Die Nutzung sozialer Medien durch Menschen aller Altersgruppen und Gesellschaftsschichten (mit eigenen Geräten oder in Internetcafés gemieteten Geräten) sowie durch Unternehmen und andere Organisationen nimmt rasant zu. Das Interesse am kommerziellen Potenzial sozialer Medien ist deutlich gestiegen. Die Ausbeutung persönlicher Daten in sozialen Medien gibt weltweit Anlass zur Sorge. Ein internationaler Ansatz ist dringend erforderlich, um diese Probleme ernsthaft anzugehen, denn Sicherheit und vor allem Datenschutz sind ein globales Problem.
Soziale Netzwerke können einer wachsenden Zahl von Zwecken dienen, wie zum Beispiel: dem Teilen von Informationen (Fotos, Musik, Videos, Dokumente, Projekte usw. unter „Freunden“), dem Herstellen oder Aufrechterhalten von Kontakten zwischen Personen (Einzelpersonen oder Organisationen) mit ähnlichen Interessen (in Wirtschaft, Politik, Kultur, Studium, Freizeit, Vergnügen, Gesundheit, Sport usw.), der Interaktion mit anderen Menschen, um interaktive Spiele zu spielen und/oder Fantasien auszuleben (zum Beispiel im Fall von Second Life), der Kommunikation von Informationen, dem Erstellen persönlicher Profile usw. Facebook-Profile sind tatsächlich öffentlich.
Craigslist, Mocospace, Twitter, Friendster, Second Life, LinkedIn, Bebo, Hi5, Skyrock Blog, Tickle, Match, eBay, Orkut und ähnliche Web-2.0-Plattformen ermöglichen es Menschen, sich kennenzulernen und gemeinsame Interessen zu teilen. Gleichzeitig bergen sie jedoch Datenschutz- und Sicherheitsrisiken. So sind beispielsweise die Aktivitäten in Beziehungen für die gesamte Gruppe sichtbar, und jeder kann die von anderen Mitgliedern geteilten Informationen lesen. Darüber hinaus stellen sie eine Schwachstelle dar und bergen erhebliche Sicherheitsrisiken für Nutzer und Unternehmen, da sie Schadsoftware verbreiten (bevorzugt per Download; manche Akteure nutzen Botnetze, die ursprünglich über IRC und mittlerweile über soziale Medien gesteuert wurden, Spyware, Keylogger und Rootkits). Sie ermöglichen außerdem Identitätsdiebstahl, Betrug, Täuschungsmanöver, Phishing-Angriffe, benutzerdefinierte Skripte, Adware, schädliche Werbebanner und vieles mehr. Sie handeln mit persönlichen Daten (wie Name, Ausweisnummer, Adresse, Telefonnummern, Kundendatenbanken, Geburtsdatum, Sozialversicherungsnummer, Fotos, Kaufhistorie, Kreditkartennummern usw.). Sie ermöglichen zudem die Erstellung persönlicher Verhaltensprofile durch die Überwachung der E-Mails von Nutzern an Freunde, Familie und die übrige Welt. Darüber hinaus erlauben Data-Mining-Anwendungen die Identifizierung komplexerer und ausgefeilterer Verhaltensmuster. Die Risiken von Drittanbieteranwendungen, wie z. B. Gesichtserkennung von Freunden von Freunden, zielgerichtete Werbung, Marketing-Tools, Beziehungsanalyse-Tools usw., müssen ebenfalls berücksichtigt werden. Soziale Medien sind in Produktionsumgebungen, in denen Sicherheit von höchster Bedeutung ist, ungeeignet. Die Verknüpfung sozialer Medien mit industriellen Prozessen in Kombination mit speicherprogrammierbaren Steuerungen (SPS), Sensor-Aktor-Systemen, Robotern, Maschinen, SCADA-Systemen usw. stellt derzeit eine Ausnahme dar.
