Oversharing: Wenn das Teilen zur Sicherheitslücke ist

Wir teilen Urlaubsbilder, Geburtstage und unseren Standort – und liefern Kriminellen damit unbewusst die Bausteine für maßgeschneiderte Betrugsmaschen. Künstliche Intelligenz verwertet diese Datenspuren inzwischen nämlich so effizient, dass personalisierte Angriffe kaum noch von echten Kontakten zu unterscheiden sind.

Der Begriff Oversharing stammt ursprünglich aus der Psychologie und beschreibt das übermäßige Mitteilen privater Informationen in sozialen Kontexten. Was früher als Taktlosigkeit beim Smalltalk galt, hat heute eine sicherheitstechnische Dimension. Jedes Foto, jeder Statusbeitrag und jede Standortangabe wird potenziell zur Datengrundlage für Angreifer. Das Bundesamt für Sicherheit in der Informationstechnik warnt ausdrücklich: Wer allzu freizügig mit persönlichen Angaben umgeht, erleichtert Cyberkriminellen das Erraten von Passwörtern und Social-Engineering-Angriffe.

Die Grenze zwischen Selbstdarstellung und Selbstgefährdung ist dabei fließend. Was für sich genommen harmlos ist, kann in Kombination mit anderen Datenpunkten ein erstaunlich präzises Profil ergeben.

Die meisten von uns unterschätzen, wie viele Informationen schon mit einem einzelnen Posting öffentlich werden können. Denn sichtbar ist nicht nur der Inhalt des Posts, sondern je nach Art des Inhalts auch Metadaten, Verknüpfungen und Verhaltensmuster:

• Social Media: Fotos mit Geotags, Beziehungsstatus, Kinderfotos mit Schulnamen
• Business-Plattformen: Jobtitel, Projekte, interne Tools, Reporting-Linien
• Fitness-Apps: Laufrouten, Trainingszeiten, häufig aufgesuchte Orte
• Likes und Kommentare: politische Haltung, Hobbys, Konsumverhalten
• Code-Repositorien: Mail-Adressen in Commits, versehentlich veröffentlichte API-Keys

Besonders brisant ist der Zuwachs beim unternehmensinternen Oversharing. Beschäftigte geben zunehmend vertrauliche Informationen in nicht freigegebene KI-Dienste ein – häufig über private Konten. Typische Uploads sind unter anderem Quellcode, Dokumente, Forschungsunterlagen und strukturierte Datensätze.

Eine Erhebung des TÜV bestätigt diesen Trend auch auf privater Ebene: 13 Prozent der Befragten haben bereits persönliche Informationen wie Adressen, Gesundheitsdaten oder Passwörter in KI-Systeme eingegeben.

Früher mussten Cyber-Kriminelle manuell recherchieren. Jeder personalisierte Angriff war mit einem signifikanten Zeitaufwand verbunden, sodass sich diese Art von Attacke nur lohnte, wenn bei den anvisierten Opfern entsprechend lukrative Beute vermutet wurde. Heute übernehmen Scraper, Entity-Resolution-Werkzeuge und große Sprachmodelle diese Arbeit. Verstreute Datenpunkte aus LinkedIn, Instagram, alten Foren und Datenleaks werden automatisiert zu einem Dossier verdichtet. Ein LLM formuliert daraus binnen Sekunden einen glaubwürdigen Phishing-Text im Tonfall des Vorgesetzten – inklusive korrekter Projektbezüge.

Hinzu kommen Voice-Cloning und Deepfake-Video. Wenige Sekunden Audio von einer öffentlichen Produktvorstellung reichen, um eine Stimme zu klonen. Deepfakes und synthetische Medien gehören zu den zentralen Cyberbedrohungen des Jahres und haben es weltweit bis in die Nachrichten geschafft, weil sie Vertrauen manipulieren und klassische Authentifizierung aushebeln.

Trotz unterschiedlicher Ausprägungen im Detail lässt sich das grundlegende Vorgehen auf eine einfache Gleichung bringen:

Öffentlich einsehbare Information + KI-Verarbeitung + Dringlichkeit = Höchste Gefahr

• CEO-Fraud: Der „Chef“ schreibt während der Konferenz, die auf LinkedIn angekündigt wurde, ein E-Mail, in der er die Buchhaltung anweist, eine Eilüberweisung auf den Weg zu bringen.
• Paketfalle im Urlaub: Die Instagram-Story zeigt den Flughafen, zwei Tage später kommt die SMS zur „verpassten Zustellung“ und dem Hinweis, dass das Paket vernichtet wird, wenn binnen 24 Stunden keine Reaktion erfolgt.
• Support-Anruf: Der angebliche IT-Mitarbeiter kennt den Namen des Kollegen und das gerade eingeführte Ticketsystem.
• Romance-Scam: Der neue Chat-Kontakt teilt dieselben Hobbys – weil er sie aus einem Social-Media-Profil extrahiert hat.

Je spezifischer der Köder, desto höher die Klickrate. Analysespezialisten und professionelle Datenretter in Berlin können diesen unerfreulichen Trend aus ihrer Praxis bestätigen, immer öfter sind die Angriffe erfolgreich, immer öfter müssen kompromittierte Datenträger forensisch ausgewertet oder wertvolle Daten gerettet werden.

