Google Maps: Wie Betrüger den Kartendienst von Google manipulieren
Google Maps zu manipulieren kann lustig sein. Vor einigen Wochen änderte ein Spaßvogel den Namen der Dresdner Waldschlößchenbrücke in Ozzy-Osbourne-Brücke(öffnet im neuen Fenster) . Ein paar Stunden lang blieb der gefälschte Eintrag unbemerkt, dann machte Google die Änderung rückgängig.
Es kann aber auch existenzbedrohend sein. Rene Bertagna etwa, Besitzer des Restaurants Serbian Crown im US-Bundesstaat Virginia, fühlt sich von Betrügern um sein Geschäft gebracht – und von Google. Er hat das Unternehmen deshalb verklagt.
Jemand habe Anfang 2012 den Eintrag zu seinem bis dahin beliebten Restaurant auf Google Maps verändert, sagte Bertagna dem Magazin Wired(öffnet im neuen Fenster) , und dort die Information hinterlegt, das Serbian Crown sei von Samstag bis Montag grundsätzlich geschlossen. An den Wochenenden sei daraufhin die Zahl seiner Gäste so stark zurückgegangen, dass Bertagna mehrere Angestellte entlassen musste. Erst als jemand anrief und fragte, warum sein Restaurant ausgerechnet an den Wochenenden geschlossen sei, bemerkte er den falschen Eintrag in Google Maps.
Wie kann das passieren – ein Unbekannter manipuliert den größten Kartendienst der Welt und weder der Betroffene noch Google merken es? Die Antwort liegt in der schieren Größe von Google Maps und in der Art und Weise, wie Einträge dort zustandekommen und aktualisiert werden.
Zunächst einmal muss nicht unbedingt der Besitzer eines Geschäfts, einer Bar oder einer Firma den ersten Eintrag schreiben. Google macht das selbst. Es durchsucht die riesigen Bestände von Datensammelunternehmen wie Acxiom und erstellt daraus neue Einträge für seine Unternehmensdatenbank Google Places (die mittlerweile offiziell Google My Business heißt). Und mit der Adresse, die Google dabei findet, entsteht auch der Eintrag in Google Maps.
Wenn es den Eintrag in Places erst einmal gibt, kann ihn der erste, der ihn bemerkt, relativ einfach bearbeiten, also zum Beispiel falsche Öffnungszeiten angeben. Das funktioniert wie in der Wikipedia: Da, wo Nutzer die Inhalte der Plattform verändern können, kommt es zu Manipulationen. Wenn andere Nutzer das schnell merken, bleiben die falschen Angaben nicht lange stehen. Aber sie merken es eben nicht immer.
So könnte es auch im Fall des Serbian Crown gewesen sein. Betreiber Rene Bertagna ist 74 Jahre alt und hat sich nie groß um die Präsenz seines Restaurants im Internet gekümmert. Ihm war vielleicht nicht einmal klar, dass es den Eintrag in Google Places und Maps überhaupt gibt.
Klage gegen Google hat wenig Aussicht auf Erfolg
Als er es geschafft hatte, die Öffnungszeiten des Restaurants zu korrigieren, war es bereits zu spät, die Gäste kamen nicht wieder. Bertagna verdächtigt nun den Betreiber eines anderen Restaurants, ihn ruinieren zu wollen. Er hat Google verklagt, weil es die böswillige Manipulation nicht verhindert habe.
Es wird allerdings schwer, vor Gericht einen kausalen Zusammenhang zwischen dem manipulierten Eintrag in Google Places und dem Ausbleiben der Gäste zu beweisen, heißt es im Wired-Bericht. Denn auch viele Nutzerbewertungen im Empfehlungsdienst Yelp seien sehr zum Nachteil des Serbain Crown ausgefallen, und Yelp kann als Informationsquelle für potenzielle Kunden genauso wichtig sein wie ein Eintrag auf Google Maps. Der von Google beauftragte Anwalt deutet zudem an, dass auch nachlassende Qualität, schlechter Service, ungünstige Geschäftsentscheidungen und andere Faktoren dafür sorgen können, dass ein etabliertes Restaurant plötzlich Probleme bekommt. Und weil Google Maps zumindest in Teilen eine Crowdsourcing-Plattform ist, deren Inhalte von Nutzern bereitgestellt werden, ist das Unternehmen für diese Inhalte rechtlich nur begrenzt verantwortlich.
Es gibt mehrere Wege, Google Maps zu hacken
Doch unabhängig vom Ausgang des Verfahrens zeigt der Fall exemplarisch, wie anfällig die riesige Plattform Google Maps für Manipulationen ist. Und wie wenig Googles Sicherheitsvorkehrungen helfen, wenn jemand versucht, Konkurrenten zu schädigen.
Dazu braucht es nicht einmal die feindliche Übernahme eines Firmeneintrags. Es gibt auch andere Wege für Betrüger. Sie erfordern nur ein wenig zeitlichen Aufwand. Einer, der weiß, wie es geht, ist Bryan Seely(öffnet im neuen Fenster) . Er hat es selbst oft genug gemacht. "Google könnte das Problem mit ein paar einfachen Maßnahmen lösen" , sagt er. "Aber Google ist zu faul, das zu tun."