Zu den erkennbaren Risiken in sozialen Medien gehören:
(1) Gefälschte Profile. Es gibt immer mehr gefälschte Profile, die für Folgendes genutzt werden: (i) Identitätsdiebstahl, Phishing-Angriffe und Betrug. Betrug bezeichnet den Versuch, Menschen durch betrügerische Websites und E-Mails finanziell zu schädigen. Typischerweise geschieht dies durch Versprechungen von Spenden (Nigeria-Betrug), Lottogewinnen oder gefälschten Produkten oder Dienstleistungen, für die Geld oder Bankkontonummern verlangt werden. Ein Hoax ist eine Täuschung ohne finanzielles Ziel; beispielsweise gibt sich eine Mutter als ihre Tochter aus, um sie so lange zu schikanieren, bis sie Selbstmord begeht, das Haus verlässt oder ihren Job kündigt. (ii) Das Annehmen von Freundschaftsanfragen ermöglicht einen leichteren Zugang zu Informationen. Vermeiden Sie daher Freundschaftsanfragen von Fremden. Auf Twitter ist dies schwer zu verhindern, es sei denn, Sie blockieren Follower (was als unsozial verantwortungsvoll gilt) und fühlen sich nicht verpflichtet, mit Fremden zu reagieren.
(2) Zu viele Informationen. Der Nutzen sozialer Netzwerke liegt im Informationsaustausch. Auf LinkedIn sind die Standardeinstellungen für den externen Zugriff noch recht akzeptabel. Auf Facebook sind die Standardeinstellungen sehr offen, und auf Twitter wird Datenschutz überhaupt nicht erwartet. Als Gegenmaßnahmen: (i) Überprüfen Sie die Datenschutzeinstellungen Ihres Profils. Wählen Sie auf Facebook in den „Einstellungen“ die Option „Nur Freunde“. Lesen Sie den kostenlosen Leitfaden zu den Datenschutzeinstellungen. Überprüfen Sie auf LinkedIn die Standardeinstellungen (Konto und Einstellungen). (ii) Sensibilität. Bedenken Sie, dass jeder Ihr Profil beobachten könnte (Ihre Eltern, Ihre Vorgesetzten, die Regierung, Ihre Gemeinde).
(3) Täuschung. Identifizieren Sie Diebe, Angreifer und Industriespione. Alle URLs (Websites) können gleichermaßen gefährlich sein, da aus jeder URL eine schädliche TinyURL erstellt werden kann. Schadsoftware verbreitet sich in sozialen Medien zehnmal schneller. Seien Sie daher misstrauisch gegenüber unerwarteten Nachrichten und unbekannten Hyperlinks, die zu Täuschung und Spam verleiten könnten. Achten Sie auf unerwartete Änderungen in Mustern und Formulierungen. Verlassen Sie sich nicht auf eine einzige Informationsquelle. Nutzen Sie Sicherheitstools wie Firewalls, Antivirensoftware, Intrusion-Detection- und -Prevention-Systeme, Schwachstellenmanagement und Patches für alle IT-Komponenten, Identitätsmanagement (IAM) usw.
(4) Identitätsdiebstahl – Kontoübernahme. Diese basiert auf schwachen Passwortrichtlinien, wie der Verwendung schwacher Passwörter, die überall wiederholt werden, und der Vermischung von privaten und geschäftlichen Passwörtern. Angreifer setzen mitunter Keylogger ein; als Schutzmaßnahme dienen Bildschirmtastaturen und Biometrie. Verwenden Sie als Gegenmaßnahme separate Konten für geschäftliche und private Zwecke mit unterschiedlichen Passwörtern. Nutzen Sie für jedes Konto ein anderes Passwort und fügen Sie Sonderzeichen in die Mitte des Passworts ein. Die Passwörter sollten acht bis zwölf Zeichen lang sein und regelmäßig geändert werden, wobei jedes Passwort unterschiedliche Inhalte enthalten sollte. Zwei nützliche Passwortverwaltungsprogramme sind: (i) KeePass (ii) OnePassword
(5) Bedrohungen von innen. Datendiebstahl wird als „Versicherung gegen Kündigung“ genutzt. Computer und Netzwerke werden missbraucht. Es gibt Probleme im Personalbereich wie Fehlzeiten, Belästigung usw. Als Gegenmaßnahme sollten standardisierte Sicherheitsrichtlinien oder -regeln für die Internetnutzung eingeführt werden. Außerdem sollte die Kommunikation zwischen Führungskräften und IT-Managern gefördert werden. Ein workflowbasiertes Risikomanagement ist ebenfalls ratsam.
