Wie man Sie enttarnt, und wie Sie das verhindern

Fast niemand wird „gehackt“ im Sinne der Filme. Man wird abgeglichen. Doxxing ist die Kunst, Stücke aufzusammeln, die Sie öffentlich hinterlassen haben, jedes für sich harmlos, und sie zusammenzufügen, bis ein Name dabei herauskommt, eine Stadt, manchmal eine Anschrift. Ein Pseudonym hier, ein Foto dort, eine Nummer in einem alten Konto: zusammengenommen reicht das.

Dieser Ratgeber beschreibt diese Methoden aus einem einzigen Grund: Man schützt sich nur gut vor dem, was man verstanden hat. Jeder Abschnitt erklärt eine Einstiegstür aus Sicht dessen, der sie benutzt, und dann, wie man sie schließt.

Der Rohstoff: ein Pseudonym, das Ihnen folgt

Der erste Reflex dessen, der Sie sucht, ist nicht technisch: Er tippt Ihr Pseudonym überall ein. Kostenlose Werkzeuge erledigen das automatisch, sie testen denselben Benutzernamen in Sekunden auf Hunderten von Seiten. Wenn Sie dasselbe Pseudonym in einem Spiel, einem Forum und einem Netzwerk verwenden, hängen diese Konten zusammen, und eines davon enthält am Ende immer eine echte Information: ein datiertes Foto, einen Vornamen, eine Stadt.

Daneben bündeln Dienste vergangene Datenlecks. Mit einem Namen, einer E-Mail oder einer Nummer holen sie hervor, was anderswo schon von Ihnen geleakt ist. Ein Leck lässt sich nicht rückgängig machen, die Verbindungen dazwischen aber schon.

Die Abwehr: ein eigenes Pseudonym je Zweck, ein eigenes Passwort je Konto, und eine E-Mail-Adresse, die dem Wichtigen vorbehalten bleibt. Prüfen Sie auf haveibeenpwned.com, was schon geleakt ist, und wo ein Konto auftaucht, ändern Sie das Passwort und kappen Sie die Verbindung zum Rest.

Der präparierte Link

Ein Angreifer baut einen Link, der zu einem Video oder einem Bild zu führen scheint, aber zuerst über einen Server von ihm läuft. In dem Moment, in dem Sie klicken, hält dieser Server Ihre IP-Adresse fest, und damit: Ihren Anbieter, Ihre Region, oft Ihre Stadt, das Gerätemodell, die Zeitzone, manchmal den Akkustand. Die IP allein führt nicht bis vor Ihre Tür, zusammen mit dem Anbieter engt sie den Kreis aber stark ein. Solche Links sind so aufgemacht, dass sie wie ein normaler Link aussehen.

Die Abwehr: Klicken Sie nicht auf einen gekürzten oder unbekannten Link aus einer privaten Nachricht, erst recht nicht, wenn er „unbedingt anzusehen“ ist. Ein VPN verbirgt Ihre echte IP vor dem Server des Links, genau dafür taugt es. Misstrauen Sie auch einem Link von einem Freund: Wurde er selbst hereingelegt, geht die Nachricht von allein an seine Kontakte.

Die Datei und der falsche QR-Code

Manche Dateien führen Code aus, sobald man sie öffnet. Die riskanten Endungen sind bekannt: Eine Datei, die sich als Bild ausgibt, die man aber „zum Ansehen herunterladen“ muss, gehört dazu. Bei Messengern ist der Token-Diebstahl eine verbreitete Spielart: Eine Desktop-Anwendung legt Ihr Anmelde-Token manchmal im Klartext ab, ein Schadprogramm liest es aus und schickt es an Dritte, die sich dann ohne Passwort in Ihr Konto einloggen. Dieselbe Mechanik bei einem falschen QR-Code „zur Bestätigung“: Das Scannen bestätigt in Wahrheit eine Anmeldung auf dem Gerät des Angreifers.

Die Abwehr: Öffnen Sie keine Datei von Unbekannten, schon gar keine ausführbare. Nutzen Sie für ein heikles Konto nicht die Desktop-Fassung eines Messengers, sondern den Browser. Scannen Sie nie einen QR-Code, „um zu beweisen, dass Sie ein Mensch sind“. Und wenn eine Seite oder eine Person Sie bittet, ein Stück Code in die Entwicklerkonsole des Browsers einzufügen, ist das Token-Diebstahl, niemals eine Prüfung.

Zwei vermeintlich gute Ideen, wo wir dabei sind: Generatoren für „kostenlose“ Abos sind meistens Schadsoftware; und „Angemeldet bleiben“ auf einem geteilten Gerät legt ein Token ab, das Ihr Passwort wert ist, wenn man es Ihnen stiehlt.

Das Foto, das redet

Ein Foto trägt zwei Informationsschichten. Die erste steckt versteckt in der Datei: Die EXIF-Metadaten können das Gerätemodell enthalten, die Uhrzeit, manchmal die genauen GPS-Koordinaten. Die zweite steckt im Bild selbst. Ein geduldiger Ermittler gleicht das Wetter des Tages ab, die Vegetation, die Form eines Hügels im Hintergrund, eine Fahrbahnmarkierung, den Verlauf eines Schattens, und engt bis auf eine Stadt ein. Ein simples Foto vom Parkplatz vor Ihrer Tür, ein Fenster, ein Paket mit Etikett, eine Karte auf dem Bildschirm: jedes davon ist ein Hinweis zu viel.

Die Abwehr: Entfernen Sie die Metadaten, bevor Sie ein Bild veröffentlichen, und nehmen Sie nie ein persönliches Foto oder einen Ort in Ihrer Nähe als Profilbild. Posten Sie nicht live von dort, wo Sie gerade sind, sondern zeitversetzt. Eine Anschrift, auch eine ungefähre, ist gefährlicher als eine IP-Adresse: Sie ändert sich nicht.

Der Identitätsmissbrauch

Wenn die Technik nicht reicht, geht man über Sie. Eine gefälschte Nachricht, aus einem Screenshot zusammengebaut, eine von einer KI aus wenigen Sekunden Aufnahme nachgeahmte Stimme, eine E-Mail im Gewand eines Dienstes, den Sie nutzen, ein Anruf, der sich nach einem „Problem mit Ihrem Konto“ als Support ausgibt: Alles zielt darauf, dass Sie die Information oder den Klick selbst liefern. Das ist oft der Schritt nach einem Doxxing, um aus einer Anschrift oder einer Nummer echten Zugang zu machen.

Die Abwehr: Prüfen Sie die genaue Adresse einer Bezahlseite, bevor Sie dort irgendetwas eingeben, Zeichen für Zeichen. Vertrauen Sie nie einem unaufgeforderten Anruf oder einer E-Mail, die Dringlichkeit erzeugt, rufen Sie den Dienst über seine offizielle Nummer zurück. Ein eiliger Gesprächspartner, der „sofort“ einen Code braucht, ist das Signal, nicht die Ausnahme.