Menschliche Klickfarmen

Captcha ist die Abkürzung für „Com­pletely Automated Public Turing test to tell Computers and Humans Apart“. Diese automatischen Prüfungen sollen also Computer von menschlichen Gesprächspartnern unterscheiden – über ihre Antworten im Rahmen einer Kommunikation. In den späten 1990er-Jahren kamen die ersten praktischen Lösungen zum Einsatz, um die steigende Anzahl an gefährlichen Botangriffen auf Websites abzuwehren. Meist muss hier der Nutzer in einem Bild angezeigte Buchstaben oder Ziffern erkennen und eingeben.

Tatsächlich konnten die ersten Generationen von Bots diese Hürde kaum überwinden. Doch mit zunehmender Weiterentwicklung lösten sie ein­fache Captchas, sodass die Bilderrätsel immer kom­plexer wurden und selbst für Menschen immer schwieriger zu beantworten sind. So brechen viele echte Nutzer ihre Anfrage ab. Zudem können Cyberkriminelle diese Abwehrmaßnahme leicht umgehen. Dazu brauchen sie nicht einmal teure Technik: Die einfachste und beliebteste Lösung ist die menschliche Klickfarm. Hier werden Menschen dafür bezahlt, dass sie ­Captchas lösen und die Ergebnisse an ihre Auftraggeber weiterleiten. Dies läuft in der Praxis so ab, dass der angreifende Bot ein Bild des Captchas aufnimmt und über seine API an die Klickfarm sendet. Von dort wird es an einen oder mehrere Mitarbeiter weitergeleitet, die es lösen. Das Ergebnis senden sie an die Zentrale, die es an den Bot weiterleitet, der wiederum die korrekte Lösung auf der Website eingibt. Diese stuft ihn fälschlicherweise als menschlich ein und er kann fortfahren.

Für den Anbieter einer solchen Klickfarm ist das Ganze nicht einmal wirklich illegal. Er kann sich nämlich herausreden, dass er angeblich nichts von den kriminellen Zielen seiner Auftraggeber – den eigentlichen Hackern – weiß. Das Geschäftsmodell der Klickfarmen ist durchaus attraktiv. So berechnet z.B. der Anbieter 2Captcha für herkömmliche Bilderrätsel 0,75 US-Dollar pro 1.000 Stück. Komplexere Re-Captchas kosten 2,99 US-Dollar pro 1.000 Stück. Für die Hackerkundschaft sind diese Preise ein Klacks. Die Mitarbeiter einer Klickfarm ­erhalten nur einen Teil dieser Einnahmen: 0,30 US-Dollar für 1.000 herkömmliche Captchas und 1,01 US-Dollar für 1.000 Re-Captchas.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Da Cyberkriminelle mithilfe solcher Dienste Captchas leicht umgehen können, sollten Unternehmen auf diese Sicherheitsmaßnahme verzichten. Denn selbst komplexe Re-Captchas stellen kein Hindernis für menschliche Klickfarmen dar. Stattdessen werden durch die aufwendigen Bilderrätsel nur legitime Nutzer abgewehrt. So erreicht dieser Security-Ansatz in der Praxis häufig das Gegenteil seines ursprünglichen Ziels. Entsprechend sollten Unternehmen andere Mechanismen nutzen – von Web Application Firewall über verhaltensbasierte Dienste bis zur Zwei-Faktor-Authentifizierung. Diese sind für Cyberkriminelle eine echte Hürde.