Datenschutz und Privatsphäre in sozialen Netzwerken:
Es ist klar, dass nichts wirklich kostenlos ist (auch in sozialen Medien gibt es nichts umsonst). Soziale Netzwerke geben persönliche Informationen und das Nutzerverhalten preis. Denken Sie bei Ihrem heutigen Handeln an die Zukunft; manchmal sind die Dinge nicht selbstverständlich. Sie müssen sich der Kosten und Folgen bewusst sein, die mit dem Hinterlassen von Informationen und Bildern in sozialen Netzwerken verbunden sind, da diese selbst dann nicht entfernt werden können, wenn Sie die Informationen von Ihrem Profil oder Ihrer Website löschen. Ältere Versionen bleiben beispielsweise aufgrund von Caching-Mechanismen von Suchmaschinen und Websites weiterhin zugänglich. Die Anmeldung bei vielen sozialen Netzwerken ist kostenlos, erfordert aber die Angabe persönlicher Daten. Nutznießer der von Nutzern erhobenen persönlichen Daten sind: (i) Website-Betreiber. Sie verdienen Geld mit Werbung; je mehr Nutzer sie gewinnen, desto größer ist die Zielgruppe, desto wertvoller die Werbefläche und desto höher die Werbeeinnahmen. (ii) Unternehmen, die Ihre Daten verkaufen möchten (auch wenn Sie sie heute für unwichtig halten, könnten sie morgen für sie nützlich sein). Sie möchten für ihre Produkte werben und diese verkaufen und dabei die Nutzer, ihre Loyalität, Vorlieben und Interessen kennenlernen. Möglicherweise möchten sie Ihre Aktivitäten nachverfolgen und Ihren Freunden dann von den von Ihnen gekauften Produkten erzählen – eine weitere Form der Werbung. Verschiedene Stellen können auf Ihre persönlichen Daten zugreifen: (i) Kollegen. Sie möchten vielleicht mehr über Sie erfahren als nur Ihre Studienleistungen und Noten. Ihr Profil kann eine wertvolle Informationsquelle sein. (ii) Aktuelle oder zukünftige Arbeitgeber. Sie möchten möglicherweise wissen, was für ein Mensch Sie wirklich sind – jenseits Ihres Lebenslaufs und des Vorstellungsgesprächs. (iii) Eltern. (iv) Sexualstraftäter und Pädophile. Viele Spammer kaufen Daten über soziale Medien.
