Sicherheitslücke bei Facebook & Co.

Der amerikanische Programmierer Eric Butler hat ein Tool entwickelt, mit dem sich diverse Internetkonten von ungesicherten Seiten auch von Laien stehlen bzw. ausspähen lassen. Bei gesicherten Internetseiten (erkennt man am "s" hinter dem URL-Anfang http:// - also https://) funktioniert das "Firesheep" genannte Programm hingegen nicht. Leider nutzen außer Banken und ähnliche Institutionen nur die wenigsten Internetseiten den https-Standard. Dazu zählen auch beliebte Online-Portale wie Twitter oder Facebook . Bei Facebook gibt es jedoch seit kurzem die Möglichkeit sein Profil auf eine https-Seite umzustellen. Automatisch funktioniert das leider nicht.

Hier geht´s zum FireSheep-Video

Funktionsweise von Firesheep
Firesheep ermöglicht es seinen Anwendern an geheime Daten wie Passwörter zu gelangen und so das Konto von fremden Personen zu übernehmen. Da es sich bei dem Programm um ein ganz normales Add-on für den Mozilla-Browser Firefox handelt, ist es kinderleicht zu installieren und zu verwenden. Nach der Installation erscheint auf der linken Seite des Browser-Fensters eine neue Spalte (siehe Screenshot oben). In dieser werden alle Konten aus verfügbaren WLAN-Netzen angezeigt, die ausgespäht werden können. Wie uns ein kurzer Test an einem offenen WLAN-Hotspot (McDonald´s Filiale in Wien) zeigte, funktioniert das kleine Programm beängstigend gut. Man muss nur auf einen der Accounts aus der Liste klicken, und er öffnet sich am eigenen Computer.

Session-Cookies
Damit das funktioniert nützt Firesheep eine Cookie-Lücke bei der Datenübertragung. Dienste wie Facebook oder Twitter funktionieren nur dank sogenannter Session-Cookies. Nur so erkennen die Plattformen, dass es sich bei dem eingeloggten Anwender nach jedem neuen Eintrag (Tweet, Kommentar, etc.) um den gleichen wie wenige Sekunden zuvor handelt.

Gegenmittel
Um sich vor einer FireSheep-Attacke zu schützen, gibt es zumindest für Facebook-User drei Möglichkeiten. An öffentlichen WLAN-Hotspots sollte man eine Internetverbindung nur über VPN herstellen. Wer ganz auf Nummer sicher gehen möchte, sollte sich nur in einem verschlüsselten Heimnetzwerk einloggen. Außerdem gibt es seit kurzer Zeit die Möglichkeit, dass man Facebook über eine gesicherte Internetseite verwendet - man soll sich also nur unter https://facebook.com einloggen. Entscheidet man sich für die letzte Variante sollte man die Adresszeile jedoch regelmäßig kontrollieren. Denn zahlreichen gesicherten Seiten ist man nur beim ersten Mal einloggen geschützt, führt man weitere Aktionen durch, kann es sein, dass man wieder auf eine normale "http://"-Seite zurückfällt. Wie unser Test zeigte, ist das auch bei Facebook der Fall.