Was Erfolg hat im WWW, wird bald auch zum Ziel krimineller Attacken. Dass sich kriminelle Cracker, Phisher und Malware-Entwickler irgendwann auf die Social Networks stürzen würden, war insofern klar. MySpace hat schon so einige Attacken erlebt, aber was in dieser Woche bei Facebook auftauchte, zeigt die Social Networks als ideale Jagdgebiete für Cyber-Kriminelle.

Am Donnerstag berichtete das US-Sicherheitsunternehmen Fortinet von einer Adware, die sich als angeblich nützliches Dating-Tool bei Facebook verbreitet. "Secret Crush" verspricht, den Facebook-Nutzer auf andere "Facebookies" aufmerksam zu machen, die ihn oder sie attraktiv finden. Doch statt solcher pubertärer Kuppelhilfen installiert das Programm nur eine Adware, die zudem versucht, sich fortan als Empfehlung des in die Falle getappten Facebook-Nutzers dessen Freunden anzudienen.

Angeblich soll das bereits 1,8 Millionen Mal funktioniert haben. Rund drei Prozent aller Facebook-Profilseiten, behauptet Fortinet, seien bereits infiziert, obwohl in den Foren längst über Secret Crush und sein Schadpotential diskutiert würde. Doch mit Schad-Software ist es wie mit einem ganz ordinären Schnupfen: Innerhalb eng geknüpfter Netzwerke von Freunden verbreitet sich so etwas eben besonders schnell.

Freundesnetzwerke: Toller Service für Kriminelle

Deren Kontaktdaten hält jeder Facebook-Nutzer ja praktischerweise auf seiner Profilseite bereit - und gerade diese sehr offen sichtbare, leicht abgreifbare und zudem ungewöhnlich dichte Vernetzung der Nutzer macht Social Networks zu absoluten Traumzielen für Kriminelle.

Die verschickten ihre Viren und Trojaner, ihre Adware und Phishing-Mails, ihren Spam-Werbemüll und windige Finanzofferten seit Jahren schon vornehmlich an E-Mail-Adressen, die sie entweder kriminellen Adresshändlern abgekauft oder gleich per Schad-Software auf gekaperten Rechnern abgegriffen hatten. Das Problem dabei: Irgendwann fällt niemand mehr auf bescheuert oder fremdsprachig formulierte Lock-E-Mails herein, selbst wenn die scheinbar von Freunden kommen.

Bei Facebook und Co. haben die Fallensteller dagegen sogar die Chance, dass sich die Opfer ihre Schad-Software freiwillig abholen.

Wie das laufen könnte, zeigt ein anderer Fall aus dieser Woche. Nach Angaben des IT-Sicherheitsunternehmens RSA verbreitet sich im Facebook-Netz seit Mittwoch eine klassische Lock-E-Mail nach dem "Lol, ich glaub' einfach nicht, dass diese Fotos verschickt wurden"-Muster: ein typischer Porno-Köder. Der enthält im aktuellen Fall einen Link auf eine Phishing-Seite, die überzeugend nach einer Facebook-Login-Seite aussieht. Wer die angeblichen Porno-Bilder sehen will, muss seine Zugangspasswörter eingeben - und hat diese damit an Unbekannte geschickt, die über eine chinesische Web-Seite operieren.

Damit das nicht weiter auffällt, leitet die Fallenseite das Opfer nicht nur zu Facebook zurück - auch das Log-in gelingt, die Phishing-Seite fungiert quasi als Proxy. Zunächst scheint also alles in Ordnung.

Ab diesem Zeitpunkt ist aber auch alles möglich: Die Phisher (von "password-fishing") können im Namen des Facebook-Nutzers Spam oder Viren verschicken, können ihre Phishing-Tricks gezielt (und darum glaubwürdiger und mit stark erhöhten Chancen) gegen Opfer im Freundesnetzwerk des Gekaperten einsetzen, die Zugangsdaten an andere Kriminelle verkaufen oder schlicht auf dessen Profilseite Codes hinterlegen, die Browser-Sicherheitslücken ausnutzend Rechner beim bloßen Besuch der Seite infizieren ("Drive-by", siehe Kasten).

