Google+: nicht geteilte Fotos über URL-Aufruf für jeden sichtbar

Google+ nutzen viele, um ihre Bilder zu sichern, oder zu teilen. Man kann Ordner mit anderen teilen, man kann es aber auch sein lassen. Zu erkennen sind nicht geteilte, also private Ordner an einem Vorhängeschloss. Nun könnt ihr euch einmal testweise in ein solches Album gehen, ein Bild öffnen und dieses Bild per Drag & Drop in einen anderen Browser-Tab ziehen.Bildschirmfoto 2014-04-10 um 19.41.24

Euch offenbart sich die URL des Bildes, was auch nichts Wildes ist. Geht bei jedem anderen Dienst auch. Nun der Vergleich zu einem Dienst wie Dropbox oder OneDrive: hier kann ich den Link nun weitergeben, der Empfänger kann damit nichts anfangen. Nicht so bei Google+, hier kann jeder, der über die URL verfügt, das Bild öffnen. Nach meinem Verständnis sollte dies eigentlich bei Google+ so geregelt sein, wie bei Dropbox.

Dies betrifft übrigens nicht nur die Alben, sondern alle Fotos, auch solche, die ihr automatisch von eurem Smartphone sichern lasst. Zugegeben, die Möglichkeit ist wohl sehr unwahrscheinlich, dass jemand die URL mit über 40 Buchstaben und Zahlen errät, aber dennoch sollte man diese Sache im Hinterkopf behalten – Facebook bildet da keine Ausnahme. Stefan, der uns darauf hinwies, fand noch etwas anderes. Bereits jetzt sind die deutschen Hilfeseiten für die Google+-App online, die darauf hinweisen, dass man bald explizit einzelne Ordner vom Smartphone auswählen kann, die gesichert werden sollen.

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Hallo, ich bin Carsten! Baujahr 1977, Dortmunder im Norden, BVB-Getaufter und Gründer dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, Instagram und YouTube. PayPal-Kaffeespende. Mail: carsten@caschys.blog

38 Kommentare

  1. @cornstar: Jein. A. ist das öffentlich, aber B. geht es auch mit einem privatem.

  2. Bedeutet also: Wenn ich ein Bild (bzw. die URL) einmal teile/veröffentliche, ist es für immer öffentlich? Oder ändert sich die URL beim Teilen/Zurückziehen?

  3. @gRml: Bedeutet, dass jeder ein auf „privat“ gestelltes Foto sieht, sofern die URL bekannt ist.

  4. Hat aber auch den Vorteil dass man die Bilder woanders einbinden kann ohne gleich den Ordner komplett öffentlich machen zu müssen. Wäre dennoch schön wenn dies irgendwie gekennzeichnet wäre, wobei es wie du schon oben geschrieben hast so gut wie unmöglich ist dass jemand die Kombination aus Server, Ordnernamen und Dateinamen richitg errät.

  5. Komisch. Wenn ich eine URL eines privaten Fotos in einem anonymen Browser öffne, werde ich erst zur Anmeldung bei Google aufgefordert.

  6. Bemerkenswert dass man das erst jetzt merkt…

    Solange Google die Bilder wenigstens wirklich löscht, ist ja alles gut. Habe vor 3 Jahren (!) bei Facebook ein Bild gelöscht, via direkt Aufruf ist es heute noch abrufbar. Noch fragen?

  7. @Fred: nicht die Bildseite nehmen, sonder das Bild-URL

  8. Oh, OK. Ja geht tatsächlich. Zum Glück habe ich da nichts unanständiges hochgeladen 🙂

  9. @caschy: Das hatte ich so auch verstanden.
    Meine Idee war aber folgende:
    Wie du richtig geschrieben hast, ist es allerdings schwer (unmöglich?) per Zufall auf die URL zu kommen. Wenn ich jetzt allerdings ein Bild mit dir teile, hast du die URL ja, wenn ich mich jetzt dafür entscheide das Bild nicht mehr mit dir zu teilen, hast du die URL ja immer noch. Und ob das so ist, war meine Frage. Es sein den beim Verändern der Berechtigung ändert sich auch die URL.
    Ansonsten wäre ein einmal geteiltes Bild quasi immer geteilt.

  10. Supi alle meine private photos?

  11. Thomas Voiß says:

    Das läuft alles andere als rund bei Google. Auf mich macht das den Eindruck als vernachlässigt Google einige Dienste. Schade, bin seit 2005 bei Google und entferne mich immer mehr von den Google-Web-Diensten.

