Zugangsdaten dienen als digitale Ausweise zum Authentifizieren bei Diensten. Mit Gosearch, Sherlock und Gitleaks prüfen Sie, ob und wo Ihre Credentials in Umlauf sind.

Regelmäßig berichten die Nachrichten über Datenlecks, über die Unbefugte Zugangs- und Nutzerdaten von Webseiten, Institutionen oder Unternehmen im großen Stil abschöpfen und sie zum Teil frei zugänglich machen. Trotz der inzwischen vielfältigen und komplexen Mechanismen zum Absichern der Datenbestände gelingt es Angreifern immer wieder, Möglichkeiten für einen Zugriff auf die Daten zu finden, um damit später in unserem Namen oder gegen uns zu agieren.

Als wären einzelne Vorfälle dieser Art nicht bereits schlimm genug, reißen Datenaggregationen ein noch größeres Loch. An einem Ort zusammengeführte Mengen bislang unabhängiger Daten lassen sich miteinander verknüpfen und erlauben das Erstellen von Profilen. Das kommt dem Schreckensbild des gläsernen Nutzers schon recht nahe. Viele Anwender treibt daher die berechtigte Sorge um, dass bislang als verlässlich abgesichert geltende Zugänge zu Diensten kompromittiert werden könnten.

Die Ursachen für die Verfügbarkeit der Daten gestalten sich vielfältig. Insbesondere jüngere Internetnutzer, die mit dem Thema des Schutzes der eigenen Daten noch nicht vertraut sind und dessen Bedeutung falsch einschätzen, gehen allzu unbekümmert mit persönlichen Daten um. Das beste Beispiel dafür liefert der flinke Klick auf Zustimmen zu allen Cookies und Tracking-Mechanismen, die eine Webseite beim Aufruf abfragt.

Hinzu kommt aber eine Vielzahl weiterer Technologien und Vorgehensweisen, die aktuell zum Abschöpfen unserer Daten zum Einsatz kommen. Selbst technikaffinen Nutzern geht mitunter der Überblick verloren, wogegen wir noch abgesichert sind und was mittlerweile als bedenklich gelten muss. Von uns genutzte Werkzeuge, die deren Anbieter im Laufe der Zeit um “ergänzende Technologien” erweitern, sollten Sie regelmäßig dahingehend bewerten, ob der Nutzen noch über dem Risiko des Datenabflusses steht.

In diese Kategorie fallen insbesondere Programme, an die Methoden der Statistik und künstlichen Intelligenz angeflanscht wurden. Eine harmlos wirkende Autovervollständigung in einer Textverarbeitung, in der Adresszeile eines Webbrowsers, im Editorfenster einer Programmierumgebung oder einem Textfeld eines Chat-Clients erleichtert das Arbeiten ungemein. Allerdings muss die Software die Daten für die Vorschläge irgendwo berechnen und von irgendwoher beziehen. Häufig kommt dafür eine “Datenwolke” im Internet zum Einsatz, die ihre statistische Vielfalt durch Nutzer- oder Eingabeprofile vieler Anwender erreicht. Was mit den derart aggregierten Daten sonst noch passiert, wissen wir häufig nicht.

Jedes Werkzeug verwendet eine Konfiguration als Grundlage seiner Aktionen. Häufig fällt das jeweilige Setup jedoch so aus, dass es den Bereitsteller oder Betreiber bevorteilt und wir als Nutzer Dinge explizit ausschalten müssen. Das unter dem Begriff Opt-out bekannte Verfahren erfordert Akribie beim Prüfen der Einstellungen. Darunter fallen beispielsweise Kooperationen mit Drittanbietern beim Verwenden von Webbrowsern. Das zeigt sich ganz konkret bei der Wahl der voreingestellten Suchmaschine im Webbrowser (Abbildung 1).

Abbildung 1: Die in Webbrowsern wie Firefox voreingestellte Suchmaschine basiert in aller Regel auf einer Kooperation mit dem Diensteanbieter.