All das gehört heute zum Standardrepertoire von Cyber-Kriminellen, deren Methoden allerdings immer ausgefuchster und erfolgreicher werden. So dokumentiert die Computerzeitschrift "c't" in ihrer aktuellen Ausgabe 1/2008, dass Virenschutz-Software im Laufe des letzten Jahres immer mehr an Wirksamkeit verlor. Zunehmend schwierig werde vor allem das Erkennen neuer Viren oder Schad-Software-Varianten. Während die IT-Sicherheitsunternehmen ihre Kunden mitunter zigmal am Tag mit den Signaturen neu erkannter Viren versorgen, tut sich ihre Software immer schwerer damit, bisher nicht erfasste Viren als verdächtig zu erkennen.

Die ideale Falle - so nutzen Phisher die Kommunikationslust in Social Networks aus

Hauptgrund sind nicht gelegentliche Programmierfehler der Virenjäger, sondern die Tatsache, dass die Verteidiger den Angreifern immer ein gutes Stück hinterherhinken - und zudem in der Minderzahl sind. Über 1000 Virenattacken, berichtet die "c't", verzeichne das Magdeburger Virenschutzunternehmen AV-Test mittlerweile - pro Stunde. Dieser Sturmlauf gegen die Rechner im Netz lebt aber nicht nur von reiner Masse: Während Würmer und Viren früher nach Strickmustern programmiert waren, die oft in zig Varianten immer wieder Verbreitung suchten und Sicherheits-Software schon aufgrund ihres Verhaltens verdächtig wurden, versagt Virenschutz-Software heute gerade da. Die Effektivität der Erkennung neuer Viren anhand von Verhaltensmustern oder sogenannter heuristischer Verfahren, schreibt die "c't", sei im letzten Jahr je nach Software um 10 bis 20 Prozent gesunken.

Knappe Kommunikation ist ideal für Fallen

Kein Wunder, dürften inzwischen doch einige der cleversten Programmiererköpfe für die Spam- und Schad-Software-Mafia arbeiten. Eugene Kaspersky, Mitbegründer des gleichnamigen russischen IT-Sicherheitsunternehmens, brachte das auf der Cebit 2007 treffsicher auf den Punkt: Organisierte Banden könnten Programmierern inzwischen Gehälter bieten, mit denen legale Auftraggeber nicht mehr konkurrieren könnten. Auch deshalb seien "die viele, und wir sind wenige".

Denn im Gegensatz zu früher, wo die "Virii"-Szene von meist noch pubertierenden Vandalen dominiert wurde, die vor allem ihren destruktiven Spaß suchten, sollen heute weit über 90 Prozent aller Cyber-Attacken aus kriminellen Gründen geschehen.

In Social Networks fällt das scheinbar leichter als irgendwo sonst. Bei Facebook beispielsweise sind Formen ultraknapper Kommunikation üblich, bei denen Mitglieder der Freundesnetze ihren Kontakten einfach kurze Statements in die Seiten schreiben. Auch Links nach dem "sieh mal"-Muster sind da üblich - und genau das scheinen sich nun die nur vielleicht chinesischen Facebook-Phisher zunutzezumachen.

Tipp: Wer sich nicht sicher ist, ob sein Facebook-Account in den letzten Tagen bephisht wurde, sollte unbedingt seine Passwörter ändern

Beim Besuch seines Facebook-Profils, berichtete der IT-Fachmann Rob Jensen der News-Seite "Wired", habe er einen einfachen Link als Nachricht einer Freundin vorgefunden. Der Klick habe ihn direkt auf eine Phishing-Seite geführt, die er allerdings erkannt habe, weil er vom Fach sei. Klingt einfach, ist es aber nicht: Rein äußerlich erkennt man diese Fälschung nicht unbedingt (siehe Bild), und selbst die Adresse enthält vertraute Teile wie "facebook.com".

Auch das ist ein Standardtrick von Phishern, die solche offiziell wirkenden Adressbestandteile gern den URLs ihrer eigenen Phishing-Seiten voranstellen: Internetadressen sollte man quasi von rechts nach links lesen, nicht umgekehrt - erst dann erkennt man, wohin sie wirklich verweisen. Der in der Abbildung gezeigte Facebook-Bestandteil soll bei unbedarften Nutzern Vertrauen schaffen, ist für die Adresse aber völlig irrelevant: Die hat eine "cn"- statt einer "com"-Endung, ist also in China registriert.

Die vorangestellten Facebook-Adressbestandteile bezeichnen nur eine Seite innerhalb einer offensichtlich für Phishing-Zwecke registrierten Domain. Die wurde im November 2007 reserviert - in China, aber nicht unbedingt von Chinesen.