  12. Das ist doch aber nicht neu!? Die URL ist sooo kryptisch dass man diese kaum erraten kann. Man muss also schon irgendwo nicht aufgepasst haben – und was man mit wem auch immer teilt oder weitergibt ist eben nicht mehr privat wenn diese Person die URL irgendwo hin postet/speichert. Also muss man genau wissen wer seine Freunde sind …
    Wobei ich mir nicht sicher bin ob dann nicht mindestens derjenige auch bei Google+ angemeldet bzw. eingelogt sein muss.
    Wäre natürlich schöner wenn dieses überhaupt nicht geht – aber bisher hat es niemanden gestört ..

  13. Freakyno1 says:

    Alle Photos. Gerade mal mit einem Bild getestet, dass ich noch nie geteilt habe.
    Edit: und man muss nicht bei Google angemedet sein, habe es in einem private Tab getestet…

  14. Also das mit der Auswahl der Ordner die gesichert werden geht doch schon länger: http://i.imgur.com/hQU3Veg.png
    Oder hab ich das jetzt falsch verstanden?

  15. Bernd Sonnensegel says:

    Finde ich nicht so dramatisch.

    „Dramatischer“ finde ich, dass man auf „Privat“ geteilte Profil-Fotos mit einem kleinen Trick trotzdem in voller Größe genießen kann.

    Beispiel: Ich gehe auf d/ein Facebook Profil (Carsten) und du hast / mat hat dein / sein Profilbild auf „Privat“ gestellt. Dementsprechend sehe ich auf dein / sein Profil das Foto in „klein“, sowie, wenn ich mir die URL rauskopiere und öffne.

    Soweit nicht so schlimm. Mittels Trick (nein, keine Google Bildersuche) kann ich das kleine Foto, in Originalgröße anzeigen lassen.

    Da ist das von Google+ doch ein Lacher.

    Oder nicht? Mal schauen. Ein „URL-Generator“ wäre aber auch lustig und abchecken, ob valide Aufrufe / Links zustande kommen und dies separat in einer .txt-Datei speichern.

    Lustig, lustig.

  16. -.- Nicht gut
    Hoffe, dass es schnell behoben wird. Das Risiko ist vllt wirklich nicht groß.
    Aber es ist ein unnötiges Risiko.

  17. Der HERZOG says:

    Hauptsache man kann so / ähnlich nicht auf die Daten zugreifen, die im Google Drive abgelegt sind,

  18. besucherpete says:

    Das kann ich so nicht nachvollziehen. Ich hab eben mal die Bild-URL in einem anderen Browser geöffnet, dabei kam ein Fehler 404.

  19. Ich sah das ganze immer als Funktion an Oo… Die nutze ich, seit dem ich die Uplaod Funktion kenne (über einem Jahr) Rechtsklick aufs Bild > Bild URL kopieren und den Schnappschuss leicht und unkompliziert an den Empfänger schicken.

  20. @Marie-Luise: „Hoffe, dass es schnell behoben wird.“ – Guter Witz! 🙂

    Das ist schon immer Standard gewesen. In den privaten Mailinglisten auf Google Groups feiert dieses peinliche Feature in diesem Jahr 10-jähriges (!!!) Jubiläum! 😉

    Von daher ist es mir auch schleierhaft, wie man Fotos, die nicht unbedingt jeder sehen soll, via Google verschicken kann. Das betrifft nämlich auch sämtliche Fotos aus den Hangouts.

  21. Was soll’s. Eher errät jemand mein Passwort als die URL. Und wenn ich die URL an jemand weitergebe und dieserjenige indiskret ist, dann kann er genau so gut gleich das Bild runterladen und weiter verbreiten.

  22. Jep gab es vor Jahren bei FB auch schon damals war sogar noch ne user id vorhanden mit der man bilder einer bestimmten person finden konnte.
    z.b. kleines script mit wget und nem generator die länge ist ja mehr oder weniger vorgegeben.
    Irgendwie traurig.
    Mann kann festhalten alles was mann in Cloud dienste hochlädt kann auch von anderen eingesehen werden (ausnahme mann verschlüsselt vorher sinnvoll) Das sollte den Menschen mal bewusst werden.

  23. hoffentlich wird das nicht abgeschaltet!

    das „feature“ finde ich super bei google plus. so kann ich immer problemlos Fotos in Foren usw. einbinden. Die sind dann aber auch für die Öffentlichkeit bestimmt. Also jeder kann die weiter geben wie er will.

    Ich sehe es so wie caschy hier ja auch schon oft schreibt: beim teilen von Inhalten im Netz oder mit Freunden auch immer den Kopf einschalten.
    Teile ich etwas öffentlich im Netz (per URL in nem Forum, nem blog etc.) muss ich damit leben können, dass es sich u.U. massenhaft an alle verbreiten könnte.

    Teile ich etwas mit Freunden, muss ich denen soweit vertrauen können, dass sie keinen scheiß damit machen.
    Also weder die URL an alle weiter geben, noch sich das Foto abspeichern und anschließend irgendwo hochladen.

