Facebook Datenleck-Check: Sind Sie betroffen?

Hinter dem Facebook Datenleck steckt ein Hackerangriff, der mithilfe des sogenannten Scrapings durchgeführt wurde. Hacker griffen über zufallsgenerierte Mobilfunknummern zahlreiche Nutzerdaten ab, insbesondere aber die folgenden, im Facebook Profil gespeicherten, Informationen: 

• Nutzername, in der Regel also Klarname 
• Geburtsdatum 
• Handynummer und Mail-Adresse
• Beziehungsstatus und Wohnort 

Die Besonderheit: Vor allem die Handynummer wird bei Facebook selbst für Freunde nicht sichtbar angezeigt. Nur Nutzer, die ihre Nummer aktiv veröffentlichen, teilen diese mit anderen Menschen – regelmäßig aber auch dann nur mit Freunden.

Beim Scraping erhalten die Hacker aber auch dann Zugriff auf die Telefonnummer, wenn sie sie lediglich in die Suchfunktion des sozialen Netzwerks eingeben. Diese mittlerweile geschlossene Sicherheitslücke wurde damals ausgenutzt. Ein Zufallsgenerator führte Milliarden von Suchanfragen mit zufällig generierten Nummern durch. Passte die eingegebene Nummer zu einem Profil, wurde der entsprechende Name der Nutzerin oder des Nutzers angezeigt. So hatten die Hacker den Vor- und Nachnamen, in der Regel den Wohnort und die zum Profil gehörende Handynummer. 

Ein Facebook Datenleck Check kann dabei helfen, herauszufinden, ob auch Sie von den Scraping-Attacken betroffen sind. Denn die Nummern wurden in Hacker-Foren veröffentlicht und sind dort – auch wenn die Lücke bei Facebook längst geschlossen ist – nach wie vor verfügbar. Da alleine in Deutschland weit über sechs Millionen Nutzer betroffen sind, ist die Wahrscheinlichkeit hoch, Opfer vom Spam- oder kriminellen Anrufen respektive Nachrichten zu werden. 

Erste und mehr oder weniger unmittelbare, bis heute anhaltende Folge des Facebook Datenlecks sind Spamanrufe und gefälschte Nachrichten. Nutzerinnen und Nutzer werden beispielsweise vom Zoll aufgefordert, eine Gebühr für die weitere Bearbeitung ihrer Paketsendung zu entrichten. Dabei ist eine Zahlung nur mit Kreditkarten möglich – und auf diese Weise gelangen Kriminelle dann an alle notwendigen Daten für einen Kreditkartenbetrug.

Außerdem sind viele Daten in die Hände von Unternehmen gelangt. Diese missbrauchen sie für Werbezwecke, senden Nutzern etwa Angebote oder sogar Briefe. Mindestens genauso häufig kommt es zu ungefragten Anrufen, meist aus dem Ausland. Heben Sie ab, wissen die Kriminellen, dass die gewählte Nummer nach wie vor vergeben ist – und nutzen diese Erkenntnis für weitere Anrufe und Nachrichten.

Unser Tipp daher:

Seien Sie bei dubiosen Anrufen und Nachrichten besonders vorsichtig. Geben Sie keinesfalls Zahlungsinformationen oder andere sensible Daten – etwa Ihre Adresse – preis. Blockieren Sie entsprechende Nummern und wenden Sie sich im Zweifel an die Polizei.  

‍

‍

Begeht ein Unternehmen einen Verstoß gegen datenschutzrechtliche Vorschriften, haben Betroffene grundsätzlich verschiedene Ansprüche. Außerdem kann es zu einem behördlichen Verfahren kommen, in dem beispielsweise Bußgelder verhängt oder Auflagen erteilt werden. Facebook wurde beispielsweise vor einigen Jahren zu einer Geldstrafe verurteilt, weil die Datenschutzbestimmungen zu unkonkret und schwer verständlich formuliert waren. 

Bei einem Hacker-Angriff stellt sich die Situation aber etwas anders dar. Denn hier liegt die Ursache für das Bekanntwerden der Daten nicht unmittelbar bei Facebook. Vielmehr sind es die Hacker, die sich durch eine Sicherheitslücke Zugang zu diesen Informationen verschafft haben. Im zweiten Schritt ist dann allerdings zu prüfen, ob Facebook nicht zumindest für das Bestehen dieser Sicherheitslücke verantwortlich ist und haftbar gemacht werden kann. 

Entsprechendes gilt auch für die Meldung des Datenschutzverstoßes. Denn der Facebook-Konzern muss die zuständigen Datenschutzbehörden unverzüglich darüber informieren, dass es ein Datenleck gab. Diese Meldepflicht kann das Unternehmen nur umgehen, wenn es sofortige Maßnahmen zur Schadensbegrenzung einleitet. Dies hat Facebook getan – unmittelbar nach den ersten Veröffentlichungen konnten die Hacker kein Scraping mehr einsetzen. 

In der Datenschutz-Grundverordnung (DSGVO) sind darüber hinaus aber weitere Rechte betroffener Personen normiert. So muss Facebook alle Nutzerinnen und Nutzer ausführlich über Grund, Auswirkung und Reichweite des Datenlecks informieren (Artikel 15 DSGVO). Verweigert der Konzern die Auskunft oder ist sie nicht umfassend genug, kann nach Artikel 82 DSGVO ein Anspruch auf finanzielle Entschädigung bestehen. 

Und hier kommt der Facebook Datenleck Check ins Spiel. Denn die Norm wird von den Gerichten sehr verbraucherfreundlich ausgelegt, sodass bereits zahlreiche Verurteilungen ausgesprochen wurden. Dabei wurde Facebook verpflichtet, zwischen 300 und 5.000 Euro an Betroffene zu zahlen – und zwar je Facebook-Profil, dessen Daten entwendet und missbraucht wurden. Einige Beispiele aus der aktuellen Rechtssprechung: 

• Landgericht Stuttgart, Az. 3 O 220/22: Hier wurden wegen des Facebook Datenlecks 1.000 Euro Schadensersatz gezahlt. Der Betroffene war Opfer gleich mehrerer DSGVO-Verstöße, weil Facebook keinerlei Auskunft zum Sachverhalt erteilte 
• Landgericht Stuttgart, Az. 8 O 38/23: Der vom Facebook Datenleck Betroffene erhielt Schadensersatz in Höhe von 400 Euro 
• Landgericht München, Az. 15 O 4507/22: Verstöße gegen die DSGVO führten bei diesem Nutzer dazu, dass insgesamt 600 Euro an Schadensersatz zu zahlen war