Das soziale Netzwerk Facebook hat am Freitagabend in einer Pressemitteilung bekanntgegeben, dass mindestens 50 Millionen Nutzerkonten bereits am Dienstag, den 25. September Opfer eines Hackerangriffs geworden sind. Dabei sollen Account-Daten gestohlen und der Nutzeraccount kurzzeitig übernommen worden sein. „Zugangstoken entsprechen digitalen Schlüsseln, mit denen sich Personen bei Facebook anmelden, sodass sie ihr Passwort nicht jedes Mal neu eingeben müssen, wenn sie die App verwenden“, schreibt Facebook in seinem Newsroom.
Facebook hat zudem nach eigenen Angaben Sicherheitsbehörden informiert und die Nutzeraccounts manuell ausgeloggt, sodass diese sich neu einloggen mussten. Auch der Facebook-Account einer Redakteurin von handy.de war heute innerhalb der mobilen App ohne jegliches Zutun ausgeloggt. Die Sicherheitslücke haben Hacker nach Angaben des Netzwerks im Bereich „Ansicht als“ ausfindig gemacht, eine Funktion, mit der Nutzer sehen können, wie ihr eigenes Profil für jemand anderen aussieht.
Facebook hat noch nicht bekanntgegeben, ob und wie viele deutsche Facebook-Accounts vom Hackerangriff betoffen sind und welche Folgen der Vorfall haben wird.
Das sollten Facebook-Nutzer jetzt tun
Es sind noch nicht alle Details zur gestern bekannt gewordenen Sicherheitslücke geklärt. Es ist jedoch damit zu rechnen, dass Facebook in den kommenden Tagen ein weiteres Statement zum Sachverhalt abgibt. Nach der Datenaffäre um Cambridge Analytica versprach das Unternehmen in groß angelegten Image-Kampagnen mehr Transparenz. Bereits jetzt können und sollten Facebook-Mitglieder eigenständig Sicherheitsmaßnahmen ergreifen und auf den Hackerangriff reagieren. Da nicht klar ist, welche Nutzerkonten vom Angriff betroffen sind, sollte jedes Facebook-Mitglied zunächst sein Account-Passwort ändern. Wir haben hierzu mit einem IT-Sicherheitsexperten der Myra Security GmbH gesprochen. Der Experte rät, ein Passwort ab mindestens acht Stellen zu wählen, noch besser sei jedoch ein Passwort aus zwölf und mehr Stellen. Ein starkes Passwort bestehe zudem aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Zudem rät der Sicherheitsexperte dazu, bei jeder Applikation unterschiedliche Zugangsdaten und Passwörter auszuwählen und wenn möglich, immer eine Zwei-Faktor-Authentifizierung einzurichten.
[article_box articles=“7777″]
Generelle Account-Sicherheitsmaßnahmen, die immer wieder von IT-Experten geraten werden, sollten Facebook-Mitglieder nun ebenfalls beherzigen. Da Facebook momentan noch keine Einzelheiten zu den gestohlenen Daten veröffentlicht hat, sollten Nutzer unbedingt andere Account-Passwörter ändern, die mit dem Facebook-Acccount-Passwort identisch sind. Denn bei gleichem Nutzernamen und Passwort haben es Kriminelle einfach, sämtliche andere Accounts zu übernehmen. Dazu zählen auch Online-Banking-Accounts, PayPal-Konten und Co. Mit der aktivierten Zwei-Faktor-Authentifizierung können Nutzer zudem sehr viel für die Account-Sicherheit tun. So können Kriminelle den Facebook-Account nahezu nicht übernehmen, da erst ein zweites Gerät des Nutzers den Zugang zum Account bestätigen muss. Auch Apple bietet die Zwei-Faktor-Authentifizierung bereits seit zwei Jahren an. Wertvolle Gaming-Accounts, wie sie unter anderem bei Blizzard zuhauf zu finden sind, lassen sich bereits seit vielen Jahren über die 2FA-Authentifizierung schützen.
2FA-Authentifizierung bei Facebook einrichten: So geht’s
Wer die sogenannte zweistufige Authentifizierung bei Facebook aktivieren möchte, findet die Option innerhalb des Facebook-Accounts. So aktivierst Du die 2FA-Authentifizierung bei Facebook:
- Gehe zu den Sicherheits- und Anmeldeeinstellungen, indem du innerhalb der App oder im Browser oben rechts auf „Einstellungen“ > „Sicherheit und Login“ klickst
- Scrolle nach unten zu „Verwende die zweistufige Authentifizierung“ und klicke auf „Bearbeiten“
- Wähle die Authentifizierungsmethode, die du hinzufügen möchtest, und befolge die Anweisungen auf dem Bildschirm
- Klicke auf „Aktivieren“, wenn du eine Authentifizierungsmethode ausgewählt und aktiviert hast.
