Die technischen Möglichkeiten sind da:
Datenlecks in Social-Networks

von Werner Veith (werner.veith@networkcomputing.de)

Share
28.09.2009

Aus den Web-Sites von Social-Networks lassen sich persönliche Daten der Nutzer automatisch gewinnen. Zwei amerikanische Forscher belegen das in einer Untersuchung. Sie geben aber auch Hinweise, wie Nutzer und Anbieter das abstellen können.

Die Informationen von Anwendern in Social-Networks (SN) sind begehrte Daten. Nicht umsonst versuchen etwa Cyber-Gangster durch Malware an solche Daten zu kommen. Nun haben zwei amerikanische Forscher belegt, dass verschiedenste Social-Networks Datenlecks besitzen. Sie liefern Dritten in Social-Networks die technischen Möglichkeiten persönliche Daten über Mitglieder zu sammeln und mit derem Namen zu verknüpfen. In ihrem White-Paper »On the Leakage of Personally Identifiable Information Via Online Social Networks [1]« fassen Balachander Krishnamurthy von den AT&T Labs und Craig E. Will von der Worcester Polytechnic Institute dies zusammen. Sie geben auch Hinweise an Anbieter und Anwender, wie sich diese Möglichkeit wieder abstellen lässt.

Drei verschiedene Möglichkeiten, wie persönliche Informationen aus Social-Networks online weitergegeben werden.

Nach Krishnamurthy und Will ist es möglich, persönliche Informationen, die Social-Networks preisgeben, mit den Aktionen der Nutzer auf diesen Sites zu verknüpfen. Dabei gibt es etwa verschiedene Server von Drittanbietern, die das Verhalten von Nutzern auch über verschiedene Web-Sites verfolgen. Dies erfolgt allerdings anonym. Die beiden Forscher haben nun gezeigt, dass es für solche Tracking- und Aggregations-Server möglich ist, die Benutzerbewegungen einer bestimmten Identität beziehungsweise Profil zuzuordnen.

Dazu müssen die Dritt-Server nur die entsprechenden Informationen einsammeln, die in Cookies und Http-Headern übertragen werden. Hat der Dritt-Server einmal die Verbindung zwischen einem Tracking-Cookie und einer Identität hergestellt, ist es künftig sehr einfach dessen Bewegungen zu verfolgen. Hinweise zu dem Profil des Nutzers liefern meist die Http-Header mit dem Referer, also der URL von der die Anfrage kommt.

Social-Networks speichern den Namen, der zu einem Profil gehört, direkt in der URL ab. Erscheinen etwa Anzeigen auf der Website des Profils, wird im Http-Header, um die Anzeige abzuholen, eben auch der Name des Nutzers über den Referer übertragen. Außerdem taucht der Anwendernahme auch in Request-URIs auf etwa bei einem Google-Analytics-Aufruf.

Um sich gegen diese Möglichkeit zu schützen, sollten Anwender einmal im Web-Browser einstellen, dass dieser keine Cookies von Drittanbietern akzeptiert. Zum anderen gibt es Möglichkeiten, den Referer aus dem Http-Header herauszufiltern.

Den Social-Network-Anbietern empfehlen die Wissenschaftler als eine Möglichkeit, den Profil-Namen mit einer Session-ID zu verknüpfen. Nur diese taucht dann in der URL auf. Außerdem können Anbieter von Aggregator-Servern alle Informationen mit persönlichen Informationen herausfiltern, so dass diese in den Tracking-Informationen nicht mehr auftauchen.

[1] http://conferences.sigcomm.org/sigcomm/2009/workshops/wosn/papers/p7.pdf

Verwandte Artikel