Dieser Artikel wurde vor mehr als einem Jahr veröffentlicht. Die Informationen könnten veraltet sein.
News vom 08.11.2016

Gefahren beim Login über Google und Facebook

Ein Artikel von , veröffentlicht am 08.11.2016

Viele Apps und Webdienste bieten Nutzern die Möglichkeit, sich über Google oder Facebook anzumelden. Dadurch vermeiden sie umständliche Passworteingaben. Möglich wird das durch das „Oauth-Protokoll“. Doch das wird oft fehlerhaft umgesetzt.

Ob im Web oder auf dem Smartphone, ob E-Mail oder WhatsApp: Ohne persönliches Nutzerkonto geht nichts. Zahlreiche Webdienste oder Apps erfordern einen Login-Namen und ein Passwort. Um den Anmeldeprozess zu vereinfachen, wurde das "Oauth-Protokoll" entwickelt.

Damit können sich Nutzerinnen und Nutzer mit den Anmeldedaten des einen Dienstes bei einem anderen Anbieter anmelden. Technisch bestätigt dabei zum Beispiel Google oder Facebook gegenüber einer App, dass ein Anwender dort über ein Nutzerkonto verfügt.

Drei Wissenschaftler der chinesischen Universität in Hongkong fanden nun heraus, dass zahlreiche Apps die übermittelten Zugangsdaten nicht überprüfen. Wie das US-Magazin Forbes meldet, könnten Angreifer sich dadurch Zugang zu den Nutzerkonten eines Opfers verschaffen, indem sie deren Google- oder Facebook-Identität ermitteln.

Die Wissenschaftler erwähnen in ihrem Bericht beispielsweise Apps zur Flug- oder Hotelbuchung. Cyber-Kriminellen könnten aber nicht nur Buchungsdaten in die Hände fallen, sie könnten genauso im Namen und auf Kosten der rechtmäßigen Nutzer Buchungen vornehmen. Zusätzlich könnten auch persönliche Daten aus einer App gestohlen werden.

Betroffene Apps wurden laut den Forschern rund 2,4 Milliarden mal installiert. Sie gehen davon aus, dass rund die Hälfte der Nutzer einen Login über Oauth wählt und rechnen daher mit rund einer Milliarde betroffener Nutzerkonten. Die betroffenen Apps nannten sie jedoch nicht namentlich. Dadurch sind Nutzerinnen und Nutzer mal wieder sich selbst überlassen.

Wer darin einen Grund mehr sieht, Facebook und Google nicht als Login-Hilfe zu nutzen, und sich trotzdem nicht für jeden Dienst ein eigenes Passwort merken mag, sollte einen Passwort-Manager in Betracht ziehen.

Wie Passwortmanager funktionieren, und welche es gibt, erfahren Sie im Beitrag Passwort-Manager richtig verwenden. Das Anmelden per Google- oder Facebook-Konto ist auch umstritten, weil dabei Informationen vom Nutzerkonto übertragen werden können. Mehr dazu im Beitrag Login mit Facebook.

 

Weitere Artikel

Hintergrund 

So messen wir den Stromverbrauch von Apps

Um herauszufinden, wie stark verschiedene Apps die Übertragungsinfrastruktur beanspruchen und damit Energie verbrauchen, haben wir ein Testverfahren entwickelt. Hier erklären wir es.

Mehr
Ratgeber 

Android ohne Google – wie geht das?

Wer ein Android-Gerät in Betrieb nimmt, wird aufgefordert, die Nutzungsbedingungen von Google zu akzeptieren und ein Google-Konto einzurichten. Von diesem Moment an fließen Nutzungsdaten an den Konzern. Geht es auch anders?

Mehr
Ratgeber 

Amazons Appstore kurz vorgestellt

Mit über 400.000 Apps bietet Amazon eine recht große App-Auswahl. Auf Amazons Kindle-Geräten ist der Store vorinstalliert. In Sachen Datenschutz bringt er keine Vorteile - wer ihn nutzt, muss ein Konto bei Amazon anlegen und stimmt Amazons Datenschutzerklärung zu. Daten aus der Nutzung anderer Amazon-Dienste werden verknüpft.

Mehr
Ratgeber 

Identifier: So erkennen Tracking-Firmen Sie im Netz

Viele Apps senden Nutzerdaten an Firmen, die daraus Nutzerprofile erstellen. Das nennen wir "tracken". Aber wie erkennen diese Firmen eigentlich, welcher Datensatz von welchem Nutzer kommt? Das funktioniert mit sogenannten "Identifiern". Wir erklären, was das ist.

Mehr