Doxing ist eine persönliche Form des Cyberangriffs und kann katastrophale Folgen haben. Die Waffe hier: (sehr) persönliche Daten. Sie werden verwendet, um Opfer zu erpressen, zu demütigen oder zu bedrohen.

Wir verraten Ihnen nun, wie Doxing im Detail funktioniert und wie Sie sich am besten vor solchen Angriffen schützen können.

Doxing — wenn Daten zur digitalen Waffe werden

Doxing hat eine lange Tradition — die ersten Fälle traten bereits in den 1990er Jahren auf. Man muss bedenken, dass das Internet damals noch ein sehr anonymer Ort war. Benutzer, die in Chats und sozialen Medien Spitznamen verwendeten, existierten noch nicht. Diese Anonymität wurde auch von den ersten Generationen von Hackern genutzt, deren größte Sorge darin bestand, öffentlich aufgedeckt zu werden. Und genau hier begann das Doxing.

Feindliche Hacker sammelten manchmal die Daten des anderen und veröffentlichten sie. Damals in Form von klassischen Dokumenten, die als „Drop Docs“ bekannt sind. Irgendwann wurde aus „Docs“ „Dox“ und schließlich war „Doxing“ der passende Begriff für die Offenlegung von Identitäten und Daten.

Doxing ist mittlerweile zu einer Gefahr für jeden Internetnutzer geworden, da es nicht mehr nur Hackerbanden sind, die sich gegenseitig das Leben schwer machen. Vielmehr wird die Methode heute genutzt, um Menschen gezielt zu bedrohen, zu erpressen oder einfach nur in Verlegenheit zu bringen.

Legales vs. illegales Doxing

Um einen Doxing-Angriff durchzuführen, benötigen Sie Daten. Je persönlicher, desto besser. Von vollständigen Namen und Adressdaten bis hin zu beruflichen Kontakten oder Hobbyaktivitäten, die nicht gerade für die Öffentlichkeit bestimmt sind. Doxing-Angriffe sind daher immer persönlich und oft von Hass oder Wut getrieben. Das Ziel dahinter? Im besten Fall „nur“ Erpressungsgeld. Im schlimmsten Fall geht es darum, die Person sozial, beruflich und/oder psychisch zu zerstören.

Die sogenannten Doxer verwenden verschiedene Methoden, um ihre jeweiligen Ziele zu erreichen. Zuallererst nutzen sie legale und öffentliche Quellen im Internet. Sei es eine klassische Google-Suche, das Stöbern in den sozialen Medien oder ein Blick ins Einwohnermeldeamt: Viele persönliche Daten können fast mühelos gesammelt werden, auch von Laien.

Die Breadcrumb-Methode und Metadaten

Anspruchsvoller wird es, wenn das Opfer unter einem Spitznamen handelt. In diesen Fällen verwenden Doxer oft sogenannte OPSEC-Techniken. Hier kombiniert eine Software alle Daten auf der Grundlage einer umfassenden Suche. Dies funktioniert in der Regel, da viele Benutzer denselben Spitznamen für mehrere Plattformen verwenden und jede eine andere Menge an weiteren Informationen speichert. Auf diese Weise wird das wahre Profil der Person Stück für Stück wie ein Puzzle zusammengesetzt. Im Fachjargon sprechen wir von „Breadcrumbs“, also Brotkrumen, die zusammen der Zielperson den Hinweis verraten.

Eine weitere Möglichkeit ist das Auslesen von Metadaten. Diese sind zum Beispiel in normalen Word-Dokumenten, Excel-Tabellen oder Fotos versteckt. Letztere enthalten sogenannte EXIF-Daten und verraten, wo das Foto aufgenommen wurde. Dies macht es sehr einfach, die Privatadresse eines Benutzers herauszufinden.

Und zu guter Letzt gibt es immer noch das Darknet. Hier können Sie einfach und schnell Tonnen von persönlichen Daten kaufen, die beispielsweise Opfer von Angriffen mit großen Datenlecks wurden. Auch hier hat das Kind schon einen Namen: Doxing — as — a — Service.

Bekannte Fälle von Doxing

Persönlichkeiten des öffentlichen Lebens sind natürlich bevorzugte Opfer von Doxern, weil es nicht ungewöhnlich ist, dass sie vermeintlich anonyme Sekundärprofile haben, um außerhalb der sozialen Erwartungen handeln zu können. Zu den bekannten Personen, die auf die Nase gefallen sind, gehören der ehemalige FBI-Direktor James Comey und der US-Politiker Mitt Romney. Ihre „anonymen“ Twitter-Profile wurden entdeckt, entlarvt und mithilfe von Breadcrumbs veröffentlicht.

Ein weiteres Beispiel, das die Grenzen der Moral überschreitet, ist das des Spielers Jordan Mathewson. Er wurde Opfer von Klatschen, einer besonderen Art von Doxing. Dabei täuschen die Doxer gefährliche Extremsituationen wie Raubüberfälle oder Geiselnahmen vor, um die Polizei und/oder das Spezialkommando (SWAT) an den Hals des Opfers zu bekommen.

Und nicht zuletzt ein besonders tragischer Fall: Ein junger Mann wurde von Amateur-Doxern fälschlicherweise als Bombenbomber des Boston-Marathons identifiziert. Der zu Unrecht beschuldigte Mann hielt dem Druck des öffentlichen Verdachts nicht stand und beging Selbstmord.

Schutz vor Doxing

Um vorweg von Illusionen zu kommen: Es ist fast unmöglich, das Internet vollständig von persönlichen Daten zu befreien. Es sei denn, Sie haben es in den letzten 20 Jahren nie benutzt. Nichtsdestotrotz ist es natürlich möglich, das individuelle Risiko eines persönlichen Angriffs zu minimieren. Zum Beispiel mit diesen Maßnahmen:

• Optimierung der Datenschutzeinstellungen in sozialen Medien (z. B. Profil nur für „Freunde“ sichtbar, Ausschluss von Suchmaschineneinträgen)
• Annahme von Freundes-, Kontakt- oder Netzwerkanfragen von unbekannten Personen
• Verwendung verschiedener Nicknamen/Pseudonyme
• Verwenden Sie sichere und unterschiedliche Passwörter oder einen Passwort-Manager
• Poste keine Beiträge mit persönlichen Informationen oder Standortdetails
• Verwenden Sie Verschlüsselungsmethoden (z. B. VPN, E-Mail-Verschlüsselung)
• Verwendung einer anonymisierten E-Mail-Adresse mit Nickname zur Registrierung in sozialen Medien
• Verhindern Sie App-Tracking, falls erforderlich

Die Wahrscheinlichkeit, Opfer eines Doxing-Angriffs zu werden, ist für den unbekannten Standardbenutzer nicht exorbitant hoch. Aber: Nicht wenige Menschen kennen wahrscheinlich irgendwo auf der Welt eine Person, die nicht freundlich zu ihnen ist — und viele dumme Jungenstreiche dieser Art sind nach hinten losgegangen. Darüber hinaus eignet sich Doxing, wie oben erwähnt, auch ideal zur Erpressung von Lösegeldern oder Identitätsdiebstahl. Zum Beispiel, wenn das Profil auf einer Plattform durchgesickert ist, die Schwiegermutter oder Ehefrau möglicherweise nicht unbedingt weiß…

Tipp: Wir unterstützen Ihr Unternehmen gerne bei der Implementierung von Verschlüsselungstechnologien oder Passwortmanagern auf Netzwerkebene.

---

Weitere Links:
ComputerWoche

Lesen Sie den Originalartikel auf IT-SERVICE.network