Ulf Schmitt hatte monatelang nichts von seiner Bekannten gehört. Dann aber meldete sich die Schweizer Designerin vergangene Woche per E-Mail mit dem Betreff „look at this“ und einer Internet-Adresse. Wahrscheinlich, dachte Schmitt, will sie auf ein neues Projekt hinweisen. Er öffnete den Link und landete auf einer Internet-Seite, die genauso aussah wie die Homepage des Online-Netzwerks Facebook, über das Schmitt mit fast 250 Freunden und Bekannten Kontakt hält.
Wie gewohnt tippte der Berliner Schauspieler Benutzername und Passwort ein – und sah eine leere Seite. „Ich hielt das für einen der üblichen Netzaussetzer“, sagt der 29-Jährige. Dass er gerade Opfer perfider Internet-Spione geworden war, konnte sich Schmitt im Traum nicht vorstellen. „Die Mail kam doch von einer alten Bekannten.“
Porno von der ganz harten Sorte: Was Cathrin Irmler am Dienstag vergangener Woche auf dem Bildschirm ihres Büro-PCs erblickte, verschlug der 38-jährigen Grafikerin die Sprache. Sekunden bevor sich kopulierende Paare auf ihrem Monitor breit machten, hatte die Kölnerin den E-Mail-Gruß eines guten Freundes geöffnet und den Link darin angeklickt. „Dass der mir solch einen Mist schickt, hätte ich ihm nie zugetraut“, sagt Irmler.
Hat er auch nicht. Wissentlich haben weder Schmitts eidgenössische Freundin noch Irmlers digitaler Bekannter den Verweis auf den PC-Spion oder die Porno-Post verschickt. Beide wurden Opfer einer neuen Form digitaler Kriminalität, die gegenwärtig die Internet-Gemeinde alarmiert: Millionenfach kapern Hacker Nutzerprofile der boomenden sozialen Netzwerke wie Facebook, MySpace, Twitter & Co., mit deren Hilfe Onliner große Teile ihrer privaten oder beruflichen Kontakte verwalten.
Die gehackten Konten nutzen die Datendiebe dann als elektronische Zombies, um massenhaft Werbemüll zu verschicken, Passwörter auszuspähen oder mithilfe von Verweisen auf verseuchte Internet-Seiten Spionagesoftware auf Rechner nichtsahnender Nutzer aufzuspielen. Für diese sogenannten „Drive-by-Infektionen“ sind vor allem Nutzer älterer Browser anfällig.
Solche Angriffe erfolgen gerade im Wochentakt. Und die bringen Online-Plattformen wie Facebook zunehmend in Misskredit. Sie bescheren den Stars des sozialen Internets ihre erste große Vertrauenskrise: Denn es spricht sich herum, dass die neuen Kommunikationsplattformen vielleicht doch nicht so vertrauenswürdig und sicher sind, wie etwa Facebook-Chef Mark Zuckerberg stets betont. Immer mehr Menschen betreiben über soziale Netzwerke auch berufliche Imagepflege. Müssen die jedoch befürchten, dass in ihrem Namen Porno-Mails verschickt werden oder Passwörter für das Online-Banking abhanden kommen, werden sie ihre Netzpräsenz künftig einschränken.
Hacker nutzen das Vertrauen und die Naivität der Online-Gemeinde aus: Mitglieder von Internet-Netzwerken halten dort eingehende Nachrichten von Bekannten für besonders glaubwürdig. Über Jahre haben IT-Sicherheitsberater die Menschen dazu erzogen, „E-Mails von Unbekannten nicht zu öffnen, weil diese Viren oder andere Schädlinge enthalten können“, sagt Sascha Siekmann, Sicherheitsexperte beim amerikanischen IT-Security-Dienstleister Cloudmark. „Nun droht die Gefahr ausgerechnet von vermeintlich vertrauenswürdigen Online-Bekanntschaften.“ Von gefälschten Freunden also.
Das ist ein Millionengeschäft für Datenjongleure. Der Handel mit Nutzerdaten, Passwörtern oder Zugangscodes für Rechner, Bankkonten oder Online-Profile treibt die Ökonomie der Cyberkriminalität an. Offizielle Zahlen über Schäden rücken weder Banken noch Kreditkartenunternehmen heraus. Das IT-Beratungsunternehmen Gartner kalkulierte den mit gestohlenen Online-Passwörtern verursachten Schaden alleine in den USA bereits für 2007 auf rund 3,2 Milliarden Dollar. Und Experten wie Candid Wüest vom IT-Riesen Symantec taxieren den Schwarzmarktwert aktuell im Netz gehandelter Konto- oder Kreditkarteninformationen, Adressen und E-Mail-Listen auf rund 220 Millionen Euro.
Dabei machen es viele Internet-Nutzer den Datendieben sträflich leicht, an intime Informationen zu kommen: Geburtsdaten der Kinder oder Hobbys gehören zu den Standardeinträgen in den Netzwerken. „Ich bin erschüttert, mit welcher Sorglosigkeit sich die Leute online präsentieren“, sagt Raimund Genes, Cheftechnologe beim IT-Sicherheitsdienstleister Trend Micro.
Dabei reichen den Angreifern oft schon simple Kombinationen wie Name und Geburtsdatum der Nutzer aus, um deren Profile zu kapern. Im Herbst 2008 belegten WirtschaftsWoche-Recherchen, wie leicht Betrüger mit Personendaten, die Nutzer des Business-Netzwerks Xing in ihren Profilen veröffentlicht hatten, in Web-Shops von Neckermann und Quelle hätten einkaufen können (WirtschaftsWoche 45/08).
