Sicherheitslücke auf Web-Portalen aufgedeckt

Begehrtes Objekt potenzieller Angreifer ist die Identität der "Netzbürger", also in erster Linie der Klarname. Wie einfach der sich ausspähen lässt, beschreiben Forscher des International Secure Systems Lab (IsecLab), einem Zusammenschluss von IT-Forschungsinstituten, in einem aktuellen Aufsatz auf ihrer Website.

Angriffspunkt sind die Gruppen, die es in den Communities zahlreich gibt. Allein für Ärzte bietet das Businessportal Xing, ein Netzwerk für Geschäftskontakte, dutzende Gruppen. Und da Nutzer üblicherweise in verschiedenen Gruppen Mitglied sind, lässt sich aus dieser Kombination auf einzelne Nutzer schließen.

Dazu nutzten die Forscher eine Technik aus, die für jeden Webbrowser essenziell ist: den Verlauf, auch Surfhistorie genannt. Darin speichern die Programme, welche Webseiten zuletzt besucht wurden. Mit einfachen, technischen Methoden, die jede Webseite benutzt, konnten die IT-Experten diese Liste leicht "auslesen". So konnten sie 42 Prozent aller Xing-Nutzer eindeutig identifizieren, für 90 Prozent konnten sie zumindest eine engere Auswahl treffen.

Für mögliche Datendiebe ist diese neue Form der "Deanonymisierung" ein gefundenes Fressen: Denn haben sie erst einmal Klarnamen ergattert, können sie damit allerhand Schindluder treiben. Das beginnt bei personalisierten Spammails, die mit dem eigenen Namen in der Adresszeile vertrauensvoller wirken. Auch Phishing-Websites könnten diese Schwachstelle ausnutzen. Diese Hacker-Webseiten, die vorgeben, etwa eine offizielle Online-Banking-Website zu sein, würden durch eine persönliche Ansprache wesentlich vertrauenerweckender wirken.

Gefragt sein dürften deswegen die Portalanbieter. Sie müssten ihre Webseiten so umbauen, dass die hinterlassenen Spuren keine Rückschlüsse mehr zulassen. Laut "Spiegel Online" erwägt Xing bereits, seine Technik zu überprüfen.