Administrative Sünden gehören ebenfalls dazu; etwa konzeptionelle Fehler wie die, die bei der elektronischen Patientenakte (ePA) aufgedeckt wurden. Vergessene Zugänge, überbordende Berechtigungen und Freigaben von Nutzern, die an einem Projekt beteiligt waren, gehören zum Alltag. Sie bilden Einfallstore unterschiedlicher Größe für Dritte.

Beispielsweise vereinfachen vorgefertigte Zusammenstellungen über ein sorgfältig präpariertes Image das Ausrollen kompletter Umgebungen für Standardsysteme. Hier gilt es insbesondere zu prüfen, ob man die voreingestellten Dienste und Freigaben im konkreten Anwendungsfall tatsächlich benötigt. Hier spielen Portscanner wie Nmap ihre Stärken aus. Unnötige Dienste, die im Hintergrund laufen, verbrauchen nicht nur Rechenzeit, sondern erleichtern auch Angriffe, wie zum Beispiel die kürzlich bekannt gewordene Rsync-Lücke [1] zeigt.

Daten aufstöbern

Aber wie finden Sie heraus, welche digitalen Spuren Sie im Web hinterlassen haben? Einen Startpunkt dazu bietet die Datenschutzgrundverordnung (DSGVO), die seit dem 25.05.2018 in allen EU-Staaten gilt. Sie legt unter anderem fest, dass Sie von Unternehmen, Organisationen oder Betreibern einer Webseite eine Datenauskunft erhalten. Darin muss der Befragte angeben, welche Daten er über Sie speichert oder verarbeitet hat, woher die Daten kamen sowie an wen er sie weitergegeben hat. Der Fachbegriff dafür lautet “Auskunftsbegehren gemäß DSGVO”.

Die Inanspruchnahme des Auskunftsrechts ist grundsätzlich kostenlos, kann aber unter gewissen Bedingungen dennoch Kosten verursachen. Die Antwort auf Ihr Auskunftsbegehren muss innerhalb eines Monats ab Zugang der Anfrage schriftlich oder in elektronischer Form erfolgen, in begründeten Ausnahmen kann sich die Frist auf maximal drei Monate erweitern. Ein Musterschreiben für eine Anfrage stellt beispielsweise der Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Baden-Württemberg zur Verfügung [2]. Auch für die Antwort auf die Anfrage gibt es ein Musterschreiben, zum Beispiel vom Datenschutzbeauftragten des Landes Sachsen-Anhalt [3].

In einem größeren Rahmen außerhalb von Einzelfällen gibt es ebenfalls Ansprechpartner. Zu nennen wäre für Deutschland beispielsweise der Verein Digitalcourage e.V. [4], der sich seit 1987 für eine lebenswerte Welt im digitalen Zeitalter einsetzt. Von Österreich aus agiert das Europäische Zentrum für Digitale Rechte (Noyb) mit dem Aktivisten Max Schrems [5] an der Spitze. Noyb sieht sich als Interessenvertreter der Bürger gegen das unnötige, ungerechtfertigte und rechtlich unzulässige Speichern von Daten. Schrems schreckt dabei nicht davor zurück, sich selbst mit größeren Marktteilnehmern wie Facebook anzulegen.

Liegen Ihre erfassten Daten erst einmal vor, geht es um das Durchsuchen des Materials. Automatisiert gelingt das am besten anhand typischer Muster. Dafür sind reguläre Ausdrücke das beste Hilfsmittel, häufig in Kombination mit einem oder mehreren Werkzeugen aus der Gruppe der Grep-Tools. Axel Beckert pflegt dazu eine Werkzeugübersicht [6], die auch bereits die Grundlage für Artikel [7] in früheren LU-Ausgaben [8] bildete.

Automatisiert suchen

Beim in Go entwickelten Tool Gosearch [9] ist der Name Programm. Mit einem Benutzernamen als Aufrufparameter durchsucht die Software eine Reihe von hinterlegten Plattformen wie Facebook, Twitter/X, Instagram und Github (Abbildung 2). Dafür verwendet Gosearch die API der jeweiligen Plattform. Zusätzlich prüft die App via DNS-Abfrage, ob es passende Domains mit dem Benutzernamen gibt und ob sich diese erreichen lassen.

