LinkedIn ist als soziale Plattform aus der heutigen Business-Welt nicht wegzudenken. Egal ob es um das Teilen von Beiträgen, die Vernetzung mit Geschäftspartnern oder die Akquise neuer Talente geht, ist LinkedIn oft das Mittel der Wahl. Wer erfolgreich sein möchte, strebt nach Aufmerksamkeit, Anerkennung und Reichweite. Dieses Phänomen zieht auch Betrüger an, die sich die Mitteilsamkeit der Mitglieder zunutze machen. Solche Fake-Profile können für Unternehmen unangenehme Folgen haben. Welche dies sind und wie Sie sich davor schützen können, erfahren Sie in diesem Artikel.
Inhaltsverzeichnis
Vor gut 20 Jahren wurde die Soziale Plattform LinkedIn gegründet und zählt heutzutage weltweit über 750 Millionen Mitglieder. Das Netzwerk erlaubt es, mit KollegInnen und GeschäftspartnerInnen auf der ganzen Welt in Kontakt zu bleiben und fördert den Wissensaustausch. Auch ist LinkedIn mittlerweile zu einem wertvollen Marketingtool und einer Jobplattform mit hoher Reichweite geworden.
Wie so oft, hat auch LinkedIn das Problem, dass das gutgemeinte Angebot leider auch von Betrügern zu ihren eigenen Zwecken missbraucht wird. Es tummeln sich viele Fake-Profile auf der Plattform, mit dem ultimativen Ziel, Social Engineering zu betreiben, und so an vertrauliche Informationen zu gelangen.
Ungebetene Mitarbeitende
In der Vergangenheit kursierten immer wieder Berichte, dass sich Personen auf LinkedIn als Mitarbeiter eines hochstehenden Technologie-Konzerns ausgeben, obwohl sie dort nie angestellt waren (siehe The Guardian). Auch bei der Oneconsult haben wir bereits solche ungebetene MitarbeiterInnen auf der Unternehmensseite auf LinkedIn feststellen müssen, wobei man auf Grund ihrer guten Referenzen sich durchaus geschmeichelt fühlen könnte:
Eine kurze Recherche unseres Incident Response & Digital Forensics Teams ergab, dass dieses Phänomen durchaus kein Einzelfall ist. Teilweise identische Profile der falschen Mitarbeitenden sind auch bei anderen kleinen und mittleren Unternehmen (KMU), die im Bereich Cyber Security tätig sind, auf LinkedIn zu finden.
Das Problem ist, dass jede Person in der Profilbeschreibung auf LinkedIn Berufserfahrungen hinzufügen kann, ohne dass diese geprüft werden. Somit ist es möglich, dass ein Unternehmen plötzlich vermeintliche Mitarbeitende hat, die keinerlei Verbindung mit dem Unternehmen eingegangen sind. Für einen aussenstehenden Benutzer ist es nicht nachvollziehbar, dass diese Person gar nicht bei dem Unternehmen beschäftigt ist.
Und genau hier lauert die Gefahr. Das Ziel eines solchen Fake-Profils ist es, durch eine vermeintliche Vertrauensbeziehung Informationen zu erlangen, die sonst nicht mit einer fremden Person geteilt werden würden. Ein solcher Social-Engineering-Angriff kann gegenüber anderen Mitarbeitern, Kunden oder sonstigen Dritten ausgeführt werden. Eine weitere Bedrohung ist auch eine mögliche Rufschädigung des Unternehmens, wenn eine fremde Person im Namen des Unternehmens auf Dritte zugeht, sowie Beiträge veröffentlicht, kommentiert oder liked. Auch ist die Gefahr nicht zu unterschätzen die von geteilten Beiträgen auf LinkedIn ausgehen kann. Fake-Profile können versuchen, NutzerInnen auf bösartige Seiten zu locken, etwa durch eine vermeintliche Anmeldung für ein Webinar.
Wie wird man Fake-LinkedIn-Profile wieder los?