Ein Problem von dieser Tragweite ist auf rein individueller Ebene kaum vollständig in den Griff zu bekommen. Ein Bewusstsein dafür zu entwickeln, welche persönlichen Daten im Moment öffentlich zugänglich sind, ist aber ein wichtiger erster Schritt. Ein strukturierter Selbsttest dauert nicht länger als eine Stunde:

1. Namen und Mail-Adresse googeln – auch in Anführungszeichen
2. Bilderrücksuche über Google Lens oder TinEye
3. Freundeslisten und Follower auf Öffentlichkeit prüfen
4. Standort-Historie bei Google und Apple sichten
5. Haveibeenpwned.com nach Mail- und Telefonnummer-Leaks durchsuchen
6. Eine Liste mit alten Foren-Accounts, Blogs und abgelaufene Profilen für eine spätere Überprüfung und ggf. Löschung erstellen

Datenhygiene ist kein Einmal-Projekt, das sich mit einer Hauruck-Aktion in den Griff bekommen lässt, sondern ein fortwährendes Abwägen. Die wichtigsten Hebel:

• Profile konsequent auf privat stellen, Suchmaschinen-Indexierung deaktivieren
• Separate Alias-Mails für Shops, Foren und Newsletter nutzen
• Zwei-Faktor-Authentifizierung mit App oder Hardware-Key statt SMS
• Posting-Delay: Content erst dann veröffentlichen, wenn er keine direkten Rückschlüsse mehr möglich macht - also beispielsweise Urlaubsfotos erst nach der Rückkehr veröffentlichen.
• Keine Fotos von Ausweisen, Boardingkarten oder Impfpässen
• Metadaten aus Bildern vor dem Upload entfernen
• Kontaktfreigaben in Messenger-Apps regelmäßig überprüfen

Keiner dieser Ansätze ist für sich genommen ein Gamechanger. Was aber einen echten, messbaren Unterschied macht, ist eine aufmerksamere Grundhaltung, die sich aus einer Vielzahl kleiner Verhaltensänderungen ableitet. Dieser Gedanke gilt auch in anderen Bereichen der IT- und Datensicherheit. Das Update für das Smartphone zeitnah installieren, statt es Tag für Tag weiterzuschieben. Warnmeldungen wie SSD wird nicht erkannt nachgehen, statt sie genervt wegzuklicken. Veraltete Software durch Alternativen auf aktuellem Sicherheitsstand ersetzen.

Oversharing betrifft selten nur die eigene Person. Kinderfotos mit erkennbarem Schulgebäude, Taggings von Kollegen bei Firmenevents oder Posts über die neue Projektleitung erzeugen Risiken für Dritte. Familiengruppen in Messengern sind besonders anfällig, weil Freigaben dort oft weiter gefasst sind als vermutet.

Für Unternehmen gilt eine ähnliche Logik: Mitarbeitende, die interne Tool-Namen, Reorganisationen oder Lieferanten öffentlich erwähnen, liefern Angreifern wertvollen Kontext für Spear-Phishing. Eine klare Social-Media-Policy ist dabei kein Misstrauensvotum, sondern eine Schutzmaßnahme – ebenso wie das Entfernen von Geotags vor dem Teilen.

Die Werkzeuge der Angreifer werden besser. Synthetische Beziehungen über Monate hinweg, automatisiert erzeugte Stimmen und bessere OSINT-Pipelines sind absehbar. Gegenmittel bleiben die gleichen, müssen aber konsequenter angewendet werden: weniger teilen, kritischer prüfen, Misstrauen als Default. Wer bei jedem Post kurz überlegt, welchen Baustein er einem potenziellen Angreifer liefert, hat die wichtigste Hürde bereits eingebaut.

Reicht es, mein Profil auf privat zu stellen?

Man muss es leider so deutlich sagen: Nein. Alte Posts, Taggings durch Dritte, geleakte Datenbanken und zwischengespeicherte Suchergebnisse bleiben oft öffentlich zugänglich. Zusätzlich sollten Freundeslisten eingeschränkt und bestehende Inhalte systematisch durchgesehen werden.

Wie erkenne ich einen KI-generierten Phishing-Versuch?

Rechtschreib- und Grammatikfehler kommen hin und wieder noch vor, sind aber kaum noch ein verlässlicher Indikator. Verdächtig sind Zeitdruck, der erzeugt wird, ungewöhnliche Zahlungswege und Insiderwissen in Kombination mit untypischen Kanälen. Rückruf über eine bekannte Nummer bleibt die zuverlässigste Prüfung.

Darf ich überhaupt noch auf LinkedIn aktiv sein?

Ja, natürlich, aber am besten selektiv. Jobtitel und Fachbeiträge sind unkritisch. Problematisch sind detaillierte Projektbeschreibungen, Nennung interner Tools, Reporting-Strukturen und Reiseankündigungen.

Oversharing ist kein Lifestyle-Problem, sondern ein Sicherheitsrisiko mit messbaren Folgen. Die Kombination aus freiwillig geteilten Informationen, automatisiertem Scraping und generativer KI verändert die Angriffsökonomie grundlegend. Wer das Risiko senken will, muss nicht offline gehen – aber bewusst entscheiden, welche Datenpunkte er aus der Hand gibt. Ein regelmäßiger Datencheck, konsequente Privacy-Einstellungen und ein zeitversetztes Posting-Verhalten reduzieren die Angriffsfläche deutlich. Die Technik der Angreifer wird nicht schlechter. Das eigene Verhalten lässt sich hingegen jederzeit anpassen.