Nina hat sich gerade eine App geladen, mit der sie die Rezepte der Familie ordnen möchte. Auf der ersten Seite kann sie ein Konto mit E-Mail-Adresse und Passwort anlegen oder den Knopf „Anmelden mit …“ drücken und das Profil des sozialen Netzwerks verwenden, das sie jeden Abend öffnet. Sie wählt das Zweite, wie fast immer: ein Klick, eine Bestätigung, und sie ist drin. Genau an dieser Stelle beginnen die Risiken der Anmeldung über ein soziales Netzwerk.
Dieser Knopf bedeutet, dass Sie ein Konto aus einem sozialen Netzwerk anstelle eines neuen Passworts benutzen, um in einen anderen Dienst zu kommen. Das ist bequem, und es ist nichts falsch daran, es getan zu haben. Aber jedes Mal geschehen zwei Dinge, die man nicht sieht: Die App erhält einen Teil der Angaben aus Ihrem Profil, und Ihr soziales Konto wird zum Eingangsschlüssel für einen weiteren Dienst.
Die nützlichste Frage ist deshalb nicht „ist das sicher oder nicht?“, sondern eine andere: Wenn diese Verbindung missbraucht würde oder dieser Schlüssel verloren ginge – was wäre davon betroffen?
Dieser Beitrag antwortet darauf, indem er die drei Eigenschaften betrachtet, an denen sich die Sicherheit jeder Information messen lässt: dass sie vertraulich bleibt, dass sie richtig bleibt, dass sie verfügbar bleibt. Es ist die praktische Übersetzung von drei Fachwörtern – Vertraulichkeit, Integrität, Verfügbarkeit – und sie hilft zu sehen, dass es hier um mehr geht als um den Satz „jemand weiß, dass ich diese App benutze“.
Der Beitrag vertieft die Empfehlung, die Anmeldung über soziale Netzwerke begrenzen und sie den Diensten vorzubehalten, bei denen sie wirklich nützt, während die wichtigen getrennt bleiben.
Drei Fragen, mit denen Sie eine Auswirkung messen
Bevor es ins Einzelne geht, lohnt es sich, die richtigen Fragen zur Hand zu haben. Vor jedem Dienst, in den Sie mit Ihrem sozialen Profil hineingehen – und nicht erst, wenn etwas seltsam wirkt – sind es diese:
- Was hat diese App von meinem Profil sehen können, und was kann sie weiterhin sehen? – das ist die Frage nach der Vertraulichkeit.
- Was kann sie in meinem Namen tun, im sozialen Netzwerk oder im Dienst selbst? – das ist die Frage nach der Integrität.
- Was könnte ich nicht mehr benutzen, wenn ich den Zugang zu meinem sozialen Konto verlöre? – das ist die Frage nach der Verfügbarkeit.
Auf ein einmal ausprobiertes Spiel angewandt, fallen die Antworten bescheiden aus. Auf die Gesamtheit der Dienste angewandt, die an demselben Profil hängen – Rezepte, Online-Handel, Fotos, Kurse –, ändert sich das Bild. Genau dort verschiebt dieser Anmeldeweg die Rechnung: Die Auswirkung misst sich nicht mehr an der einzelnen App, sondern an dem sozialen Konto, das ihr als Schlüssel dient, und an allem, was dieser Schlüssel öffnet.
1. Vertraulichkeit: was Sie teilen, bleibt bei denen, die es bekommen sollen
Vertraulichkeit ist die Zusicherung, dass eine Information nur von denen gelesen werden kann, die dazu berechtigt sind. Dieser Anmeldeweg stellt sie auf die Probe, weil Sie im Augenblick des Verbindens einer App von Dritten – einem fremden Dienst, der nicht zum sozialen Netzwerk gehört – die Erlaubnis geben, einen Teil Ihres Profils zu lesen.
Ein praktisches Beispiel
Wenn Nina die Anmeldung bestätigt, zählt das Fenster auf, was die App erhalten wird: Name, Profilbild, E-Mail-Adresse. Manchmal ist die Liste länger: Geburtsdatum, Wohnort, gefolgte Seiten, Freundesliste. Das sind die Erlaubnisse der App, also die Einträge des Profils, die das soziale Netzwerk in Ihrem Namen weitergibt. In wenigen Sekunden gelesen – und fast niemand liest sie.
