Passwort-vergessen-Trick bei Facebook geht seit Anfang September nicht mehr

Jemanden auf Facebook zu kontaktieren, ist seit der vergangenen Woche deutlich schwieriger geworden als alle die Jahre zuvor. Positiv gesagt: Facebook hat eine Sicherheitslücke geschlossen und für mehr Datenschutz gesorgt. Für Journalisten und Ermittler dennoch wieder eine schlechte Nachricht. nicht annähernd so schlimm wie das endgültige Ende der Graph-Search am 4. Juni 2019, aber sehr relevant für meinen journalistischen Alltag.

Hä? Braucht jemand wirklich Facebook in seinem „journalistischen Alltag“? Ja, viele Menschen, die als Protagonisten für Journalisten interessant sind, sind nach wie vor auf Facebook – klar, eher Ü40 als U30, aber immerhin.

Heute bleibt uns nur noch eine Nachricht für den Messenger und deren Ankündigung in einem Kommentar unter einem relevanten Post – mehr Aufmerksamkeit geht nicht. (Ah, beim Schreiben fällt mir noch ein Trick für die Nachricht ein… dazu unten mehr).

Bis vergangene Woche hatte ich noch einen zweiten Weg der Kontaktaufnahme – Erfolgsquote immerhin über 60% und den hat Facebook nun dicht gemacht: die Passwort-vergessen-Funktion.

Damit war es mir zuletzt Ende August gelungen, die E-Mail-Adresse eines potentiellen Protagonisten zu ermitteln. Nach der Eingabe des Fb-Nutzernamens erhielt ich die Umrisse seiner Mailadresse: b******@t*******.de. Von hier zur E-Mail-Adresse sind es nur zwei kleine Schritte, daher hatte ich so eine hohe Erfolgsquote: Wie heißt die Domain – der Großteil der Nutzer ist bei den großen Anbietern wie bekannten Freemailern. Und bei auch bei denen, die eigene Domains haben, sind die meist leicht rauszukriegen. Der vordere Teil der Mail-Adresse folgt – der Klarnamen-Pflicht bei Facebook sei dank – einschlägigen Mustern: Initial und Nachname, Vor- und Nachname. Hierfür ist die Anzahl der Sternchen entscheidend: Die verriet bis neulich noch genau die Anzahl der fehlenden Zeichen; fehlte z.B. für Vor- und Nachnamen noch ein Zeichen, musste man nur  Punkt, Unterstrich und Bindestrich ausprobieren.

Zum Vergleich mal zwei Screenshots:

seit vergangener Woche

länger Zeit zuvor sah das Ergebnis noch so aus (die zweite Mailadresse war zwischenzeitlich schon entfernt worden=:

Alle so ermittelten E-Mail-Adressen konnte man außerdem doppelt testen: Stimmten sie, so verweist Facbook weiterhin auf das zugehörige Profil. Zusätzlich finde sich einige, wenn auch wenige Mailadressen über Google, wenn man sie in Anführungszeichen sucht. (Andere Tests wären haveIbeenpawned, epieos oder osint.industires sowie Datenbankabgleiche.)

Was bleibt:

1.) Auch heute kann ich bei Passwort-vergessen noch eine Mailadresse oder eine Telefonnummer eingeben und bekomme so das zugehörige Facebook-Profilangezeigt. Ideal für die Menschen, die versuchen, sich hinter anderen Namen zu verstecken. (Pro-Tipp: wenn das einmal nicht funktioniert: Später nochmal versuchen, mit anderem Browser und/oder andere IP-Adresse versuchen. Facebook zeigt nach dem Zufallsprinzip oder mir unbekannten Kriterien in circa 2 von 10 Versuchen kein Profil an, sondern bestätigt nur, dass es einen Account zu der eingegebenen Mailadresse oder Telefonnummer gibt. (Wohlgemerkt, das funktioniert auch, wenn man in den Privatsphäre-Einstellungen, die Frage, wer anhand von Mailadresse/Telefonnummmern das eigene Profil finden können soll, mit „niemand“ geantwortet hat – Passwort-vergessen ist halt nicht für andere, sondern für den Nutzer selbst.)

Hier mal dokumentiert an meinem eigenen Profi:

2.) Den Anfangsbuchstaben der Mailadresse und der Domain bekommt man nach wie vor; ebenso die letzten zwei Ziffern der Telefonnummer. Das kann man ggf. mit weiteren Daten abgleichen und man Kann eine Google-Suche probieren nach dem Muster [„x * @z *.de“ Vorname Nachname] versuchen. (Pro-Anmerkung da Google Satz- und Sonderzeichen nahezu vollständig ignoriert, sieht die Suche eigentlich wie folgt aus, mit @ und Punkt versteht man sie aber besser: [„x * y * de“ Vorname Nachname]

3.) Achja und da war dann noch der Trick für den Messenger: Wenn man nicht befreundet ist, landen Nachrichten in einer Art Spam-Ordner (Nachrichtenanfragen) und werden dort selbst von regelmäßigen Facbebook-Nutzern selten beachtet. Kommentare und eine Freundschaftsanfrage können helfen.
Schneller ist es oft unter den Freunden einer „Zielperson“ diejenigen anzufragen, die ohnehin schon 2000 oder mehr Freunde haben, nehmen die die Freundschaftsanfrage an, steigen meine Chancen, dass auch meine Nachricht direkt bei der Zielperson landet, obwohl wir nicht befreundet sind.

(4.) Für Internet-Historiker: Im letzten Jahrzehnt konnte man an beliebige Nutzernamen einfach ein „facebook.com“ anhängen, um direkt im Postfach der hinterlegten Mailadresse zu landen, also z.B. zuck@facebook.com oder vorname.nachname,34@facebook.com)