Selbst wenn es sich nur um eine Person handelt die keine böswilligen Ziele verfolgt, sondern einzig den eigenen Lebenslauf aufbessern möchte, ist dies für Unternehmen ärgerlich. Solche Fake-Mitarbeitende sind im besten Fall nur lästig, im schlimmsten Fall aber eine ernstzunehmende Gefahr. LinkedIn ist so aufgebaut, dass sobald eine Person im Abschnitt «Experience/Berufserfahrung» einen neuen Eintrag hinzufügt, ihr Profil mit der Unternehmensseite verlinkt wird. Bis diese Änderungen auf der Unternehmensseite dargestellt werden, kann es bis zu 30 Tage dauern. Eine falsche Verlinkung, ob dies aus Versehen oder mutwillig geschehen ist, kann nur durch die Person entfernt werden, welche die Angaben ihrem Profil hinzugefügt hat. Selbst einem Administrator der Unternehmensseite ist dies nicht möglich. In einem solchen Fall bleibt einem nichts anderes übrig, als den falschen Mitarbeitenden als solches bei LinkedIn zu melden (siehe LinkedIn Hilfe Personen von einer Unternehmensseite entfernen). Dies ist nicht sehr zufriedenstellend, leider aber aktuell die einzige Möglichkeit.
Meldung von Fake-LinkedIn-Profilen
Eine solche Meldung falscher Angaben eines anderen LinkedIn-Mitglieds erfolgt über Aufrufen des folgenden Links: Falsche Informationen im Profil eines anderen Mitglieds melden. Das Formular muss wahrheitsgetreu mit den folgenden Informationen ausgefüllt werden:
- Link zum falschen Konto
- Name des Unternehmens (oder auch Hochschule/Universität) welches im Profil nicht korrekt angegeben wurde
- Eine Erklärung, warum diese Angabe nicht korrekt ist und daher gemeldet wird
- Eine digitale Unterschrift
Die Meldung wird dann an das Trust & Safety Team von LinkedIn weitergeleitet und geprüft (siehe LinkedIn Hilfe Falsche Informationen melden).
Ein Schutzmechanismus den LinkedIn eingebaut hat um sich zumindest ein wenig vor Informationsdiebstahl zu schützen, ist die Zugangssperre auf den Bereich «My Company/Mein Unternehmen». Um die Information dieses Abschnitts einsehen zu können, muss eine Verifikation mit der geschäftlichen E-Mail-Adresse erfolgen. Super-Admins einer Unternehmensseite können festlegen, welche Domänen für die Mitarbeiterverifizierung freigegeben sind (siehe LinkedIn Hilfe Mitarbeiterverifizierung und LinkedIn Hilfe Domainverwaltung).
Suche nach den Fake-Mitarbeitenden auf LinkedIn
Fake-Mitarbeitende stellen eine Gefahr für Ihr Unternehmen dar. LinkedIn hat bisher keine Lösung implementiert, um dies zu verhindern. Daher empfiehlt es sich, in regelmässigen Abständen die verlinkten Mitarbeitenden zu überprüfen. Dies ist natürlich mit zunehmender Grösse eines Unternehmens eine entsprechend aufwendige Aufgabe, die sich aber durchaus lohnt. Die verlinkten Profile sind direkt auf der Unternehmensseite im Abschnitt «People/Personen» einsehbar:
Eine weitere Möglichkeit, Mitarbeitende eines Unternehmens zu finden ist die Suche auf der LinkedIn-Startseite und die darauffolgende Auswahl des Reiters «People/Personen»:
Wenn die Anzahl an Mitarbeitenden einen gewissen Schwellwert überschreitet, der es nicht mehr ermöglicht die Liste händisch durchzugehen, empfiehlt es sich diesen Schritt zu automatisieren. Ein Export dieser Liste im CSV- oder Excel-Format erlaubt es, diese im Anschluss mit den internen Mitarbeiterdaten der Personalabteilung abzugleichen.
Wie kann ich Fake-LinkedIn-Profile erkennen?