Wie ein Vorfall verläuft
Niemand dringt in Ninas Profil ein. Die Angaben, die sie freigegeben hat, liegen nun auch auf den Servern der App, die sie nach ihren eigenen Regeln aufbewahrt. Erleidet diese App eine Kompromittierung oder wird sie an ein anderes Unternehmen verkauft, nehmen diese Informationen Wege, die Nina nie gewählt hat. In der Vergangenheit haben einzelne Quiz-Apps nicht nur Angaben derer gesammelt, die sie benutzten, sondern auch von deren Kontakten; heute sind die Regeln der sozialen Netzwerke enger, doch der Grundsatz bleibt: Was Sie mit einer App teilen, kann auch andere Menschen betreffen.
Warnsignale
- im Abschnitt der verbundenen Apps stehen Dienste, an deren Freigabe Sie sich nicht erinnern;
- eine App für eine einfache Aufgabe hat Zugriff auf Kontakte, Freundesliste oder Nachrichten verlangt;
- Sie bekommen Willkommensnachrichten oder Newsletter von Diensten, bei denen Sie sich nicht registriert zu haben glauben.
Empfohlenes Verhalten
Sehen Sie sich vor dem Bestätigen an, welche Angaben verlangt werden: Möchte eine Rezept-App Ihre Freundesliste, ist ein eigenes Konto die bessere Wahl. Für die bereits verbundenen Apps öffnen Sie die Einstellungen des sozialen Netzwerks und prüfen, was jede einzelne noch lesen darf. Was hinter diesem Zustimmungsfenster steckt, erklärt der Beitrag darüber, wie die Anmeldung über soziale Netzwerke funktioniert.
2. Integrität: auf Ihrem Profil geschieht nur, was Sie entscheiden
Integrität ist die Zusicherung, dass Daten und Handlungen nicht von Unbefugten verändert werden. Hier wiegt der bequeme Anmeldeweg anders: Es geht nicht mehr darum, was eine App sehen, sondern darum, was sie in Ihrem Namen tun kann.
Ein praktisches Beispiel
Manche Apps möchten über das Lesen hinaus die Erlaubnis, zu veröffentlichen: ein Ergebnis teilen, Kontakte einladen, Nachrichten verschicken. Dafür benutzen sie ein Token, also eine Art digitalen Passierschein, den das soziale Netzwerk der App nach Ihrer Zustimmung aushändigt und der ihr erlaubt, zu handeln, ohne jedes Mal nach dem Passwort zu fragen. Solange das Token gültig ist, kann die App alles tun, was Sie ihr zugestanden haben – auch Monate nachdem Sie sie zuletzt geöffnet haben.
Wie ein Vorfall verläuft
Die Quiz-App, die Nina vor zwei Jahren ausprobiert hatte, wechselt den Eigentümer oder wird kompromittiert. Von einem Tag auf den anderen steht auf ihrem Profil ein Beitrag, der einen unwahrscheinlichen Rabatt bewirbt, und einige Kontakte bekommen eine Nachricht mit einem Link. Niemand hat ihr Passwort gestohlen: Die App benutzte die Erlaubnis zum Veröffentlichen, die ihr erteilt worden war. Und wer die Nachricht erhält, vertraut ihr, weil sie von Nina kommt. Wie solche Verbindungen ausgenutzt werden, ist das Thema des Beitrags über Angriffe über verknüpfte Apps.
Warnsignale
- Beiträge, Kommentare oder Empfehlungen auf Ihrem Profil, an die Sie sich nicht erinnern;
- Bekannte fragen nach seltsamen Nachrichten, die von Ihnen gekommen sein sollen;
- Einladungen zu Spielen oder Apps, die an Ihre Kontakte gingen, ohne dass Sie sie verschickt haben;
- in den Einstellungen stehen Apps mit Rechten zum Veröffentlichen oder Verwalten, die Sie nicht brauchen.
Empfohlenes Verhalten
Geben Sie die Erlaubnis zum Veröffentlichen nur dort, wo sie einen klaren Sinn hat. Denken Sie daran, dass das Entfernen einer App vom Telefon ihren Zugang nicht zurücknimmt: Die Erlaubnis liegt auf den Servern des sozialen Netzwerks und ist dort zu entziehen. Und wenn Sie das Passwort des Profils gewechselt haben, sehen Sie die verbundenen Apps trotzdem durch – ein bereits erteiltes Token kann weiterarbeiten.