    Also: Kopf einschalten hilft immer noch am Besten.

    Ich halten das absolut nicht für ne Sicherheits-Lücke!

  24. Psssst, ich benutze das Verfahren doch schon seit Jahren, um Links zu Fotos an andere weiterzugeben! 😀

  25. So ein Blödsinn, wie soll denn sonst das „Teilen über Link“ möglich sein, wenn nicht jedes Bild seine eigene Bild-URL hätte?
    Das ist doch schon immer so.

  26. @Susanne: denk noch mal drüber nach. Nach Sharing ist der Zugriff ok. Aber vorher? Beispiel Dropbox und OneDrive.

  27. Bei Google Drive ist diese Funktion bereits seit neuestem entfernt, evtl. wird das auch auf Google+ Fotos ausgerollt. Zum Einbinden auf Websites muss man wohl in Zukunft das Album über den Link freigeben

  28. Ich hatte keine Sekunde daran gezweifelt, dass das bei G+ so ist (ohne es getestet zu haben; nutze G+ nicht), bei FB hab ich das schon vor Jahren bemerkt.
    Klar ist es unwahrscheinlich, den Link zu erraten, wie du schon schreibst, doch es ist eben nur https://de.wikipedia.org/wiki/Security_through_obscurity
    Die Dropbox-Lösung ist da deutlich besser.

  29. Aber die Links sind doch sicher nach einem Schema aufgebaut – wenn man das herausfindet, könnte man theoretisch auch noch mehr Bilder finden, die nie öffentlich sein sollten.
    Ich finde das sehr problematisch, wegen google+ AutoBackup. Da sind ALLE meine privaten fotos gesichert. Nur hätte ich es gern, das niemand anders da (theoretisch) drauf zugreifen kann.

  30. Also Cashy dein Blog ist toll nur die Einschätzung „sehr unwahrscheinlich“ trifft leider nicht zu.

    Persönlich empfehle ich allen Benutzern ihre Bilder herunterzulaufen und dann online so löschen so dass wenn jemand den Link dennoch hat seine Anfrage ins Leere läuft.

    Den alle Bilder abzugreifen die bei Google gespeichert sind wegen dieser Sicherheitslücke ist einfacher als ihr denkt: Firefox und ein Downloadmanager (beispielsweise DownEmAll) mehr braucht man nicht um die lächerlichen 40 Zeichen in allen Kombinationen durchzuprobieren. In Zeiten von Terabyte großen Platten und Breitband-Internet sind die Bilder sehr schnell abgegriffen!

    Als Mitarbeiter der IT kann ich allen nur den Rat geben ihre Bilder die nicht öffentlich werden sollen aus der Cloud zu nehmen!

  31. @Christoph Zeller die 40 (wenn ich richtig gezählt habe etwa 38) Stellen mit Groß- und Kleinschreibung sind immerhin doch (26•26)^38, mehr als 10^65. Und wieviele Fotos gibt es bei G+? Eine Milliarde, vielleicht eine Billiarde. Kürzt man also 15 Nullen Weg bleiben immer noch 10^50, also eine ungefähr Unendlich kleine Wahrscheinlichkeit wenigstens ein einziges Bild zu finden. Weiterhin sind anscheinend einige Plätze auch noch mit Zahlen und anderen Zeichen belegt.

  32. @atmp Das ist bereits mit einbezogen in die Überlegung. Es geht jedoch bei dem was ich meine keineswegs darum ein Bild zu finden sondern sie der Reihe nach „abzufarmen“.

  33. @Christoph Zeller das musst du genauer erläutern…

  34. Simon Reische says:

    Ich finde, dass das Geschrei um diese „Sicherheitslücke“ viel zu groß ist.

    Schon mal aufgefallen, dass sich nicht nur die 5 Hashes (Ordnernamen) bei jedem Bild unterscheiden? Am Ende steht auch der Dateiname, sodass es noch wahrscheinlicher ist, dass der Angreifer eher aufgrund der häufigen Anfragen auf nicht existierende Dateien geblockt wird als dass er Zugriff auf ein Bild erlangt.

    Angenommen, die Hashes bestehen aus 10 Zeichen und bestehen nur aus Groß- und Kleinbuchstaben und Zahlen, also 62 ==> 62^10 für einen Ordner.
    Da es aber 5 Ordner sind ==> 62^50, was ca. einer 4 mit 89 Nullen entspricht.
    Nun muss der Angreifer noch den Namen meines Bilds herausfinden, was ich ihm auch nicht leicht mache, da meine Bilder nie „PICT…“ oder „DSC_…“ heißen. Daher habe ich keine Furcht, dass eines meiner (ohnehin nicht privaten) Bilder von einem Dritten eingesehen wird.

  35. Funktioniert so übrigens auch bei Gmail. Schönes »Feature«…