Geolokalisierung und Metadaten veröffentlichter Fotos

Ein Beitrag hat zwei Teile: das, was man bewusst hineinlegt, und das, was das Gerät oder die App hinzufügt. Zum zweiten Teil dokumentieren die Quellen die Rolle mobiler Apps. Eine App kann Zugriff auf persönliche Daten des Geräts verlangen, darunter Standortdaten. Die Entwickler haben dann Zugang dazu und können sie an Dritte weitergeben, zum Beispiel an Unternehmen für Werbung, die nach Position und Interessen ausgerichtet ist⁴. Manche Apps geben Zugriff auf den ungefähren physischen Standort der Nutzerin oder des Nutzers⁴.

Beim sozialen Netzwerk sind die Sichtbarkeitseinstellungen standardmäßig oft sehr offen: Die Daten können mit allen Abonnenten geteilt werden⁶. Selbst in einem Kreis, den man für begrenzt hält, kann ein Beitrag weiterverbreitet oder über das hinaus ausgelegt werden, was der Urheber vorgesehen hatte⁶.

Die folgenden Schritte geben die Empfehlungen der Quellen wieder.

• Zugriff auf den Standort begrenzen. Für Apps, die ihn benötigen, rät die CISA, den Zugriff auf die Zeiten zu beschränken, in denen die App genutzt wird⁴. Sie empfiehlt, besonders auf Apps zu achten, die auf Kamera, Speicher und Standort zugreifen⁴.
• Berechtigungen kontrollieren. Prüfen Sie die Berechtigungen jeder App, entziehen Sie die nicht notwendigen und erwägen Sie, Apps zu löschen, die zu viele Berechtigungen verlangen⁴.
• Privatsphäre einstellen. Fragen Sie sich, wer einen Beitrag sehen kann und ob die Optionen so eingestellt sind, dass nur die gewünschten Personen Zugang haben⁵. Prüfen Sie diese Einstellungen regelmäßig erneut, denn sie können ohne Ihr Wissen geändert werden⁶.
• Auswählen, was man sagt. Geben Sie keine persönlichen oder sensiblen Informationen weiter, die zum Schaden genutzt werden könnten, und gehen Sie umsichtig vor, wenn Sie über Ihre Arbeit sprechen, denn das kann den Beschäftigten und das Unternehmen schädigen⁶. Das NCSC rät, zwischen dem, was nahestehende Personen wissen müssen, und unnötigen Details zu unterscheiden, die Kriminellen nützen könnten⁵.
• Darüber auf dem Laufenden bleiben, was andere über einen sagen: Freunde, Kollegen und Kontakte⁵.
• Fragen einer fremden Person zum Unternehmen nicht beantworten. Die CISA rät zu Misstrauen bei Anrufen, Besuchen oder E-Mails, die nach Beschäftigten oder internen Informationen fragen, und dazu, die Identität der Person direkt beim Unternehmen zu überprüfen⁷.

Der erste Fallstrick ist der digitale Fußabdruck, also die Gesamtheit der online verfügbaren Informationen über eine Person. Das NCSC erklärt, dass Kriminelle ihn nutzen können, um eine Identität zu stehlen oder Phishing-Nachrichten überzeugender zu machen⁵.

Der zweite ist der falsche Eindruck eines geschlossenen Kreises: Ein Beitrag kann seinem Urheber auch bei einem ausgewählten Publikum entgleiten⁶.

Der dritte ist der falsche Gesprächspartner. Ein Angreifer kann sich als neuer Mitarbeiter, Handwerker oder Forscher ausgeben und, wenn er von einer Person nicht genug erfährt, eine andere Person derselben Organisation kontaktieren und sich dabei auf das stützen, was die erste gesagt hat⁷. Veröffentlichte Details können diese Geschichte glaubwürdiger machen.

Der vierte betrifft gekaperte Konten: Kontakte können schädliche Inhalte ohne ihr Wissen teilen, vor allem wenn ihr Konto unbemerkt gekapert wurde⁶.

Schließlich erlaubt die Verbindung einer App mit einem Konto in einem sozialen Netzwerk der App, Informationen aus diesem Konto zu sammeln, und umgekehrt⁴. Die Quellen raten, die Berechtigungen vor der Zustimmung zu prüfen⁴⁶.

Um einen peinlichen oder kompromittierenden Beitrag entfernen zu lassen, verweist Cybermalveillance.gouv.fr auf die Hinweise der CNIL⁶. Zum Melden rechtswidriger Inhalte nennt sie die Plattform Internet-signalement.gouv.fr⁶. Wurden sensible Unternehmensinformationen offengelegt, rät die CISA, die zuständigen Stellen der Organisation zu informieren, darunter die Netzwerkadministratoren⁷.