter beginnt der Schutz bei einem umsichtigen Umgang mit den eigenen Nutzerdaten. Pseudonyme etwa lassen keine allzu simplen Rückschlüsse auf die Herkunft oder den Namen zu. Die Sicherheitsexperten von Sophos raten bei Kontaktanfragen von Unbekannten dazu, erst einmal rückzufragen, wer über die „virtuelle Eingangstüre“ an der privaten Wohnung anklopft.

Schließlich öffnet man auch nicht jedem Fremden gleich die Tür. Den Unternehmen empfehlen die Securityexperten, geeignete Richtlinien zur Nutzung von Onlinenetzwerken an der Grenzlinie zwischen privater und geschäftlicher Nutzung zu definieren. Von gänzlichen Verboten raten Sicherheitsexperten jedoch ab. Diese wirken sich unter Umständen kontraproduktiv für die Betriebe aus. Ganz abgesehen davon gehören entsprechende Sicherheitslösungen zum Schutz vor Spam- und Hackerangriffen im Unternehmensnetzwerk zum Standard.


Autor: Lothar Lochmaier

Social Networks: Interview mit Christian Emmerich

 

Social Networks: Interview mit Christian Emmerich
großes Bild

Christian Emmerich ist IT-Sicherheitsberater bei IBM Security Services Business Development.

Bild:
IBM

Herr Emmerich, welche Probleme und Herausforderungen stellen sich generell mit Blick auf den Datenschutz und die IT-Sicherheit bei Banken, gerade mit Blick auf weltweit verbreitete soziale Netzwerke im Web 2.0 wie Twitter, Facebook, Youtube oder Linkedin?

Christian Emmerich: Im Sicherheitsumfeld sprechen wir oft von technischen Herausforderungen und Lösungen. Das ist wichtig und oft richtig. Genauso bedeutend ist im Umfeld sozialer Netzwerke aber das persönliche Verhalten, das Wissen und die Einhaltung von Sicherheitsregeln oder allgemein die Prozesslandschaft im Unternehmen. Soziale Netzwerke führen eine Vielzahl neuer Kommunikationsbeziehungen ein. Deren Inhalte lassen sich nur schwer überwachen. Auch die Identität der Kommunikationspartner ist nicht unbedingt ersichtlich. Die Herausforderungen liegen damit in drei Bereichen. Erstens: Schützenswerte Informationen verlassen das Unternehmen. Zweitens: Menschen täuschen vor, sie seien vertrauenswürdige Kommunikationspartner. Drittens: Soziale Netzwerke werden über viele Geräte und Kommunikationskanäle genutzt.

Welche Schlussfolgerungen sollten die Verantwortlichen aus dem komplexen Spagat ziehen, einerseits neue Trends mit Blick auf soziale Netzwerke nicht gänzlich zu blockieren und andererseits die eigenen legitimen geschäftlichen Interessen umfassend zu schützen?

Christian Emmerich: Was das Thema so brisant macht, wird nach meiner Meinung durch den Begriff „Datenpanne“ deutlich. Ihr Auto müssen Sie nicht verschrotten, nur weil der Reifen mal platt ist. Sind aber schützenswerte Informationen, also zum Beispiel personenbezogene Daten, einmal in Umlauf, kann ich als Unternehmen oder Betroffener deren missbräuchliche Nutzung und Weitergabe nicht mehr verhindern.

Machen wir den Trend doch an einem konkreten Beispiel fest wie sähe ein flankierendes Konzept der Banken zur Nutzung des Kurznachrichtendienstes Twitter konkret aus?

Christian Emmerich: Ein Unternehmen sollte genau prüfen und dokumentieren, was man mit Diensten wie Twitter erreichen möchte und welche Arten von Kommunikation darüber geführt werden sollen. Das ist eine grundsätzliche Fragestellung, die auch für jede Webseite und jedes neue Medium beantwortet werden muss. Zum Thema Sicherheit muss man überlegen, welche Informationen über solche öffentlichen Dienste verteilt werden. Vertrauliche Informationen eignen sich dafür natürlich nicht. Ein klares Datenschutzkonzept mit Klassifikationsstufen hilft bei den richtigen Entscheidungen. Daneben lautet eine wichtige Frage, wer für das Unternehmen sprechen wird? Es macht einen großen Unterschied, ob viele Mitarbeiter unkontrolliert mitwirken oder nur der Marketingmanager. Der außenstehende Leser verwechselt die Meinung eines Einzelnen ansonsten leicht mit einer Ankündigung des Unternehmens.

Worauf sollten die Verantwortlichen denn dabei besonders achten?

Christian Emmerich: Bestehende Sicherheitskonzepte betrachten häufig vor allem technische Aspekte. Sie müssen um solche organisatorischen Themen erweitert werden. Der Einsatz von Standards wie dem ISO 27002 oder dem Grundschutzhandbuch des BSI gibt Richtlinien dafür an die Hand. In der Regel ist das mit einer intensiven Schulung der Mitarbeiter verbunden.

Das Interview führte Lothar Lochmaier.

Weitere Informationen

 

Literatur für Experten: Eine aktuelle Studie vom Isec-Forschungslabor für IT-Sicherheit beschreibt die Schwachstellen beim Surfen in sozialen Netzwerken und dem Web. Die Experten sprechen in dem 15-seitigen Aufsatz Empfehlungen aus, wie sich private Nutzer und Unternehmen schützen können.

Social Networks: Praktische Tipps für Nutzer

 

▷Seien Sie zurückhaltend mit der Preisgabe persönlicher
Informationen.

▷Erkundigen Sie sich über die allgemeinen Geschäftsbedingungen und die Bestimmungen zum Datenschutz des genutzten sozialen Netzwerks.

▷Seien Sie wählerisch bei Kontaktanfragen – Kriminelle „sammeln“ Freunde, um Personen zu schaden.

▷Melden Sie „Cyberstalker“, die Sie unaufgefordert und dauerhaft über das soziale Netzwerk kontaktieren.

▷Verwenden Sie für jede Internetanwendung, insbesondere auch wenn Sie in verschiedenen sozialen Netzwerken angemeldet sind, ein unterschiedliches und sicheres Passwort.

▷Geben Sie keine vertraulichen Informationen über Ihren Arbeitgeber und
Ihre Arbeit preis.

▷Prüfen Sie kritisch, welche Rechte Sie den Betreibern sozialer Netzwerke an den von Ihnen eingestellten Bildern, Texten und Informationen einräumen.

▷Wenn Sie „zweifelhafte“ Anfragen von Bekannten erhalten, erkundigen Sie sich außerhalb sozialer Netzwerke nach der Vertrauenswürdigkeit dieser Nachricht.

▷Klicken Sie nicht wahllos auf Links – soziale Netzwerke werden verstärkt dazu genutzt, um Phishing zu betreiben.


Branchenguide 2011
CallCenter for finance 2011
CallCenter Verband