- SMS-Codes über dein Mobiltelefon
- Anmeldecodes von der Authentifizierungs-App eines Drittanbieters
- Deinen Anmeldeversuch von einem uns bekannten Gerät bestätigen
- Einen deiner Wiederherstellungscodes verwenden
- Auf einem kompatiblen Gerät auf deinen Sicherheitsschlüssel tippen
Die Pressemitteilung von Facebook im Wortlaut
Am Dienstag, 25. September, entdeckte unser Technikerteam ein Sicherheitsproblem, das fast 50 Millionen Konten betraf. Wir nehmen das unglaublich ernst und wollten jeden wissen lassen, was passiert ist und wie wir sofort gehandelt haben, um die Sicherheit der Menschen zu gewährleisten.
Unsere Untersuchung befindet sich noch in einem frühen Stadium. Es ist jedoch klar, dass Angreifer eine Sicherheitslücke in Facebooks Code ausnutzten, die sich auf „Ansicht als“ auswirkte, eine Funktion, mit der Nutzer sehen können, wie ihr eigenes Profil für jemand anderen aussieht. Dies ermöglichte es ihnen, Facebook-Zugangstoken zu stehlen, mit denen sie dann die Konten von Leuten übernehmen konnten. Zugangstoken entsprechen digitalen Schlüsseln, mit denen sich Personen bei Facebook anmelden, sodass sie ihr Passwort nicht jedes Mal neu eingeben müssen, wenn sie die App verwenden. Hier ist die Aktion, die wir bereits unternommen haben. Zuerst haben wir die Schwachstelle behoben und die Strafverfolgungsbehörden informiert.
90 Millionen Facebook-Konten ausgeloggt
Zweitens haben wir die Zugriffstokens der fast 50 Millionen Konten zurückgesetzt, von denen wir wissen, dass sie betroffen waren, um ihre Sicherheit zu schützen. Wir ergreifen außerdem den Vorsorgeschutz, um Zugriffstokens für weitere 40 Millionen Konten zurückzusetzen, für die im letzten Jahr eine Abfrage „Anzeigen als“ durchgeführt wurde. In der Folge müssen sich rund 90 Millionen Menschen bei Facebook oder einer ihrer Apps mit Facebook-Login anmelden. Nachdem sie sich wieder eingeloggt haben, erhalten die Benutzer eine Benachrichtigung oben in ihrem News-Feed, in der sie erklären, was passiert ist.
Drittens deaktivieren wir vorübergehend die Funktion „Anzeigen als“, während wir eine gründliche Sicherheitsüberprüfung durchführen.
Dieser Angriff nutzte die komplexe Interaktion mehrerer Probleme in unserem Code. Die Änderungen ergaben sich aus einer Änderung unserer Funktion zum Hochladen von Videos im Juli 2017, die sich auf „Anzeigen als“ auswirkte. Die Angreifer mussten diese Sicherheitsanfälligkeit nicht nur finden und verwenden, um ein Zugriffstoken zu erhalten andere, um mehr Token zu stehlen.
Facebook-Hack: Angreifer unbekannt
Da wir unsere Untersuchung gerade erst begonnen haben, müssen wir noch feststellen, ob diese Konten missbraucht wurden oder auf welche Informationen zugegriffen wurde. Wir wissen auch nicht, wer hinter diesen Angriffen steckt oder wo sie angesiedelt sind. Wir arbeiten hart daran, diese Details besser zu verstehen – und wir werden diesen Beitrag aktualisieren, wenn wir mehr Informationen haben oder wenn sich die Fakten ändern. Wenn wir weitere betroffene Konten finden, setzen wir ihre Zugangstokens sofort zurück.
Die Privatsphäre und Sicherheit der Menschen ist unglaublich wichtig, und es tut uns leid, dass dies passiert ist. Aus diesem Grund haben wir sofort Maßnahmen ergriffen, um diese Konten zu sichern und die Nutzer wissen zu lassen, was passiert ist. Es ist nicht nötig, dass jemand sein Passwort ändert. Aber Leute, die Schwierigkeiten haben, sich wieder bei Facebook anzumelden – zum Beispiel, weil sie ihr Passwort vergessen haben – sollten unsere Hilfe besuchen. Und wenn jemand die Vorsichtsmaßnahme der Abmeldung von Facebook ergreifen möchte, sollte er den Abschnitt „Sicherheit und Anmeldung“ in den Einstellungen besuchen. Es listet die Orte auf, an denen Personen bei Facebook angemeldet sind, mit einer Ein-Klick-Option, um sich von allen abzumelden.