Abbildung 2: Ein Suchergebnis von Gosearch zum Benutzernamen linuxnewmedia in verschiedenen Webprojekten.

Die Basis dazu bildet der Aufruf gosearch Suchwort. Weitere Parameter außer dem Nutzernamen akzeptiert die App bislang nicht. Erscheint in der Ausgabe eine Zeile in gelber Farbe, kann Gosearch nicht mit Sicherheit sagen, ob es bei der angefragten Stelle einen Account gibt, bei grün eingefärbten Treffern war es hingegen erfolgreich. Auf diese Weise ermitteln Sie beispielsweise, ob und bei welcher der hinterlegten Plattformen ein Account existiert – das allein kann schon recht aufschlussreich sein. Was hingegen nicht funktioniert, ist das gezielte Überprüfen einer einzelnen Webseite wie etwa Facebook; bei Gosearch gilt bislang das Prinzip alles oder nichts.

Bei Treffern speichert Gosearch das Ergebnis der Recherche in einer Textdatei im lokalen Verzeichnis. Als Dateiname nutzt das Programm den gesuchten Benutzernamen. Mithilfe eines API-Schlüssels stöbert die Software auch in Datenbanken (Abbildung 3) nach passenden Einträgen, beispielsweise bei HudsonRock [10] oder BreachDirectory [11]. Das klappt sogar ohne API-Schlüssel, allerdings nur manuell.

Abbildung 3: Das Suchergebnis zu einer E-Mail-Adresse in der Datenbank von BreachDirectory.

Sherlock

Das in Python geschriebene Werkzeug Sherlock [12] durchstöbert nach Aussage der Entwickler mehr als 300 Webprojekte nach Accounts, darunter Arduino, Docker Hub, Gitlab, Bitcoinforum und Telegram. In paketierter Form finden Sie das Werkzeug auf Github sowie im Softwarebestand des künftigen Debian 13. Sherlock macht intensiven Gebrauch von Python-Bibliotheken für den Bereich Data Science wie NumPy, Pandas und SciPy. Es agiert aber dennoch sehr schnell (Abbildung 4).

Abbildung 4: Ein Suchergebnis zum Nutzer linuxnewmedia im Python-Werkzeug Sherlock.

Im Gegensatz zu Gosearch arbeitet Sherlock jedoch so flexibel, dass es nicht stets alle Webseiten nach möglichen Accounts abfragt, sondern auch einzelne. Dazu rufen Sie es mit der Option --site Plattform auf, die Sie auch mehrfach in einem Aufruf verwenden dürfen. Um mehrere Nutzernamen zu überprüfen, geben Sie alle nacheinander jeweils durch ein Leerzeichen getrennt an (Listing 1). Damit prüft Sherlock die geprüfte Seite Nutzername für Nutzername.

$ sherlock --site telegram user123 user567
[*] Checking username user123 on:
[+] Telegram: https://t.me/user123
[*] Checking username user567 on:
[+] Telegram: https://t.me/user567
[*] Search completed with 2 results

Eigene Repos prüfen

Wer viel entwickelt, testet auch häufig. Manchmal mogeln sich dabei allerdings Zugangsdaten in die Repositories. Stehen sie im Programmcode und checken Sie sie mit ein, vergessen Sie später garantiert, sie wieder zu entfernen. Daher sollten Sie zugängliche Daten oder eigene Archive auf möglicherweise enthaltene Credentials hin überprüfen. Nutzen Sie für Ihre Projekte die Versionsverwaltung Git, kommt das Werkzeug Gitleaks [13] ins Spiel (Abbildung 5): Es scannt sowohl einzelne Verzeichnisse als auch komplette lokale Git-Repositories.

Abbildung 5: Das Ergebnis einer Überprüfung mit Gitleaks. Dabei fand die Software keine verdächtigen Dateien.

Um Gitleaks besser in Ihre spezifischen Abläufe einzubinden, liefert die Webseite Hinweise zum Einbinden als Pre-Commit-Hook. Damit prüft sie automatisch vor jedem Commit, ob sich in den Änderungen Zugangsdaten befinden. Ist das der Fall, schlägt Gitleaks Alarm und der Commit scheitert. Das bewahrt Sie womöglich vor dem Hinzufügen sensibler Daten.