Ganz egal, ob Sie sich als Privatperson oder Unternehmen auf LinkedIn bewegen, ist es immer hilfreich Fake-Profile als solche erkennen zu können. Die folgende Übersicht kann dazu beitragen, Fake-Profile zu entlarven:
| Hintergrund | Empfehlung | |
| Profilbild | Ein Profilbild eines Benutzers ist kein valider Indikator, ob es sich um einen legitimen Account handelt. Einerseits können im Internet recherchierte Bilder für ein Fake-Profil verwendet werden, andererseits ist es heutzutage bereits möglich mit künstlicher Intelligenz täuschend echte Bilder einer Person zu generieren. | Mit einer umgekehrten Bildersuche (beispielsweise von Google oder TinEye) kann analysiert werden, ob das Profilbild bereits in einem anderen Kontext mit anderen Namen verwendet wurde. |
| Erfahrung | Jede Person kann willkürlich Ausbildungen und Berufserfahrungen dem Profil hinzufügen, ohne dass eine Prüfung der Angaben vorgenommen wird. | Auch wenn falsche Angaben nicht direkt ersichtlich sind, kann zumindest geprüft werden, ob die Angaben chronologisch Sinn ergeben und einer gewissen Logik folgen. |
| Menge an Informationen | Ein gepflegtes LinkedIn Profil einer reellen Person erhält grundsätzlich eine gewisse Menge an Informationen, um auf sich aufmerksam zu machen. Ein erstelltes Fake-Profil kann gegebenenfalls nur die notwendigsten Angaben zur Person erhalten, je nach Aufwand, der bei der Erstellung betrieben wurde. | Es lohnt sich, ein Profil etwas genauer anzusehen. Wie viele Kontakte hat das Profil? Wurden Angaben zu Kenntnissen, Erfahrungen und Infos zur Person gemacht? Auch hilfreich ist es, die Angaben auf Konsistenz zu prüfen, wie etwa Zeitangaben und Standorte. |
| Inhalte | Eine reelle Person interagiert normalerweise in regelmässigen Abständen auf LinkedIn mit anderen Beiträgen und teilt selbst Inhalte. Ein solches Verhalten ist für ein Fake-Profil nur schwer oder mit einem hohen Aufwand über einen längeren Zeitraum nachzustellen. | Es empfiehlt sich zu prüfen, ob eine Person von Zeit zu Zeit selbst Beiträge teilt und diese mit einem persönlichen Text versieht. Wird auf Beiträge reagiert? Wie aktiv ist das Profil? Wie ist der Schreibstil bei direkt adressierten Nachrichten? |
| Netzwerk | Auch ein Fake-Profil muss zuerst gewisse Kontakte knüpfen, um legitim zu erscheinen. Die Art und Anzahl der Kontakte können Rückschlüsse auf das Profil erlauben. | Bei einem unbekannten Profil sollte darauf geachtet werden, wie viele Kontakte das Profil hat. Existieren gemeinsame vertrauenswürdige Kontakte in Ihrem Netzwerk? Hat das Profil zusätzlich zu Kontakten auch Follower? Wurden Kenntnisse von anderen Kontakten bestätigt? |
Dies alles sind selbstverständlich nur Indikatoren, die auf ein Fake-Profil hinweisen. Bei Kontaktanfragen oder persönlichen Nachrichten fremder Personen ist ein grundlegendes Misstrauen aber nie verkehrt. Falls ein vermeintliches Fake-Profil identifiziert wurde, kann dieses auf LinkedIn gemeldet werden (siehe LinkedIn Hilfe gefälschte Profile melden). Dies funktioniert über das Menu «More/Mehr» auf dem entsprechenden Profil, wo dieses gemeldet oder blockiert werden kann. In einem Pop-Up Fenster wird abgefragt, welche Informationen des Profils als falsch identifiziert wurden und warum dieses Profil gemeldet wird.
Fazit
Wie leider jede Kommunikationsplattform, ist auch LinkedIn nicht sicher vor Angreifern und Betrügern. Dies kann Social-Engineering-Angriffe oder Rufschädigungen durch Fake-Profile, wie aber auch Phishing, sonstige Betrugsmaschen, und Schadsoftware beinhalten. Ein aufmerksames Benutzerverhalten und regelmässige Überprüfungen der eigenen Angaben und Einstellungen, egal ob Privatperson oder Unternehmen, ist empfehlenswert. Ein aktives Melden von Fake-Profilen kann die Sicherheit für alle Mitglieder erhöhen.
Haben Sie noch Fragen oder möchten unsere Unterstützung? Unser Digital Forensics Team freut sich von Ihnen zu hören!