3. Verfügbarkeit: Sie kommen hinein, wenn Sie es brauchen
Verfügbarkeit ist die Zusicherung, dass Sie Ihre Daten und Ihre Dienste in dem Augenblick nutzen können, in dem Sie sie brauchen. Diese Auswirkung ist am leichtesten zu erkennen, und hier hat sie eine besondere Form: eine geschlossene Tür, die viele weitere schließt.
Ein praktisches Beispiel
Nina geht mit ihrem sozialen Profil in die Rezept-App, in den Bekleidungsshop für die Kinder, in den Dienst, der ihre Fotos druckt, in einen Onlinekurs. In keinem hat sie ein eigenes Passwort. Das soziale Konto ist zu einem einzigen Ausfallpunkt geworden: zu dem einen Element, von dem alle anderen abhängen.
Wie ein Vorfall verläuft
An einem Morgen legt das soziale Netzwerk Ninas Profil für eine Sicherheitsprüfung still, oder jemand übernimmt es. Tagelang kommt sie nicht hinein, und nicht nur dort: Rezepte, Shop und Kurs verlangen die Anmeldung „mit“ genau diesem Profil. In einigen liegen offene Bestellungen und bereits bezahlte Unterlagen. Und entschlösse sie sich eines Tages, das Profil zu schließen, müsste sie sich zuerst an alle Dienste erinnern, die darauf aufgebaut sind.
Warnsignale
- Sie wissen nicht mehr, auf welchem Weg Sie in einen Dienst hineingekommen sind: mit E-Mail-Adresse und Passwort oder mit dem sozialen Profil;
- einige Dienste, die Sie häufig benutzen, haben kein eigenes Passwort;
- das soziale Konto hat keinen zweiten Faktor und keine aktuelle Rufnummer oder E-Mail-Adresse für die Wiederherstellung;
- Sie erhalten Anmeldehinweise für das soziale Profil aus Orten oder von Geräten, die Sie nicht kennen.
Empfohlenes Verhalten
Schützen Sie das soziale Konto so, wie Sie das Haupt-E-Mail-Konto schützen würden: mit einem Passwort, das nur dort verwendet wird, und mit einem aktiven zweiten Faktor, wie es die Empfehlung Konten mit einem zweiten Faktor schützen beschreibt. Für die wichtigen Dienste, in denen Zahlungen, Dokumente oder Arbeit liegen, ist ein Konto mit eigenen Zugangsdaten die bessere Wahl. Viele Dienste erlauben es, eine E-Mail-Adresse und ein Passwort auch dann noch zu ergänzen, wenn das Konto ursprünglich über ein soziales Netzwerk entstanden ist.
| Eigenschaft | Was bei dieser Art der Anmeldung geschehen kann | Warum das wiegt |
|---|---|---|
| Vertraulichkeit | Die App erhält Profildaten, manchmal auch von Bekannten und Kontakten, und bewahrt sie auf | Die Angaben verlassen Ihren Einflussbereich und teilen das Schicksal der App |
| Integrität | Eine App mit Veröffentlichungsrechten kann in Ihrem Namen schreiben, teilen oder Nachrichten verschicken | Der Schaden trifft Ihre Kontakte, die vertrauen, weil die Nachricht von Ihnen kommt |
| Verfügbarkeit | Ist das soziale Konto gesperrt oder übernommen, verlieren Sie den Zugang zu allen verbundenen Diensten | Eine geschlossene Tür schließt viele weitere, auch wichtige |
Ein Szenario, das alle drei zusammenführt
Vor einigen Jahren benutzt Nina ihr soziales Profil, um in eine Quiz-App zu kommen, die Name, Bild, Freundesliste und die Erlaubnis verlangt, Ergebnisse zu veröffentlichen. Denselben Weg wählt sie für den Onlineshop und für den Sprachkurs.
Zwei Jahre später geht die Quiz-App an ein anderes Unternehmen über. Nina hat sie längst vom Telefon entfernt, doch die Erlaubnis ist geblieben.