Möchten Sie Gitleaks selbst aus dem Quellcode übersetzen, benötigen Sie dazu Go in der Version 1.21. Die steht unter der derzeit stabilen Debian-Version 12 (“Bookworm”) noch nicht zur Verfügung, sondern erst ab dem Nachfolger Debian 13. Funktioniert das Programm nicht auf der von Ihnen verwendeten Distribution, müssen Sie sich mit anderen Tools behelfen, wie Grep, Zgrep, Bzgrep und Xzgrep. Damit durchstöbern Sie ebenfalls Git-Repositories und komprimierte Dateien anhand eines Musters in Form eines regulären Ausdrucks.

Datensparsam surfen

Um die Möglichkeiten des Abfischens Ihrer Daten zu verringern, empfiehlt sich eine gewisse Form von vorbeugendem Verhalten, was die Freigiebigkeit mit Ihren Daten und den Zugriff auf sie angeht. Das schränkt Sie in Ihren Möglichkeiten nicht ein, sondern reduziert lediglich die Angriffsfläche. Die nachfolgenden Tipps zielen darauf ab, es Dritten schwerer zu machen, Daten ohne Ihr Wissen und ohne Ihre Zustimmung abzuschöpfen. Das erfordert viele, kleine Schritte, wobei erst deren Kombination die volle Wirkung entfaltet.

Zu den Sicherheitsvorkehrungen gehören Adblocker für Webbrowser wie uBlock Origin oder Adblock Ultimate. Als Nebeneffekt filtern sie Werbebanner und viele Skripte heraus und machen Webseiten angenehmer lesbar. Bei der Auswahl des Webbrowsers empfehlen sich Firefox Klar [14], Brave [15] und Chromium als Alternativen zu den Platzhirschen Firefox und Chrome. Sie reduzieren das Tracking beim Surfen.

Geht es um die Auswahl der genutzten Suchmaschine, lohnt sich ein Blick abseits des Mainstreams. Alternativen wie SearX(NG), Metager, DuckDuckGo, Swisscows, Kagi und Qwant (Abbildung 6) liefern oft informativere Ergebnisse als die häufig voreingestellten Suchriesen Google und Bing.

Abbildung 6: Die Suchmaschine Quant liefert nicht nur ein aufgeräumtes Resultat, sondern sorgt zudem für Datensparsamkeit.

Als hilfreich erweist sich die Reduktion der Funktionen einer Software auf die tatsächlich benötigten Eigenschaften. Bei Webbrowsern betrifft das beispielsweise die Vorschaufunktion, also das vorherige Laden noch gar nicht besuchter Webseiten. Auch ein reduziertes Caching und das Einschränken von Cookies auf ein Minimum reduzieren den Datenabfluss. Auf Smartphones und Tablets muss der Standort keineswegs zwangsläufig permanent erfasst werden.

Die Stiftung für Konsumentenschutz [16] liefert weitere Tipps für den digitalen Alltag, zu denen beispielsweise das “Wahren der Funkdisziplin” gehört: Schon die Einbuchung ins Datennetz signalisiert unsere permanente Präsenz. Auch das Gerät selbst beziehungsweise dessen App- oder Softwareauswahl lassen sich steuern, beispielsweise mit dem Murena Phone [17]. Das Projekt /e/OS [18] entwickelt eine Softwarezusammenstellung für Smartphones, die auf freie Software setzt und auf die Anbindung an Anbieter wie Google, Meta oder Microsoft verzichtet.

Fazit

Wie der Artikel zeigt, ist die Recherche nach den gesammelten Daten nicht ganz einfach, da diese etwas versteckt liegen. Aber sie ist möglich. Wir raten Ihnen, bewusste Entscheidungen zu treffen, welche Daten erfasst und an Dritte weitergegeben werden. Datensparsame Lösungen betrachten wir als Vorteil für Sie – weniger ist hier mehr. (tle)