Ein PR-Stunt mit dem Secret Service
Der Netzwerktechniker Seely ist im Februar mit einem spektakulären " Hack(öffnet im neuen Fenster) " von Google Maps bekannt geworden. Er hatte gefälschte Einträge für Niederlassungen des Secret Service und des FBI angelegt, inklusive einer falschen Telefonnummer, die zwar jeden Anruf an die echten Dienststellen weiterleitete – aber mit Seely als Zwischenstation, der die Gespräche mitschneiden konnte.
Der Secret Service war nicht amüsiert. Aber auch nicht nachtragend, sondern eher dankbar, behauptet Seely. Sein eigentliches Ziel war Google. Er wollte das Unternehmen auf ein massives Spam-Problem aufmerksam machen, nachdem das Unternehmen zuvor nicht auf seine E-Mails reagiert hatte.
Betrüger können abkassieren
Spam in Google Maps funktioniert so: Betrüger, die zum Beispiel einen konkurrierenden Schlüsseldienst oder Klempner schädigen wollen, erstellen in Google Places massenweise Einträge für nicht-existente Betriebe. Dazu müssen sie erst einen Verifizierungsprozess durchlaufen. In einem zweiten Schritt können sie die falschen Betriebe innerhalb von Google Maps an beliebige Orte setzen, also zum Beispiel allesamt in die Nähe des einen echten Betriebs. Diesen zweiten Schritt überprüft Google nicht gut genug, sagt Seely.
Die Folge: Der echte Betrieb wird nicht mehr so oft von potenziellen Kunden gefunden. Oder aber der Betrug geht noch weiter und jeder, der einen der nicht-existenten Betriebe anruft, wird an einen viel teureren Schlüsseldienst oder Klempner vermittelt, hinter dem die Betrüger selbst stecken. Das Prinzip ist also ein anderes als die unbemerkte Fälschung von Öffnungszeiten wie im Falle des Serbian Crown. Aber der Effekt für den betroffenen Betrieb ist schlimmstenfalls ebenso dramatisch.
Snowdens supergeheimes Versteck im Weißen Haus
Bryan Seely hatte nach eigenen Angaben genug von der Spamflut, die Secret-Service-Aktion war seine Form des öffentlichen Protests. Genutzt habe es aber wenig.
"Ich könnte die Niederlassungen von Secret Service und FBI jederzeit wieder duplizieren und jeden anderen Ort auch" , schreibt Seely in einer E-Mail an Zeit Online. "Es ist genau so einfach wie vor einem halben Jahr, nichts hat sich geändert. Google kümmert sich nicht um das Problem – warum, weiß ich auch nicht."
Er hat eine ausführliche Anleitung samt Screenshots mitgeschickt, um zu belegen, dass er eine ausgedachte Firma problemlos in Google Maps erscheinen lassen kann, wo immer er will. Auf diese Weise hat er mal vorübergehend "Snowdens supergeheimes Versteck" auf dem Gelände des Weißen Hauses(öffnet im neuen Fenster) platziert.
Wir veröffentlichen die E-Mail nicht, immerhin handelt es sich um eine Anleitung zum Betrug. Sie zeigt aber eindeutig, dass es nicht allzu komplex ist, die Verifizierung durch Google zu unterlaufen und so Einträge in Google Places und damit Google Maps zu fälschen. Auch in Deutschland würde das funktionieren.
Google kann auf das Crowdsourcing nicht verzichten
Kann Google die unzähligen mit Google Maps verknüpften Daten überhaupt unter Kontrolle behalten? Der Kartendienst ist ein Wunderwerk, aber eben auch eine Herausforderung auf globaler Ebene. Am Crowdsourcing-Ansatz kann das Unternehmen deshalb nicht viel ändern. Es braucht die Informationen seiner Nutzer zu neuen Geschäften oder geänderten Straßennamen, um den Kartendienst aktuell zu halten. Google teilt dazu auf Anfrage mit: "Wir haben in Google Maps ausgeklügelte Spam-Erkennungs- und Schutzsysteme eingebaut und suchen immer nach Wegen, diese weiter zu verbessern. Wir sind auf das lokale Wissen angewiesen, welches die Community zu unseren Geo-Produkten beisteuert und wissen es zu schätzen, wenn sie Fehler melden, so dass wir diese schnell beheben können."
Für Seely ist klar, was Google besser machen könnte: Das Unternehmen müsste vor allem den Verifizierungsprozess nach jeder Veränderung eines Eintrags in Google Maps und Places verschärfen, sagt er, mit manuellen Kontrollen. Das würde deutlich mehr bürokratischen Aufwand für Google mit sich bringen, den scheut das Unternehmen offenbar. Die Frage, warum es nicht wenigstens deutlich darauf hinweist, dass die Einträge inkorrekt sein könnten, beantwortet Google nicht. Es gibt einen solchen Hinweis, aber er ist ganz unten in den Nutzungsbedingungen(öffnet im neuen Fenster) versteckt.
"Bing hat übrigens das gleiche Problem" , schreibt er noch. "Die Microsoft-Leute fragten mich um Rat, wie sie es reparieren könnten, nachdem ich ein paar ihrer Manager genervt hatte. Aber daran gehalten haben sie sich nicht."
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.