Physische Risiken und digitale Ausbeutung
Check Point analysiert die neue Friend Map von Instagram
Die Sicherheitsforscher erheben Sicherheitsbedenken, vor allem hinsichtlich der Privatsphäre – sogar von Leuten, die nicht bei Instagram angemeldet sind
Check Point Software Technologies nahm die neue Funktion Friend Map von Instagram unter die Lupe. Als Instagram still und leise seine neue Funktion Friend Map einführte, wurde sie als unterhaltsame Möglichkeit angepriesen, um zu sehen, wo sich Freunde befinden, und gemeinsame Treffpunkte zu entdecken. Die Einführung löste jedoch sofort Bedenken aus und das aus gutem Grund: Bei der Standortfreigabe geht es nicht nur um Bequemlichkeit, sondern auch um Vertrauen, Sicherheit und die Kontrolle über persönliche Daten.
Meta betont zwar, dass die Funktion optional ist, doch in Wirklichkeit kann ihre Aktivierung weit mehr als nur zwanglose Treffen ermöglichen. Sie verwischt die Grenze zwischen digitalen Datenschutzrisiken und physischen Sicherheitsbedrohungen und setzt Nutzer gezielten Angriffen, Stalking und unerwünschter Profilerstellung aus. Die Art und Weise, wie die Funktion gestaltet ist, in Verbindung mit dem sozialen Druck, der das Verhalten auf Instagram bestimmt, bedeutet, dass sogar vorsichtige Nutzer am Ende mehr über ihre Bewegungen und Gewohnheiten preisgeben könnten, als sie jemals beabsichtigt hatten.
Wenn diese Funktion aktiviert ist, erfasst Instagram Friend Map zwei Arten von Standortdaten:
>> App-gesteuerte Standortprotokolle – Der letzte Standort wird aufgezeichnet, wenn die Instagram-App geöffnet oder erneut aufgerufen wird.
>> Inhaltsbasierte Standortdaten – Alle Reels, Stories oder Feed-Beiträge, die mit einem Standort getaggt wurden, werden indexiert und mit dem Kontoprofil verknüpft.
Diese Einträge bilden einen zeitgestempelten Bewegungsverlauf, obwohl es sich nicht um eine kontinuierliche GPS-Verfolgung handelt. Im Laufe der Zeit ermöglichen wiederholte Anmeldungen an denselben Koordinaten sogar genaue Rückschlüsse auf Wohn- und Arbeitsadressen, Reisegewohnheiten und häufig besuchte Orte.
Diese Standortdaten werden zentral auf den Servern von Meta gespeichert, als Teil derselben Infrastruktur, die Instagram, Facebook, Messenger und andere Meta-Dienste unterstützt. Meta hat nicht genau angegeben, wie lange diese Daten gespeichert werden, sondern verwendet stattdessen die vage Formulierung "so lange wie nötig", um die Bereitstellung von Diensten, Analysen, Compliance und kommerziellen Zwecken abzudecken. Im Gegensatz zu sicherheitsorientierten Standortdiensten werden diese Informationen nicht durchgehend verschlüsselt, sodass die Systeme von Meta und möglicherweise auch dessen Mitarbeiter darauf zugreifen können. Durch die Zentralisierung sind sie auch ein attraktives Ziel für Cyber-Kriminelle. Im Falle einer Sicherheitsverletzung könnten Angreifer nicht nur Benutzernamen und Passwörter, sondern auch eine detaillierte Karte mit den Aufenthaltsorten von Millionen von Nutzern abgreifen.
Da Instagram Teil des größeren Werbe-Ökosystems von Meta ist, können die Daten auch mit dem umfassenderen Verhaltensprofil eines Nutzers abgeglichen werden. Diese Integration ermöglicht eine äußerst detaillierte Werbeausrichtung, bei der ein Werbetreibender beispielsweise Personen erreichen kann, die unter der Woche ein bestimmtes Fitnessstudio oder samstagsvormittags regelmäßig ein bestimmtes Café besuchen. Die gleiche Präzision, die diese Art von Marketing ermöglicht, erlaubt auch böswilligere Formen der Zielgruppenansprache.
