Login via Facebook: Schnittstelle ermöglicht Abgreifen privater Daten

Auch wenn Facebook derzeit versucht, die Löcher zu seinen Beständen an Informationen über die Nutzer zu stopfen, tun sich doch immer neue Wege zu ihnen auf. So zeigten Sicherheitsforscher nun, dass sich auch über den von Facebook bereitgestellten Login-Service weitergehende Daten über die Nutzer abgreifen lassen.

Das Social Network bietet seit geraumer Zeit eine Schnittstelle an, die Webseiten-Betreiber für die Integration eines Single-Sign-on-Systems nutzen können. Nutzer können sich dann also einfach über ihr Facebook-Konto bei dem externen Angebot anmelden, statt einen neuen Account einzurichten. Das ist letztlich ziemlich praktisch - birgt aber eben auch signifikante Risiken.

Das Problem sind dabei nicht einmal unbedingt die Betreiber der Webseiten selbst, sondern vor allem andere externe Dienste, die auf ihren Seiten eingebunden sind. Die Sicherheitsforscher fanden gleich mehrere solcher Anbieter, die mit ihren Inhalten auch Skripte in die Webseiten einschleusen, mit denen sich Informationen abgreifen lassen, die eigentlich dem Facebook-Login unterliegen.

Wertvolle Daten kommen weg

Hier kommt es dann zu der unschönen Kombination mit der Tatsache, dass Facebook nicht einfach nur den Anwender authentifiziert, sondern auch gleich noch diverse weitergehende Daten über die Schnittstelle bereitstellt. So lassen sich hier neben der Facebook-ID auch die E-Mail-Adresse, der Name und teilweise auch weitergehende Details wie Geschlechter abgreifen.

Insgesamt haben die Sicherheitsforscher nach eigenen Angaben entsprechende Skripte von sieben verschiedenen Anbietern gefunden. Eines von ihnen hat die Datensammlung aber schon vor einiger Zeit eingestellt, weil es von einem der beteiligten Sicherheitsforscher auch schon dabei erwischt wurde Autofill-Informationen abzugreifen, wenn sich die Möglichkeit bietet. Facebook hat inzwischen damit begonnen, den Bericht über das Problem zu prüfen und nach einer Lösung zu suchen.