Der Online-Marktplatz Kleinanzeigen musste einen unbefugten Zugriff auf Nutzerdaten einräumen. Wie der Betreiber mitteilt, wurde dafür eine technische Schnittstelle des Portals missbraucht.
Mit rund 50 Millionen aktiven Anzeigen zählt Kleinanzeigen – vormals „eBay Kleinanzeigen“ – zum meistgenutzten Online-Marktplatz in Deutschland. Gerade wegen dieser Popularität geraten immer wieder auch Betrüger ins Visier der Plattform.
Wiederholt versuchen Kriminelle, die Regeln der Plattform zu umgehen, um daraus Kapital zu schlagen. Eine verbreitete Methode: Sie lassen sich etwa Tickets für ein bekanntes Fußballspiel oder ein gefragtes Konzert über die PayPal-Freunde-Funktion bezahlen. Auf diesem Weg werden Identitätsprüfungen ausgehebelt, sodass das Geld ohne Umweg beim Betrüger landet.
Eine neue Dimension
Der jetzt publik gewordene Fall zeigt eine bislang nicht dagewesene Stufe der Betrugsversuche bei Kleinanzeigen. Der Marktplatz teilte seinen Nutzern schriftlich mit, dass eine unzureichend abgesicherte Schnittstelle zum Abruf von Nutzerdaten missbraucht wurde.
Wie Kleinanzeigen erklärt, ließ sich über diese Schnittstelle anhand einer E-Mail-Adresse feststellen, ob ein entsprechendes Konto bei Kleinanzeigen existiert. War dies der Fall, konnten Angreifer zusätzliche, öffentlich einsehbare Profildaten mit dieser Adresse verknüpfen.
Angriffsziel: die Kleinanzeigen-Schnittstelle
Auf diesem Weg ließen sich unter anderem folgende Angaben zusammenführen: der Profilname, die Nutzer-ID, die Anzahl veröffentlichter Anzeigen sowie das Datum der Kontoregistrierung.
Kleinanzeigen betont gegenüber seinen Kunden, dass diese Angaben ohnehin frei auf der Plattform zugänglich sind. Erst die Verknüpfung mit einer E-Mail-Adresse verleiht den Daten Relevanz für gezielteres Phishing.
Noch keine bekannten Schäden
Selbst wenn keine sensiblen Zugangsdaten öffentlich geworden sind, können Betrüger mit den erbeuteten Informationen überzeugendere Nachrichten im Namen von Kleinanzeigen versenden.
Berichte über konkrete Schäden durch diesen Phishing-Vorfall sind bislang im Netz nicht aufgetaucht. Denkbar ist jedoch, dass die Täter zunächst Datensätze sammeln und bündeln, um erst später aktiv zu werden.
Kleinanzeigen behebt die Schwachstelle
Nach eigener Aussage hat der Marktplatz die ausgenutzte Sicherheitslücke bereits geschlossen und zusätzliche Schutzmaßnahmen für die betroffenen Konten eingeführt.
Passwörter seien bei dem Vorfall nicht offengelegt worden, so Kleinanzeigen. Aus diesem Grund bestehe für Nutzer grundsätzlich kein unmittelbarer Handlungsbedarf.
Dennoch sollten Kleinanzeigen-Nutzer in den nächsten Wochen wachsam bleiben. Die erbeuteten Daten könnten für Phishing-Nachrichten missbraucht werden, die auf den ersten Blick authentisch wie offizielle Kleinanzeigen-Mitteilungen wirken.
Kleinanzeigen mahnt zur Vorsicht
Der Marktplatz appelliert eindringlich an seine Kunden, bei unerwarteten E-Mails und Nachrichten Vorsicht walten zu lassen. Nutzer sollten dabei weder unbekannte Links anklicken noch jemals Passwörter oder Zahlungsdaten über einen E-Mail-Link eingeben.
Die Gefahr liegt vor allem darin, dass Angreifer aus der Kombination von E-Mail-Adresse und frei zugänglichen Profildaten glaubwürdige Betrugsnachrichten konstruieren können. So kann eine Nachricht persönliche Details zum jeweiligen Konto enthalten und dadurch echter erscheinen.
Nutzer sollten daher stets sorgfältig prüfen, ob eine Nachricht wirklich von Kleinanzeigen stammt. Im Zweifelsfall empfiehlt es sich, direkt die Kleinanzeigen-Website oder -App aufzurufen, statt einem Link aus einer E-Mail zu folgen.
Sicherheitsempfehlungen für Kleinanzeigen-Nutzer
Kleinanzeigen stellt auf seiner Website weitere Tipps zum Schutz vor Betrug bereit. Empfohlen wird unter anderem, ein individuelles Passwort für das Kleinanzeigen-Konto zu nutzen, das nirgendwo sonst zum Einsatz kommt.
Außerdem sollten Nutzer, sofern verfügbar, die Zwei-Faktor-Authentifizierung für ihr Konto aktivieren. So lässt sich ein Kleinanzeigen-Konto auch dann besser absichern, wenn ein Passwort in falsche Hände gerät.
Schließlich rät Kleinanzeigen zu besonderer Vorsicht, wenn Nutzer unerwartet zur Angabe von Zugangsdaten, Zahlungsinformationen oder anderen persönlichen Daten aufgefordert werden.