Die Risiken der Standortfreigabe lassen sich in zwei große Kategorien einteilen, wobei die Gefahr darin besteht, dass sie sich überschneiden können. Auf der physischen Seite kann die Offenlegung des Aufenthaltsorts zu Stalking, Belästigung oder unerwünschten persönlichen Kontakten führen. Ein Angreifer, der Muster, wie den täglichen Arbeitsweg, die Lieblingsbar oder die regelmäßige Jogging-Strecke erkennt, kann diese Informationen nutzen, um eine Begegnung zu planen. Kriminelle nutzen auch Standort-Tags in sozialen Medien, um herauszufinden, wann jemand nicht zu Hause ist, um Einbrüche so zu planen, dass die Wohnung wahrscheinlich leer ist. Für Minderjährige ist das Risiko noch höher, da sie von potenziellen Tätern identifiziert, verfolgt und angesprochen werden können, wenn ihr Standort für ein breites Publikum sichtbar ist.
Im digitalen Bereich werden Standortdaten zu einem leistungsstarken Instrument zur Profilerstellung. Die Werbeplattform von Meta kann diese Daten mit dem Browser-Verlauf, Kaufdaten und demografischen Daten zusammenführen, um hochspezifische Zielgruppensegmente zu erstellen. Dies kann zwar die Relevanz von Werbung erhöhen, aber auch Möglichkeiten für gezielte Desinformation, Betrug und Phishing-Versuche schaffen, bei denen der Standortverlauf genutzt wird, um falsches Vertrauen aufzubauen. Cyber-Kriminelle können Standortmuster nutzen, um politische Überzeugungen, religiöse Zugehörigkeit oder Gesundheitszustände abzuleiten und dann überzeugende, manipulative Inhalte zu erstellen, die auf diese Annahmen zugeschnitten sind. Dieselben Daten, die einem Vermarkter helfen, die Kaffeegewohnheiten eines Nutzers vorherzusagen, könnten einem Angreifer dabei helfen, herauszufinden, wann und wie er diesen Nutzer ausnutzen kann.
Da die Instagram Friend Map vollständig in das umfassendere Meta-Ökosystem integriert ist, könnte eine Sicherheitsverletzung oder ein Kompromittierung eines verbundenen Dienstes wie Facebook oder Messenger die Standortdaten indirekt offenlegen. Diese vernetzte Struktur erweitert die Angriffsfläche weit über das hinaus, was eine eigenständige App bieten würde.
Der Vergleich zu Snapchats Snap Map und Apples "Wo ist?"
Man könnte sich fragen, wie sich die Freundeskarte von Instagram von anderen bekannten Standortfreigabediensten wie Find My (im Deutschen "Wo ist?") von Apple oder Snap Map von Snapchat unterscheidet, und das ist eine berechtigte Frage. Auf den ersten Blick mögen sie ähnlich erscheinen, aber ihre Design-Ziele, Datenschutzmodelle und Risikoprofile unterscheiden sich grundlegend.
Apples Find My gilt weithin als das sicherste Tool zur Standortfreigabe für Verbraucher. Es verwendet eine Ende-zu-Ende-Verschlüsselung, sodass Standortkoordinaten auf dem Gerät des Absenders verschlüsselt werden und nur auf dem Gerät des vorgesehenen Empfängers entschlüsselt werden können. Selbst die Server von Apple können die Standortdaten während der Übertragung oder im Ruhezustand nicht lesen. Der Zugriff ist durch kryptografische Schlüsselaustausche, die mit Apple-IDs verknüpft sind, auf genehmigte Kontakte beschränkt. Die Funktion wurde für einen bestimmten Zweck entwickelt: persönliche Sicherheit und Wiederherstellung von Geräten. Sie ist nicht für soziale Kontakte oder Werbung gedacht, wodurch jeglicher Anreiz entfällt, Standortdaten über das für ihre Kernfunktion erforderliche Maß hinaus zu speichern oder zu verarbeiten.
Die Snap Map von Snapchat ist ebenfalls optional, wurde jedoch in der Vergangenheit nachweislich für Stalking und Belästigungen missbraucht. Sogar mit Datenschutzeinstellungen wie dem Ghost Mode haben entschlossene Angreifer die Snap Map ausgenutzt, um Nutzer zu finden und persönlich zu konfrontieren.
