Algorithmus findet echten Namen von Twitter-Nutzern:
Social-Networks gefährden anonymes Auftreten im Internet

von Werner Veith (werner.veith@networkcomputing.de), Thomas Pichler

Share
30.03.2009

Zwei Forscher der University of Texas in Austin haben einen Algorithmus entwickelt, mit dem sich anonyme Nutzer wieder identifizieren lassen. Die Wissenschaftler demonstrierten dies praktisch bei Twitter-Nutzern, dene sie mit Hilfe von Flickr-Daten ihren echten Namen zuordneten.

Das Internet hat einen großen Vorteil: User müssen nicht preisgeben, wer sie sind. Zwar weiß der Diensteanbieter, wer sich hinter einem Fantasienamen verbirgt, aber sonst auch niemand. Da trauen sich auch viele, etwas unzensierter zu reden. Aber mit dieser Zuversicht ist es jetzt erstmal vorbei. Zwei Informatikern der University of Texas [1] in Austin ist es gelungen, Nutzer wieder zu identifizieren. Dazu haben sie einen entsprechenden Algorithmus entwickelt, den sie in dem White-Paper »De-Anonymizing Social Networks [2]« vorstellen.


Mit Hilfe von Benutzerstrukturen des Social Networks Flicks konnten die beiden Forscher Arvind Narayanan und Vitaly Shmatikov, anynomen Twitter-Nutzern einen Namen zuordnen.

Dass dies auch praktisch funktioniert, haben Arvind Narayanan und Vitaly Shmatikov auch gezeigt: Sie identifizierten in einem Angriff Nutzer des Microblogging-Services Twitter. Dabei nahmen sie Daten des Social-Networks »Flickr« zur Hilfe. So konnten sie ein Drittel der Nutzer einen Namen zuordnen, die bei Flickr ebenfalls einen Account hatten. Mit der Sicherheit von Social Networks ist es sowie so nicht so gut bestellt. In einer Untersuchung des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT [3]) zu Social Networks hat keines der geprüften alle Anforderungen des Datenschutzes erfüllt (Network Computing berichtete [4]).

Narayanan und Shmatikov nehmen für ihren Angriff auf anonymisierte Datensätze weitere Informationen zu Hilfe, die sie sich auf anderen Social-Networks beschafft haben. Dazu sucht der Algorithmus nach ähnlichen Strukturen in den Beziehungen zwischen Nutzern. Als Ausgangsbasis sind dabei detaillierte Informationen (»Seeds«) über einige Dutzend Mitglieder des angegriffenen Netzwerks erforderlich. Es ist aber nicht schwer, diese zu bekommen. Laut Narayanan und Shmatikov reicht beispielsweise eine eigene, echte Mitgliedschaft. Auch leicht identifizierbare, falsche Profile sind möglich.

Im Experiment mit Twitter als Angriffsziel und Flickr als Hilfsdaten ließen sich mit nur 150 Seeds 30,8 Prozent der Nutzer automatisch korrekt der korrekte Name finden. Bei weiteren 5 Prozent gab es zwar einen Fehler. Dieser könne aber ein Angreifer wohl meist selbst korrekt von Hand benennen, so die beiden Forscher. Denn hier standen die falsch identifizierten Personen in direkter Beziehung zum eigentlichen Nutzer.

Große anonymisierte Datensätze aus Social-Networks werden aus verschiedenen Gründen weitergegeben: für Drittentwickler, die Anwendungen bereitstellen, als Forschungsmittel für Soziologen oder auch für Marketing-Zwecke. Interessant könnte die De-Anonymisierung auch für spionierende Behörden, Cyberkriminelle oder auch unethische Händler sein. Narayanan und Shmatikov gehen davon aus, dass es derzeit keinen effektiven Schutz gebe, eine De-Anomysierung durch ihren Algorithmus zu verhindern. Ihrer Ansicht nach sind daher Betreiber von Social Networks aufgefordert, nach weiteren Schutzmaßnahmen zu suchen und sich nicht nur auf Anomysierung zu verlassen.

[1] http://www.utexas.edu/
[2] http://www.cs.utexas.edu/~shmat/shmat_oak09.pdf
[3] http://www.sit.fraunhofer.de/
[4] fraunhofer-studie-social-networks-ohne-vollstaendigen-datenschutz/

Verwandte Artikel