Facebook-Datenleck: Wie Hacker jetzt angreifen, was Sie tun sollten, wenn Sie diese SMS bekommen
2019 haben IT-Experten ein Datenleck bei Facebook entdeckt. Die Sicherheitslücke ist laut Unternehmen längst gestopft - doch jetzt wird es für User erst so richtig gefährlich. Was Nutzer jetzt tun sollten.
- Facebook hat weltweit rund 2,8 Milliarden Nutzer.
- Im Sommer 2019 sorgte ein Datenleck weltweit für Aufsehen. Inzwischen kursieren die Daten auf immer mehr Portalen im Netz.
- Jetzt häufen sich die Attacken von Hackern - auch mit zweifelhaften SMS.
- Unser kostenloser Wirtschafts-Newsletter versorgt Sie regelmäßig mit allen relevanten News aus der Wirtschaft. Hier geht es zur Anmeldung.
München - Das Datenleck bei Facebook ist offenbar gefährlicher als zunächst gedacht. Weltweit haben Kriminelle teils private Informationen von über 530 Millionen Facebook-Nutzern erbeutet. Die Datensätze beinhalten auch Mobilfunk-Nummern. Jetzt häufen sich die Fälle, in denen Hacker über SMS angreifen. Wie gefährlich ist das Facebook-Leck für User? Was sollten Betroffene jetzt tun? Die wichtigsten Fragen und Antworten im Überblick:
Facebook-Datenleck: Was ist passiert?
Weltweit haben Hacker Daten von rund 533 Millionen Facebook-Usern abgegriffen. Damit ist praktisch jedes fünfte Facebook-Konto kompromittiert. Zu den geklauten Informationen gehören Namen, Aufenthaltsorte, E-Mail-Adressen oder Telefon-Nummern, darunter auch die Handy-Nummer von Facebook-Chef Mark Zuckerberg. Alleine in Deutschland sind von der Attacke sechs Millionen Menschen betroffen.
Ursprünglich stammen die Daten aus dem Sommer 2019. Bislang kursierte der Datensatz gegen Bezahlung auf einschlägigen Webseiten im Netz. Doch jetzt sind die Informationen auf weiteren Webseiten aufgetaucht – und zwar umsonst. Damit dürfte die Zahl der versuchten Hacker-Angriffe auf Facebook-User noch mal deutlich zunehmen. Erste Hinweise darauf gibt es bereits. So häuften sich in den vergangenen Tagen Berichte, wonach User zuletzt wiederholt verdächtige Kurznachrichten erhalten haben.
Laut Facebook geht das Datenleck auf eine technische Schnittstelle zurück, bei der Angreifer im Rahmen von so genannten Scraping-Attacken bereits erbeutete Telefon-Nummern über automatisierte Abfragen einzelnen Usern zuordnen konnten. Seit August 2019 sei das Sicherheitsproblem aber behoben, versicherte Facebook-Produkt-Manager Mike Clarke am Dienstag in einem Blog-Beitrag. Der Konzern hatte zuletzt wiederholt mit Sicherheitslücken und Betrügern zu kämpfen.
Facebook-Datenleck: Wie können User in Erfahrung bringen, ob sie betroffen sind?
Facebook-User, die prüfen wollen, ob ihre digitale Facebook-Identität kompromittiert worden ist, können das auf der US-Webseite www.haveibeenpwned.com prüfen. Der Onlinedienst durchsucht bekannte Datenlecks. Dazu müssen User lediglich ihre Mail-Adresse oder die Mobilfunk-Nummer eingeben. Im Hintergrund wird ein Datenbank-Abgleich mit den vorliegenden Datensätzen durchgeführt. Erst vor wenigen Tagen haben die Betreiber auch die abgefangenen Facebook-Infos hochgeladen.
Facebook: Warum ist das Datenleck so gefährlich?
