Facebook, das Handynummern-Verzeichnis

Update, 10. Oktober: Facebook hat sich mittlerweile zu den Vorwürfen geäussert. Es handle sich bei der Telefonnummernsuche um ein beabsichtigtes Feature und nicht um einen Bug. Zudem könne man die Einstellung ja jederzeit für sich anpassen. Um die missbräuchliche Nutzung der Suchfunktion zu verhindern, habe man ein umfangreiches System entwickelt.
«Tatsächlich war das Ausmass des von diesem Wissenschaftler beschriebenen Szenarios begrenzt und wurde letztendlich blockiert», so eine Facebook-Sprecherin. Das mag zwar sein, erklärt aber immer noch nicht, wieso es gemäss der Schilderung von Suriya so lange gedauert hat, bis Facebook auf seine Hinweise reagierte.

Ursprüngliche Meldung vom 9. Oktober:

Wer auf Facebook seine Handynummer angibt, möchte sehr wahrscheinlich nicht, dass diese für jedermann sichtbar ist. Kein Problem: In den Kontaktinformationen ist sofort ersichtlich, wer alles die Handynummer sehen kann: Alle, nur Freunde oder nur man selbst. Damit müsste das Thema eigentlich vom Tisch sein.

Versteckte Option

Ist es aber nicht. Denn die erwähnte Option schliesst nicht aus, dass jemand über die Suchfunktion von Facebook nach der Handynummer suchen kann und auf diesem Weg auf das Facebook-Profil stösst. Zwar lässt sich die Sichtbarkeit der Handynummer in der Facebook-Suche ebenfalls deaktivieren, standardmässig ist diese Option aber aktiviert. Erschwerend kommt hinzu, dass Facebook diese Option an einem anderen Ort versteckt hat und nicht in den Kontaktinformationen. Stattdessen muss man die Privatsphäre-Einstellungen öffnen und dann auf «Funktionsweise von Verbindungen» klicken. Dort findet man dann die Option: «Wer kann dich anhand der von dir angegebenen E-Mail-Adresse oder Telefonnummer finden?». Ebenfalls wenig datenschutzfreundlich: Man kann die Option maximal auf «Freunde» beschränken, mehr geht nicht.

Das Problem ist aber, dass die meisten Leute gar keine Kenntnisse von dieser Option haben dürften, denn sie ist gut versteckt. Der unabhängige Sicherheitsforscher Suriya schreibt in seinem Blog, dass er selbst und auch die meisten in seinem Umfeld diese Einstellung nicht gekannt hätten.

Handynummern lassen sich automatisiert abfragen

Eine wirklich problematische Dimension nimmt die Angelegenheit aber erst an, wenn man Suriyas Ausführungen weiter verfolgt. Es ist also davon auszugehen, dass sich ein Grossteil der auf Facebook erfassten Handynummern über die Suchfunktion mit einem Profil – und somit in der Regel mit dem realen Namen des Besitzers - in Verbindung bringen lassen. Das heisst mit anderen Worten auch, dass man eine zufällige Handynummer in die Facebook-Suchmaske eingeben kann und unter Umständen den Namen des Besitzers herausbekommt. Das Problem: Dieser Vorgang lässt sich leicht mit einem Script automatisieren. Auf diese Weise könnten Kriminelle mit wenig Aufwand Hunderte oder gar Tausende von zufälligen Handynummern abfragen und würden zumindest für einen Teil davon den richtigen Namen des Besitzers erhalten.

Auf der nächsten Seite: Facebook nahm Problem nicht ernst