Datenleck bei Facebook

Für jedermann, Mensch oder Maschine, ist es möglich, bei Facebook eine spezielle Programmierschnittstelle mit einfacher Syntax im Browser abzufragen. Die wenigsten Facebook-Mitglieder wissen, dass das, was sie unbesorgt in ihren Statusmeldungen posten, sich über diese automatisierte Schnittstelle absaugen und weiterverarbeiten lässt.

Um es überspitzt auszudrücken, ein Datensammler kann sich problemlos eine Datenbank aller betrunkenen Deutschen anlegen. Peinlich, aber eher harmlos in den Konsequenzen. Denkbar wären aber auch Datensammlungen über Leute, die gerne Geld für Schweizer Uhren ausgeben, die pleite sind, die eine Diät nötig haben, die über ihren Arbeitgeber schimpfen etc.

Eine britische Webseite zeigt sehr bildhaft, wie das aussehen könnte: We know what you're doing . Sie listet Menschen auf, die ihren Chef beschimpfen ("hate my boss"), die einen Kater haben ("hungover"), die Drogen nehmen ("weed") oder die ihre Telefonnummer ("new phone number") posten. Die Macher der Site anonymisieren die Namen und Telefonnummern.

Das Projekt dient nicht als Pranger, sondern vielmehr zur Aufklärung der Besucher darüber, wie schnell ihre persönlichen Äußerungen in falsche Hände geraten. Auch die zugehörigen Profilbilder sind nicht zu sehen, wobei es ein Leichtes wäre, sie aus der Facebook-Schnittstelle zu ziehen.

Gut gefragt

Eine einfache Frage an der Schnittstelle (Facebook Open Graph genannt) im Browser sieht so aus:

Der Suchbegriff steht hinter dem q=. Der Type (type) gibt an, wo Facebook suchen soll, in unserem Beispiel post, das sind die Statusmeldungen. Als Antwort erscheint nun eine Liste von Statusmeldungen, die aktuell den gesuchten Begriff enthalten. Die Liste ist im maschinenlesbaren JSON-Format (Java Script Object Notation) abgefasst, das XML ähnelt.

Ratgeber: Die besten Windows-Sicherheits-Tipps

JSON-Datensätze lassen sich direkt in JavaScript als Objekte verarbeiten und sind so im Handumdrehen in Personendatenbanken oder statistische Auswertungen weitergeleitet. Außerdem ist JSON für Menschen leichter lesbar als XML. In jedem Eintrag der Liste erfahren wir erst einmal, etwas über die betrunkene Person:

Der Eintrag umfasst nicht nur den Namen, sondern auch eine eindeutige Identifikationsnummer. Dann folgt die gepostete Nachricht selbst mit Datum und Uhrzeit. Schließlich erfährt man, wer alles auf Gefällt mir geklickt hat und zwar erneut mit Name und ID. So erschließt sich auch das Sozialgefüge des Betroffenen. Die IDs bilden dabei die Knoten der Datennetze und auch sie lassen sich abfragen:

Heraus kommt:

Dieser Datensatz ist öffentlich inklusive Informationen zum Geschlecht und Sprachraum. Über den Link (link) lässt sich nun die Facebook-Profilseite aufrufen. Überrascht wird der Besucher feststellen, dass - wenn er nicht eingeloggt ist, er nun wesentlich weniger Informationen über die Person bekommt, als wenn er über die Schnittstelle sucht. Im Web sieht er weder Geschlecht noch die peinlichen Statusmeldungen. Hat der Datensammler sich dann eingeloggt, erfährt er meist noch den Wohnort und oft die Ausbildung und den beruflichen Werdegang seiner Opfer.

Abrufbar ist ferner in den meisten Fällen das Profilbild in voller Größe:

Neben der Suche in den Statusmeldungen, erlaubt Facebook auch eine Suche nach Seiten:

Für Profi-Datensammler

So einfach ist das. Die Suchmöglichkeiten gehen noch deutlich darüber hinaus, sind aber dann eingeschränkter. Denn sie erfordern Freigaben durch die jeweiligen Facebook-Anwender. Dazu muss der Datensammler eine App bei Facebook eintragen und Facebook-Mitglieder dazu gewinnen, die App zu verwenden. Bei der Installation im Profil holt die App dann die entsprechenden Rechte ein.

Ratgeber: Die beste Security-Freeware

Dieses Verfahren ist nicht schwer, Details finden Sie hier: developers.facebook.com . Nach der Freigabe erhält der Programmierer ein Access Token, mit der er weitergehende Abfragen über die Schnittstelle machen kann. Beispielsweise holt er sich die Freunde eines Anwenders oder dessen Gefällt-mir-Vorlieben:

Oder er sucht in allen Statusmeldungen:

Die Antworten sind ebenfalls maschinenlesbar aufbereitet. Neben der bislang beschriebenen Form der Abfragen gibt es noch die Facebook Query Language, die der SQL-Syntax ähnelt. Damit lassen sich regelrechte relational verknüpfte Datenbankabfragen im großen Stil bei Facebook durchführen.

So schützen Sie sich vor Datenschnüfflern

Prinzipiell ist es sinnvoll, regelmäßig die Datenschutzeinstellungen von Facebook zu sichten, denn oft führt das Netzwerk neue Faktoren hinzu, ohne die Mitglieder zu informieren. Die Voreinstellungen stehen dabei immer auf so öffentlich wie möglich. Das muss jeder von Hand ändern.

1. Nur unter Freunden teilen

Bei jeder Statusmeldung, die ein Anwender abgibt, kann er den Kreis der Empfänger einschränken. Links neben dem Button zum Abschicken (Posten) findet sich der Empfängerkreis. In der Voreinstellung steht er auf Öffentlich. Eine bessere Wahl sind Freunde oder eine bestimmte, selbst definierte Liste.

Diese Postings erscheinen nicht in aller Öffentlichkeit und sind nicht über den Open Graph abrufbar - es sei denn, der Anwender hat einer App die Erlaubnis erteilt. Datenschützer bemängeln schon lange, dass Öffentlich die Voreinstellung ist, denn viele Anwender kümmern sich nicht weiter darum.

2. App misstrauen

Apps haben deutlich erweiterte Zugriffsrechte auf das Profil. Das kann der Anwender aber verhindern, am einfachsten, indem er wenige Apps installiert, und die, die er nicht mehr benötigt, wieder deinstalliert (Im App-Zentrum unter Meine Anwendungen). Bei der Installation sollte er ferner darauf achten, der App so wenig Rechte wie möglich einzuräumen.