Die Instagram-Freundeskarte unterscheidet sich in drei wesentlichen Punkten. Erstens integriert sie Standortdaten in das gesamte Ökosystem von Meta, sodass der Standortverlauf mit einer Vielzahl persönlicher Informationen verknüpft werden kann. Zweitens wird sie innerhalb einer werbefinanzierten Plattform betrieben, wodurch ein kommerzieller Anreiz zur Erfassung, Analyse und Speicherung von Standortdaten entsteht. Drittens hat Meta in den letzten sechs Monaten mehrere groß angelegte Datenverletzungen erlitten, was das Unternehmen zu einem attraktiven Ziel für Angreifer macht, die detaillierte und verwertbare Standortprofile erhalten möchten.
Freundeskarte oder Bedrohungskarte?
Aus Sicht der Bedrohungsanalyse zieht die Instagram-Freundeskarte bereits die Aufmerksamkeit böswilliger Akteure auf sich. Innerhalb weniger Tage nach Einführung der Funktion tauchten in Untergrundforen schon Diskussionen darüber auf, wie man die Anwendungsprogrammierschnittstelle (API) rückentwickeln könnte, um genau zu erfahren, wie Standortdaten gespeichert und übertragen werden. Andere Gespräche konzentrierten sich auf Methoden, um große Mengen von Nutzerkoordinaten zu sammeln, sie mit Open-Source-Informationen abzugleichen und Personen zu ent-anonymisieren.
Diese Techniken sind nicht neu. Sie spiegeln Methoden wider, die bereits bei früheren Vorfällen wie Snapchat-Exploits, Einbrüchen mithilfe von Geotags auf Instagram und Facebook sowie dem Strava-Heatmap-Leck, durch das versehentlich Standorte von Militäranlagen offengelegt wurden, zum Einsatz kamen.
Die Geschwindigkeit, mit der diese Aktivitäten aufkamen, unterstreicht den hohen Wert, den Angreifer Standortdaten beimessen. Das Risiko beschränkt sich nicht nur darauf, zu wissen, wo sich jemand zu einem bestimmten Zeitpunkt befindet. Es geht darum, diesen Standort mit allen anderen verfügbaren Informationen zu verknüpfen und so ein detailliertes und ausnutzbares Profil der Person zu erstellen.
Schutzmaßnahmen für Nutzer
Das Bewusstsein ist die erste Verteidigungslinie, doch genau hier versagt es oft bei den Nutzern. Viele Instagram-Anwender, insbesondere jüngere, sind sich nicht vollständig darüber im Klaren, dass die Aktivierung der Standortfreigabe ihre Bewegungen für Personen sichtbar macht, die sie kaum kennen. Follower-Listen werden selten geprüft und die Einstellungen bleiben oft auf den Standardeinstellungen. Gruppenzwang kann Nutzer zusätzlich dazu veranlassen, sich ohne Rücksicht auf die Risiken anzumelden. Diese Diskrepanz zwischen Bewusstsein und Verhalten macht Konten angreifbar und verwandelt eine soziale Funktion in eine potenzielle Sicherheitsbedrohung.
Es gibt mehrere Maßnahmen, mit denen die Gefährdung verringert werden kann:
>> Standortfreigabe deaktivieren: Unter Nachrichten → Karte → Einstellungen die Standortfreigabe auf "Niemand” setzen.
>> Geräteberechtigungen einschränken: In den Datenschutzeinstellungen des Telefons den Standortzugriff für Instagram auf "Während der Nutzung der App” setzen oder ganz deaktivieren.
>> Regelmäßige Prüfung der Follower: Alle Personen, die man nicht persönlich kennt oder denen man nicht vertraut, sollten entfernt werden.
>> Elterliche Aufsicht: Eltern sollten den Familienbereich von Instagram nutzen, um die Standorteinstellungen ihrer Kinder zu überwachen und die Freigabe auf vertrauenswürdige Kontakte zu beschränken.
>> Situationsabhängig handeln: Wenn die Standortfreigabe für einen bestimmten Zweck aktiviert wird, sollte sie anschließend sofort deaktiviert werden, um die Speicherung eines langfristigen Standortverlaufs zu vermeiden.
Alles Weitere lesen Sie im CPR-Blog:
https://blog.checkpoint.com/executive-insights/instagram-can-be-fun-dont-let-it-become-a-weapon-behind-metas-new-map-feature/
(Check Point Software Technologies: ra)
eingetragen: 30.09.25
Check Point Software Technologies: Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.