Von da an, der Reihe nach: Ihre Angaben und die ihrer Kontakte landen im Bestand des neuen Eigentümers (Vertraulichkeit); die Erlaubnis zum Veröffentlichen wird genutzt, um in ihrem Namen einen irreführenden Link zu teilen (Integrität); das soziale Netzwerk bemerkt die auffällige Aktivität und legt das Profil still, sodass Nina eine Woche lang weder in den Shop noch in den Kurs kommt (Verfügbarkeit). Drei verschiedene Auswirkungen, eine einzige Ursache: eine Verbindung, in einer Minute erteilt und jahrelang aktiv geblieben.
Was daraus im Alltag folgt, behandelt der Beitrag über die Folgen eines gehackten Social-Media-Kontos.
Risiken der Anmeldung über ein soziales Netzwerk, die erst später sichtbar werden
Nicht alle Wirkungen zeigen sich sofort. Manche reifen mit der Zeit, und das ist der Grund, warum der Satz „bisher ist nichts passiert“ keine verlässliche Prüfung ist.
- Erlaubnisse, die den Gebrauch überleben. Eine App, die Sie nicht mehr öffnen, kann jahrelang verbunden bleiben. Einige soziale Netzwerke lassen untätige Zugänge ablaufen, aber nicht alle und nicht immer.
- Bereits kopierte Angaben. Eine App zu trennen hindert sie daran, neue Daten zu lesen, löscht aber die bereits erhaltenen nicht: Dafür ist eine Löschung beim Dienst selbst zu verlangen.
- Apps, die den Eigentümer wechseln. Ein verbundener Dienst kann mitsamt seinen Nutzerinnen und Nutzern und den eingesammelten Erlaubnissen verkauft werden.
- Ein Profil, das viel erzählt. Jede Verbindung sagt dem sozialen Netzwerk, welche Dienste Sie benutzen und wann. Das ist Profilbildung, also das Zeichnen eines Bildes Ihrer Gewohnheiten.
Um zu bemerken, dass eine dieser Wirkungen bereits im Gange ist, gibt es den Beitrag über Anzeichen verdächtiger verknüpfter Apps.
Das ist kein Grund, jeden Anmeldeknopf mit Misstrauen zu betrachten. Es ist der Grund, warum der Schutz eine bewusste Entscheidung sein sollte: Diesen Weg nur dort zu wählen, wo er nützt, und die verbundenen Apps von Zeit zu Zeit durchzusehen, verringert alle vier Wirkungen – auch die, die Sie nie zu Gesicht bekommen.
Nicht jeder Dienst wiegt gleich schwer
Die Auswirkung hängt davon ab, was der Dienst verwahrt und was die App mit Ihrem Profil anfangen darf.
| Art des verbundenen Dienstes | Vorherrschende Auswirkung | Warum |
|---|---|---|
| Dienste mit Zahlungen oder hinterlegter Karte | Integrität und Verfügbarkeit | Einkäufe in Ihrem Namen sind möglich, Bestellungen bleiben liegen, wenn der Zugang fehlt |
| Cloud, Foto- und Dokumentenarchive | Vertraulichkeit und Verfügbarkeit | Dort liegen Jahre an Erinnerungen und Dateien, oft auch von anderen Menschen |
| Arbeitswerkzeuge | Alle drei, mit Wirkung auf Dritte | Sie betreffen Kundschaft und Kollegium, und ein Ausfall bringt die Arbeit zum Stillstand |
| Apps für Gesundheit, Wohlbefinden oder Kontaktsuche | Vertraulichkeit | Sie verwahren sehr persönliche Angaben, verknüpft mit Ihrem öffentlichen Profil |
| Apps, die veröffentlichen oder Kontakte einladen | Integrität | Sie haben das Recht, im sozialen Netzwerk in Ihrem Namen zu schreiben |
| Einmal ausprobierte Spiele und Quiz | für sich gering, hoch bei weiten Rechten | Jahrelang vergessen, oft mit Zugriff auf Kontakte oder auf das Veröffentlichen |
Dieser Anmeldeweg ist kein Fehler an sich: Er wird erst dann zu einem, wenn er für Dienste benutzt wird, die einen eigenen Schlüssel verdient hätten. Für einen gelegentlichen Dienst ohne weite Rechte kann er die vernünftigste Wahl sein.