Die erbeuteten Daten sind für Kriminelle ungefähr so wie der Zuckerwaren-Laden für Pipi Langstrumpf. Zwar betone Facebook, dass es sich um „alte Daten“ von 2019 handele, sagt Tim Berghoff, Sicherheitsexperte beim IT-Security-Spezialisten GData Cyberdefense in Bochum. Doch sei die Wahrscheinlichkeit, dass etwa eine Mobilfunknummer oder Mailadresse, die 2019 genutzt wurde, noch heute aktuell ist, „recht hoch“.
Die entsprechenden Informationen lassen sich für personalisierte Werbung nutzen oder um Kreditkarten-Nummern abzugreifen, für Online-Bestellungen oder die Übernahme und Sperrung von bestehenden Web-Accounts. Außerdem könne man die Daten auch für das so genannte Social Engineering einsetzen, also für Versuche, über Freunde und Bekannte weitere Daten abzugreifen. Daher hätten die Informationen für Kriminelle einen „hohen Wert“.
Facebook-Datenleck: Welche Rolle spielen die Mobilfunknummern dabei?
Mit den erbeuteten Mobilfunknummern können Täter beispielsweise Nachrichten mit Links zu Phishing-Seiten an betroffene Personen versenden. Häufig nutzen die Angreifer dafür angebliche Sendungshinweise von Paketdiensten wie DHL. „Der Vorwand, der hier oft genutzt wird, besteht etwa in einer vermeintlichen Paketverfolgungsnummer oder in der angeblichen Rücksendung eines Pakets, die sich mit einem Anwählen des übersandten Links verhindern lassen soll“, erläutert IT-Sicherheitsfachmann Berghoff. Außerdem können Angreifer mithilfe ausgefeilter technischer Tricks auch die gesamte Mobilfunknummer kapern, so dass der eigentliche Inhaber keinen Zugriff mehr hat, warnt Berghoff gegenüber Merkur.de.
Facebook-Datenklau: Was sollten User jetzt tun, um sich zu schützen?
Sollte der eigene Facebook-Account nach einem Test auf www.haveibeenpwnd.com kompromittiert worden sein, sollten User unverzüglich ihre Passwörter überprüfen. Grundsätzlich gilt: Jeder einzelne Online-Zugang sollte ein eigenes Passwort haben, rät Berghoff. Sie lassen sich in einem Passwortmanager speichern.
Wer das noch nicht getan hat, sollte – sofern möglich – die Mehrfaktor-Authentifizierung aktivieren. Dabei wird die Identität des Nutzers über zwei unterschiedliche Kanäle überprüft, etwa durch Anmeldung in einer weiteren App. Wichtig: Der zweite Faktor sollte kein SMS-Code sein, denn Kurznachrichten lassen sich sowohl abfangen als auch umleiten (siehe oben). Bei Facebook findet sich die entsprechende Einstellung in den Sicherheitseinstellungen.
Außerdem können User Apps nutzen, die Einmalpasswörter generieren. Als gute Alternative gilt der Google Authenticator. Er ist kostenlos und sowohl für Android als auch iOS verfügbar. Außerdem wird er von vielen Plattformen unterstützt, erklärt Berghoff.
Daneben gibt es auch Hardware-Token wie zum Beispiel Yubikey. Sie sind die sicherste und komfortabelste, mit Preisen zwischen 10 und 50 Euro aber die auch teuerste Variante.
Facebook-Sicherheitslücke: Was sollten User tun, wenn sie eine ungewöhnliche SMS erhalten?
Zur Zeit sollten User besonders kritisch sein, wenn sie plötzlich eine SMS erhalten – dies gilt besonders, wenn die Nachricht von einer unbekannten Nummer kommt oder wenn der Absender gleich noch einen Link mitschickt oder zur Eingabe von Daten auffordert. „Hier gilt: Nicht antworten, keine Daten eingeben, keine Links antippen“, rät Sicherheitsexperte Berghoff.