Add-on Firesheep: Facebook und Amazon hacken leicht gemacht

Identitätsdiebstahl ist ein sehr langes Wort. Mit der Erweiterung Firesheep ("Add-on") für den Browser Firefox geht das Verfahren kinderleicht: Man startet den Browser und wartet, bis die Zugangsdaten anderer sichtbar werden. Anschließend genügt ein Klick mit der Maus, um die Zugangsdaten zu nutzen. So kann man in fremden Namen Bestellungen aufgeben, Freundschaften in Facebook schließen oder Kurznachrichten über Twitter verschicken.

Damit das Verfahren so leicht funktioniert, muss man kein Top-Hacker sein. Ist die Erweiterung installiert, genügt es den Browser Firefox zu starten. Dann wird ein Hintergrundprogramm aktiv, dass bei jeder Datenübertragung im WLAN mitlauscht.

Damit kann Firesheep Übertragungen ermitteln, die "Session cookies" enthalten. In diesen winzigen Textdateien, die ein Browser empfängt und auf der Festplatte speichert, stehen die Zugangsinformationen für die jeweilige Web-Seite. Sprich: Wer sich bei Facebook, Twitter, Google oder Amazon anmeldet, erhält von deren Server ein Session cookie, das unter anderem Benutzernamen, Kennwort und Anmeldedatum enthält. Bei jeder Aktion prüft dann der jeweilige Server, ob das Cookie vorhanden ist, um führt sie erst dann aus.

Firesheep allerdings macht den Missbrauch dieser Cookies einfach. Es speichert die Session cookies anderer Personen, die im WLAN unverschlüsselt übertragen werden und führt eine Liste mit Servernamen und Zugangsdaten. Klickt man auf einen Eintrag in der Liste, kann mit den Zugangsdaten dieser anderen Person auf dem Server arbeiten. Bei Amazon beispielsweise können wir so eine Bestellung aufgeben und bei Twitter einen Kommentar veröffentlichen - beides ohne Rückfrage im Namen einer anderen Person.

Wirklich schützen kann man sich vor Firesheep nicht. Einigermaßen sicher darf man sich als Benutzer von Amazon & Co. nur, wenn der Rechner über Kabel mit dem Internet verbunden ist oder man allein in einem WLAN-Netz arbeitet.

Extrem gefährlich sind dagegen WLAN-Netze, die fast immer von mehreren Personen genutzt werden; beispielsweise im Hotel, im Café oder die "Hotspots" von T-Online. Dort sollte man in Zukunft keine Zugangsdaten für solche Internetseiten eintippen. Die Gefahr ist zu gross, dass ein anderer Mac oder Windows-PC mit Firesheep die Zugangsdaten abhört.