Aktuelles

Facebook: Offenbar Abermillionen Passwörter jahrelang im Klartext gespeichert

Das Nutzerdaten für Werbezwecke abgegriffen und weiterverkauft werden - nun ja, daran hat sich der leidgeprüfte Internet-User inzwischen gewöhnt. Dass aber Nutzerdaten und insbesondere Passwörter im Klartext gespeichert werden - dass hat man bisher eher beim Kleingartenverein von nebenan vermutet und nicht etwa beim größten sozialen Netzwerk der Welt.

Doch genau so ist es geschehen, wie Facebook dieser Tage kleinlaut zugeben musste. Und das bereits seit 2012, seither hatten insbesondere Facebook-Mitarbeiter Zugriff auf diese Daten. Betroffen seien Facebook-Nutzer ebenso wie Nutzer von Instagram, ein "Datenmissbrauch" habe jedoch nicht stattgefunden, so das Unternehmen aus Menlo Park. Auch seien die Daten von "außerhalb" des Unternehmens nicht und für niemanden sichtbar gewesen, teilte Facebook mit. Dass nunmehr Nutzer in aller Welt informiert würden, sei eine reine Vorsichtsmaßnahme.

Vorab hatte IT-Sicherheitsexperte Brian Krebs in einem Blogbeitrag über die Schwachstelle berichtet und berief sich auf einen Insider, der Zuckerbergs sozialen Netzwerk arbeitet. Laut dem hätten über 20.000 Mitarbeiter Daten einsehen können, insgesamt könnten bis 600 Millionen Facebook-User betroffen sein. In einem Interview mit KrebsOnSecurity sagte der Facebook-Softwareingenieur Scott Renfro, "dass das Unternehmen nicht bereit sei, über bestimmte Zahlen zu sprechen - wie zum Beispiel die Anzahl der Facebook-Mitarbeiter, die auf die Daten hätten zugreifen können".
Klar sei aber auch - so die Quelle von Brian Krebs - dass etwa 2.000 Ingenieure oder Entwickler in internen Facebook-Funktionen rund neun Millionen Abfragen nach Datenelementen in denen Klartext-Benutzerpasswörter vorkommen, verwendet hätten.

Bereits Anfang März war Facebook von Sicherheits- und Datenschutzexperten massiv kritisiert worden, weil es aus Sicherheitsgründen bereitgestellte Telefonnummern - wie die für die Zwei-Faktor-Authentifizierung - für Marketingzwecke und die interne Suche verwendet hatte.

Doch die Facebook-Panne ist beileibe kein Einzelfall. Sowohl Github als auch Twitter waren in den letzten Monaten gezwungen, ähnliche Pannen  einzugestehen. Jedoch standen in beiden Fällen die Klartext-Benutzerpasswörter nur einer relativ kleinen Anzahl von Personen innerhalb dieser Organisationen und für wesentlich kürzere Zeiträume zur Verfügung.

Zwar sagte Scott Renfro von Facebook, dass keine Passwort-Rücksetzung erforderlich sei - wir empfehlen dennoch, alle betroffenen Accounts umgehend entsprechend zu ändern. Und das auch regelmäßig mit sicheren Passwörtern zu wiederholen.

22.03.2019