Hinweise zur Offenlegung personenbezogener Daten und Verhaltensinformationen in sozialen Netzwerken:
Gehen Sie sparsam mit Ihren persönlichen Informationen um. Wenn Sie in sozialen Netzwerken aktiv sind, sollten Sie ausschließlich die Informationen angeben, zu deren Weitergabe Sie gesetzlich verpflichtet sind. Vermeiden Sie es, Ihren richtigen Namen oder Ihr Geburtsdatum anzugeben, falls Sie einen Benutzernamen verwenden. Geben Sie Ihr Passwort niemals weiter. Ihr Profil sollte weder Ihren Nachnamen, Ihre Telefonnummern, Ihre Wohnadresse, Ihr Geburtsdatum, den Namen Ihrer Schule oder Ihres Sportvereins noch Reisepläne enthalten. Geben Sie niemals Ihre Sozialversicherungsnummer, Informationen zu den Finanzen Ihrer Familie, Kreditkartennummern oder Bankkontonummern an. Manchmal verlangen soziale Netzwerke die Angabe Ihres Geburtsdatums, da die Gesetze einiger Länder die Erhebung von Daten von Kindern unter 13 Jahren verbieten. Passen Sie Ihre Datenschutzeinstellungen so an, dass Ihr Geburtsdatum nicht in Ihrem Profil sichtbar ist. Wenn Sie Ihren Geburtstag anzeigen möchten, geben Sie nur den Tag des Monats, nicht das Jahr an. Obwohl Sie den Namen Ihrer Schule im Allgemeinen nicht online angeben sollten, zeigen ihn einige soziale Netzwerke an. Die Nutzung sozialer Medien sollte auf Schulgruppen beschränkt werden, da dies ein höheres Maß an Schutz und Privatsphäre bietet.
Nutzen Sie die Datenschutzeinstellungen, um nur die gewünschten Informationen zu teilen und Ihre Zielgruppe einzugrenzen. Standardmäßig sind sehr viele Informationen zugänglich; überprüfen Sie diese, um die Offenlegung zu begrenzen. Das Anpassen der Datenschutzeinstellungen kann mehrere Schritte umfassen: Rufen Sie die Datenschutzeinstellungen Ihres bevorzugten sozialen Netzwerks auf und informieren Sie sich, wie Sie Ihre persönlichen Daten schützen können. Einige Plattformen bieten die Möglichkeit, unterschiedliche Datenschutzeinstellungen für verschiedene Bereiche Ihres Profils festzulegen. Lesen Sie die Datenschutzerklärung sorgfältig durch und suchen Sie sich ein anderes soziales Netzwerk, falls diese zu restriktiv erscheint.
Schlussbetrachtungen
Unsere Forschungsgruppe arbeitet seit über zehn Jahren im Bereich Sicherheit und Datenschutz in sozialen Netzwerken. Wir haben Richtlinien, Nutzungsbestimmungen für Organisationen, Protokolle, Mechanismen sowie kryptografische und Anonymisierungsdienste in diesem Bereich entwickelt. Wir haben Audits und forensische Analysen sozialer Netzwerke durchgeführt, das Risikoniveau bewertet, Gegenmaßnahmen vorgeschlagen und das Ausmaß von Datenschutz- und Sicherheitsverletzungen ermittelt.
Dieser Artikel ist Teil der Aktivitäten im Rahmen des LEFIS-APTICE (gefördert von der Europäischen Kommission im Rahmen des Programms Socrates).
Literatur
- Areitio, J. „Information Security: Networks, Computing and Information Systems“. Cengage Learning-Paraninfo. 2009.
- Areitio, J. „New Approaches in the Analysis of Systems for Detecting, Preventing, and Managing Attacks and Intrusions“. Conectrónica Magazine. Nr. 123. Januar 2009.
- Areitio, J. „Identification and Analysis of Information Security Services and Mechanisms“. Conectrónica Magazine. Nr. 97. Mai 2006.
- Tinm, C. und Perez, R. „Seven Deadliest Social Network Attacks“. Syngress. 2010.
- Patches für einige Twitter-Schwachstellen/Bugs finden Sie unter der folgenden URL: - Angriffe auf Twitter, siehe URLs.
- Dhanjani, N., Rios, B. und Hardin, B. „Hacking: Die nächste Generation“. O’Reilly. 2009.
- Fry, C. und Nystrom, M. „Sicherheitsüberwachung. Bewährte Methoden zur Vorfallserkennung in Unternehmensnetzwerken.“ O’Reilly. 2009.
Autor:
Prof. Dr. Javier Areitio Bertolín – E-Mail:
Professor an der Fakultät für Ingenieurwissenschaften. ESIDE.
Leiter der Forschungsgruppe Netzwerke und Systeme. Universität Deusto.