Warum auch „harmlose“ Verbindungen zählen
Die Gründe, den Knopf zu drücken, sind fast immer gute Gründe. Sie halten der Prüfung nur nicht immer stand.
| Was wir uns sagen | Warum es nicht trägt |
|---|---|
| „So muss ich mir kein weiteres Passwort merken“ | Es gibt Wege, sich nicht alle merken zu müssen, ohne jeden Dienst an das soziale Profil zu binden: davon handelt die Empfehlung Passwörter sicher aufbewahren |
| „Die App will doch nur das öffentliche Profil“ | Die Liste der Erlaubnisse kann E-Mail-Adresse, Kontakte oder das Veröffentlichen enthalten: Sie will gelesen, nicht vermutet werden |
| „Ich habe die App gelöscht, also ist es vorbei“ | Die Erlaubnis bleibt im sozialen Netzwerk, bis Sie sie dort zurücknehmen |
| „Ich kann sie ja später trennen“ | Das stimmt, doch die bereits geteilten Angaben bleiben bei der App, und bis dahin war die Verbindung aktiv |
Wenn die Antwort auf die Frage „warum soll diese App mein Profil kennen?“ ein Zögern ist, dann ist das meist schon eine Antwort.
Bezug zum Framework Cyber Welfare
Dieser Beitrag arbeitet vor allem an der Säule digitales Bewusstsein: Er macht sichtbar, was ein einzelner Klick in Bewegung setzt, und stellt daneben die Kompetenzen und das Sichere Verhalten, die daraus folgen.
| Säule | Beitrag dieses Inhalts |
|---|---|
| Bewusstsein | Erkennen, dass jedes „Anmelden mit …“ Daten teilt, Handlungen überträgt und eine Abhängigkeit von einem einzigen Konto schafft |
| Kompetenzen | Vertraulichkeit, Integrität und Verfügbarkeit als drei Fragen lesen können, die vor dem Verbinden einer App zu stellen sind |
| Sicheres Verhalten | Die verbundenen Apps regelmäßig durchsehen, zurücknehmen, was nicht nötig ist, und für wichtige Dienste eigene Zugangsdaten behalten |
Referenzstufe: FL2 – Einsteiger. Das ist die Stufe, auf der aus „ich weiß, dass dieser Knopf bequem ist“ ein „ich verstehe, was geschieht, wenn ich ihn benutze“ wird. Wo Sie bei den übrigen digitalen Gewohnheiten stehen, zeigt Ihnen die Selbstbewertung der digitalen Resilienz.
Zusammenfassung
- Die Vertraulichkeit betrifft das, was geteilt wird: Angaben aus dem Profil, manchmal auch Bekannte und Kontakte, und die Liste der Dienste, die Sie benutzen.
- Die Integrität betrifft das, was eine App in Ihrem Namen tun kann: veröffentlichen, einladen, Nachrichten verschicken, auch lange nach der Zustimmung.
- Die Verfügbarkeit betrifft das, was Sie verlieren, wenn das soziale Konto gesperrt wird: alle Dienste, die darauf aufgebaut sind.
Die Risiken der Anmeldung über ein soziales Netzwerk erschöpfen sich nicht in einer einzigen Wirkung: Sie eröffnen die Möglichkeit aller drei, auf dem Profil und auf jedem Dienst, den Sie damit verbunden haben.
Empfohlener erster Schritt. Öffnen Sie die Einstellungen des sozialen Netzwerks, das Sie am häufigsten benutzen, und suchen Sie den Abschnitt der verbundenen Apps und Seiten. Prüfen Sie drei Dinge: welche Apps dort stehen, welche Rechte sie haben und welche davon Ihnen als Eingang zu wichtigen Diensten dienen. Das sind zehn Minuten, und sie decken alle drei Auswirkungen zugleich ab.
Verwandte Inhalte
- die Anmeldung über soziale Netzwerke begrenzen – die Empfehlung, aus der dieser Beitrag hervorgeht
- Folgen eines gehackten Social-Media-Kontos – die konkreten Auswirkungen auf Zeit, Geld und Beziehungen
- Anzeichen verdächtiger verknüpfter Apps – wie Sie bemerken, dass eine dieser Auswirkungen schon im Gange ist
- Apps vom sozialen Profil trennen – was zu tun ist, in der Reihenfolge der Dringlichkeit
Einen Begriff nachschlagen
Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:
Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.
