Hintertür in Facebooks Anmeldeseite gab Namen und Profilbilder preis

Eine Fehlerseite zeigte die Daten nach der Eingabe eines falschen Passworts an. Sie ließen sich mit Skripten auch automatisch sammeln. Inzwischen hat das Social Network das Leck geschlossen.

von Sam Diaz und Stefan Beiersmann am 12. August 2010 , 16:32 Uhr

Der Sicherheitsforscher Atul Agarwal hat in der Mailing-Liste Full Disclosure vor einer Hintertür in Facebooks Log-in-Seite gewarnt. Bei der Anmeldung mit einer bei Facebook hinterlegten E-Mail-Adresse und einem falschen Passwort erschien bis gestern eine Fehlerseite, die Profilbild sowie Vor- und Nachname eines Nutzers enthielt. Facebook hat das Problem inzwischen behoben.

„Facebook-Mitglieder haben keine Kontrolle darüber“, schreibt Agarwal. Die Daten seien unabhängig von den Einstellungen zu Datenschutz und Privatsphäre angezeigt worden. Er selbst habe mit einem einfachen Skript automatisiert Vor- und Nachnamen gesammelt.

Tests von ZDNet zeigten, dass sich der Fehler nicht nur mit der bei der Registrierung benutzten E-Mail-Adresse ausnutzen ließ. Auch in einem Nutzerprofil hinterlegte Adressen konnten missbraucht werden. Unklar ist, ob beispielsweise Spammer den Fehler ausgenutzt haben. Laut Agarwal war es mit Skripten möglich, Namen zu E-Mail-Adressen zu ermitteln oder zufällig generierte E-Mail-Adressen auf Gültigkeit zu prüfen.

Der Datenschutz bei Facebook steht immer wieder in der Kritik. In Deutschland läuft seit Kurzem ein Bußgeldverfahren gegen das Soziale Netzwerk, das der Hamburgische Datenschutzbeauftragte Johannes Caspar eingeleitet hat. Der Vorwurf: Das Unternehmen speichere dauerhaft Daten von Nichtmitgliedern und nutze sie ohne ihr Einverständnis zur Vermarktung.

In Kanada haben rund 200 Facebook-Nutzer eine Sammelklage gegen das Soziale Netzwerk eingereicht, weil es seine Datenschutzrichtlinien absichtlich oder fahrlässig in einer Weise gestalte, „um Nutzer dazu zu verführen, ihre persönlichen Informationen und ihre Intimsphäre weitreichenden Risiken auszusetzen“. Die Kläger fordern unter anderem einen Ausgleich in Höhe der Summe, die das Unternehmen mit den Informationen von Nutzern erwirtschaftet hat.

Die Probleme scheinen dem rasanten Wachstum des Social Network bisher nicht geschadet zu haben. Ende Juli hatte Facebook 500 Millionen aktive Nutzer weltweit gemeldet. Damit verdoppelte es seine Mitgliederzahl in rund einem Jahr.

Facebook hat die bis gestern angezeigten Profilbilder sowie Vor- und Nachnamen inzwischen von der Fehlerseite entfernt (Screenshot: Sam Diaz, ZDNet.com).