Ein indischer Hacker entdeckte eine Sicherheitslücke, die den Zugriff auf alle 1,6 Milliarden Profile erlaubt. Er hätte das missbrauchen können, tat es aber nicht.
Sicherheitslücken gehören zu Computerprogrammen dazu. In praktisch jeder Software finden sich Fehler, die mehr oder weniger schwerwiegende Folgen haben können. Besonders unangenehm für Nutzer sind Sicherheitslücken in Online-Diensten, die persönliche Informationen wie Passwörter oder Kreditkartendaten für Fremde offenlegen. So eine Lücke hat der indische Hacker Anand Prakash entdeckt. Er fand einen Fehler bei Facebook, mit dem er jedes der 1,59 Milliarden Facebook-Profile hätte kapern können, wie er auf seinem Blog berichtet. "Ich hatte vollen Zugriff auf die Accounts anderer Nutzer durch die Erstellung eines neuen Passwortes", schreibt Prakash. "Ich konnte Nachrichten lesen, Kreditkartendaten einsehen, die im Menü unter Bezahlinformationen gespeichert waren, persönliche Fotos anschauen und so weiter." Die gute Nachricht ist, dass Prakash die Lücke nicht ausnutzte. Er verkaufte sein Wissen auch nicht an andere weiter, die die Informationen hätten missbrauchen können. Stattdessen meldete er den Fehler an Facebook. Das Unternehmen schloss die Lücke am nächsten Tag und versprach ihm für seine Entdeckung eine Belohnung von 15 000 Dollar (knapp 13 800 Euro). Andere nutzen die Schwachstellen und verkaufen ihr Wissen auf dem Schwarzmarkt Zum Glück für die 1,5 Milliarden Facebook-Nutzer ist er ein sogenannter "White Hat"-Hacker. Findet er eine Sicherheitslücke, weist er Firmen darauf hin. Sie können dann die Schwachstellen schließen. Andere Hacker, die als "Black Hats" bezeichnet werden, nutzen neu entdeckte Sicherheitslücken selbst aus oder verkaufen ihr Wissen auf dem Schwarzmarkt. Um das zu verhindern, loben viele IT-Unternehmen Belohnungen für Hacker wie Prakash aus. Die Schwachstelle hatte der IT-Sicherheitsingenieur in Facebooks Login-Prozess gefunden. Verlieren Nutzer ihr Passwort, können sie Handynummer oder E-Mail-Adresse eingeben, die sie mit ihrem Facebook-Profil verknüpft haben. Facebook verschickt dann an diesen Kontakt eine sechsstellige Zahl. Die Nutzer tippen die Zahl auf der Seite oder der App ein und können ein neues Passwort festlegen. Das soll sicherstellen, dass kein Fremder das Passwort zurücksetzt und den Account kapert. Computer können sechsstellige Codes leicht überwinden. Richtig programmiert, probieren sie so viele Kombinationen durch, bis die richtige Zahlenfolge dabei ist. Genau das versuchte Prakash zuerst. Allerdings hatte Facebook diese Möglichkeit bedacht und solche Einbruchsversuche mit der digitalen Brechstange blockiert. Nach zehn bis zwölf Versuchen mit falschen Codes habe er keine weiteren Zahlenkombinationen mehr eingeben können. Das galt allerdings nur für die reguläre Facebook-Seite. Prakash bemerkte, dass er auf den Seiten beta.facebook.com und mbasic.beta.facebook.com so viele Zahlencodes eingeben konnte, wie er wollte. Beide sind Testseiten, auf denen Facebook Funktionen ausprobiert, die noch nicht für alle freigeschaltet sind. Prakash testete das Code-Raten mit seinem eigenen Profil und siehe da: Es funktionierte. "Ich konnte erfolgreich ein neues Passwort für mein Profil erstellen", schreibt er. Prakash ist als "White Hat" ziemlich erfolgreich. Er meldete bereits Schwachstellen an den IT-Dienstleister Red Hat, den Datenspeicherdienst Dropbox, das Online-Netzwerk Twitter oder den Zahlungsdienst Paypal. Regelmäßig sammelt er dafür Prämien ein und wird von den Unternehmen lobend auf ihren Webseiten erwähnt. Es geht also um Geld und Ehre. Auch sein eigentlicher Job hat mit Sicherheit zu tun. Prakash arbeitet als Sicherheitsingenieur beim Online-Händler Flipkart in der Millionenstadt Bangalore. Sie zählt zu den beliebtesten Webseiten Indiens, dort gibt es von Fernsehern über Mode bis hin zu Möbeln fast alles. Schon als Jugendlicher habe er sich intensiv mit Computern beschäftigt, heißt es in einem Porträt der indischen Webseite Yourstory. Während seines Studiums am Vellore Institute of Technology im Süden des Landes habe er anderen Studenten geholfen, Daten-Höchstgrenzen im Uni-Netzwerk zu umgehen. Einen schlechten Eindruck hat er deswegen nicht hinterlassen: Die Hochschule berichtet stolz von der Prämie, die ihr Absolvent von Facebook bekommen hat. Seinen allerersten Fehlerbericht hatte Prakash übrigens auch an Facebook geschickt und dafür 500 Dollar bekommen. Überhaupt tut er einiges, um dessen Nutzer vor anderen Hackern zu schützen. Schon in den vergangenen drei Jahren meldete er dem Netzwerk Schwachstellen.