Facebook: Angebliche Sicherheitslücke-Profilbild für alle sichtbar?

Seit einiger Zeit geht bei Facebook ein Text rund, der eine vermeintliche “Sicherheitslücke” aufdeckt. Es geht dabei um Profilbilder, die eigentlich nicht öffentlich freigegeben sein sollten.
Natürlich sollte uns allen im gewissen Maße klar sein, dass die Miniaturansicht des Profilbildes, das ein Nutzer aktuell verwendet, nicht verborgen werden kann. Dieses Profilbild ist eben quasi das Aushängeschild eines Profils und sollte es eigentlich einem Suchenden erleichtern unter mehreren gleichnamigen Personen diejenige zu finden, die er kennt. Daher würden wir das Ganze auch nicht unbedingt als Sicherheitslücke bezeichnen sondern einfach als einen kleinen Trick.

Mit diesem Text wird auf die Lücke aufmerksam gemacht:

Lücke bei Facebook, um auch nicht freigegebene Profilbilder anschauen zu können:

• Stupse diese Person an.
• Stupse diese Person direkt erneut an und es öffnet sich ein Hinweisfenster, dass diese Person noch nicht auf Deinen letzten Stupser reagiert hat.
• Klicke mit der rechten Maustaste auf das – nun schon ganz – angezeigte Profilbild und öffne es im neuen Tab/Fenster.
• Tausche in der Adressleiste in der URL „fbcdn-profile-a.akamaihd.net/hprofile-ak-snc7“ gegen „fbcdn-sphotos-c-a.akamaihd.net/hphotos-ak-prn1“ aus und ändere hinten gegebenenfalls noch das „s“ in ein „n“ und schon hast Du die URL zu dem ganzen Profilbild – egal, ob es für Dich freigegeben ist oder nicht.

Natürlich wird dieser bevorzugt als Bild geteilt:

Natürlich haben wir das Ganze für euch getestet und wollen hier zeigen, was denn da genau passiert.

Die Schritte 1 + 2 führen also zu folgendem Hinweis:

Wie man sieht, ist im Hinweisfenster statt der Miniaturansicht das komplette Foto zu sehen, das der Nutzer als Profilbild verwendet. Ist dort also mehr zu sehen als man eigentlich zeigen wollte, sollte man sich überlegen, ob man nicht lieber ein anderes Foto nutzt oder den gewünschten Ausschnitt gleich in der Größe 180×180 Pixel hochladen.

Im Schritt 3 öffnen wir per Rechtsklick das Bild wie im Text beschrieben in einem neuen Tab oder Fenster:

Nun haben wir also das Bild in der Größe vorliegen, in der es uns im Hinweisfenster angezeigt wurde.
Im Schritt 4 ändern wir die URL so ab, dass wir das auf dem Server von FB hinterlegte Bild in seiner Originalgröße angezeigt bekommen. Voilá, die “Lücke”:

Wir sehen also hier passiert nichts wirklich Verwerfliches. Unangenehm könnte es eigentlich nur werden, wenn auf dem verwendeten Bild in Originalgröße mehr zu sehen ist als es einem lieb ist. Nicht dass der Chef oder andere “unbefugte” plötzlich intime Einblicke bekommen.
Die Sichtbarkeit von Profilbildern (ob gerade genutzt oder nicht) kann man für jedes Bild im Album “Profilbilder” separat bestimmen. Dafür einfach das Album bzw. Profilbild öffnen und neben diesem eine neue Auswahl treffen.