Facebook is following you

[vgwort line=“27″ server=“vg08″ openid=“ab5e21d27cda4ff190a82a83c278026b“]

Heute habe ich mir eine weitere facebook Spam E-Mail angesehen. Kmail zeigt mir grundsätzlich nur den Textteil an und lädt keine Quellen aus dem Internet. Facebook Originale haben einen Text- und einen HTML Teil. durch meine Einstellungen bekomme ich den HTML-Teil nie sehen. Nur die Spam Mails verzichten aus gutem Grund auf den Text-Teil. In diesem Fall verweist kmail mangels Alternativen auf den HTML-Teil. Für den Screenshot und um zu sehen, wie die Spam E-Mail ohne diese Sicherheitseinstellungen aussieht, ließ ich – nach Entschärfen des Inhaltes – die E-Mail im Inline-Browser darstellen.

Nur ein Link führt zu facebook, die anderen auf Seiten des Absenders. Dieses Verhalten kenne ich schon. Es interessierte mich heute nicht. Heute wollte ich dem HTML-Code zu Leibe rücken. Der erwies sich bis auf das Ende als langweilig. Gegen Ende fand ich folgendes Konstrukt:


<img src="http://www.facebook.com/email_open_log_pic.php?mid=[..]" style="border:0;width:1px;height:1px;" />
<bgsound src="http://www.facebook.com/email_open_log_pic.php?mid=[..]&sa" volume="-10000"/>


Hier werden offensichtlich Dateien von facebook nachgeladen. Es handelt sich hier um PHP-Script, das mit dem ersten Abruf ein transparentes GIF-Bild in der Größe 1×1 Pixel und mit dem zweiten eine Sound Datei zurück liefert. Wenig sinnvoll, diese minimale Information mit einem solch großen Parameter zu steuern, wenn man im Hintergrund nicht noch mehr beabsichtigt. Der Name deutet auf die Absicht hin: Hier soll verfolgt werden, ob der Nutzer die Mail geöffnet hat. Mit dem Abruf des für den Nutzer unsichtbaren Bildchen und Sound kann die E-Mail nach Hause telefonieren. Was dann dort wohl alles registriert und gespeichert wird? Auf Web-Seiten wäre dazu noch Javascript und mindestens ein Cookies erforderlich. Diese Dinge sind nicht im Code enthalten. In einer individuellen Mail ist dies nicht erforderlich, da der Absender weiß, wem er die E-Mail schickt und für jeden Adressaten einen individuellen Schlüssel generieren kann.

Der Abruf eines GIF und einer Sound Datei erscheint mir doppelt gemoppelt, aber vielleicht gibt es ja E-Mail-Clients, die Sound nachladen und Bilder nicht. Oder man möchte sich noch im Mediaplayer verewigen. bgsound scheint MS spezifisches zu sein, insbesondere der Parameter „Volume“, der mit -10000 wohl auf unhörbar steht.

Aber warum über facebook? Kann unser Freund über facebook das Lesen der Mails verfolgen? Einfacher wäre doch sicher ein eigener Server, wie es andere Freunde machen. Google war hier leider nicht sonderlich hilfreich: Viele Suchergebnisse, aber nichts passte zu meiner Frage. Durch Mailing Listen gibt es beliebig viele Seiten, die diesen Scriptnamen enthalten.

E-Mail Marketing, Tracking und Reporting ist ein gutes Geschäft. Wenn ich es richtig gelesen habe, hatte facebook bis 2009 ein Geschäftsmodell in diesem Sektor (habe den Link dazu leider nicht gespeichert). Eine Suche nach facebook e-mail marketing tracking reporting findet rasch alternative Anbieter. Vielleicht ist über diese etwas möglich. Hier eröffnet sich ein neues Beschäftigungsfeld. Aber nicht heute.

Ich stellte die Frage zurück und widmete mich dem Header. Ein netter Freund (oder Freundin) aus der Ukraine schickte die Mail und hatte auch ein paar X-facebook Parameter im Header untergebracht. Dies veranlasste mich, nach diesem Header mit einer original facebook E-Mail zu vergleichen. Ergebnis: Nicht sonderlich gut gemacht. Das geht besser und würde dann einem Scanner vor Probleme stellen.

In der facebook E-Mail fand ich am Ende den gleichen Code Teil wie in der Spam E-Mail. Es war also gar nicht Absicht unseres Freundes diese Mail mittels facebook zu verfolgen. Er hatte diesen Teil mit großer Wahrscheinlichkeit nur durch kopieren aus einem Original übernommen, das im einfachsten Fall an ihn ging. Wenn er die Funktion dieses Teils nicht erkannte und den Schlüssel nicht ersetzt hat, dann deutet dieser Wert auf seinen facebook account und es sollte für facebook möglich sein, sein Profil zu bestimmen. Angeblich werfen die keine Daten weg. Ärgerlich ist dies für facebook allemal, da diese Eintrag sicher schon Millionen-fach gelesen wurde.

Dieses Verfahren bieten einen Vorteil für den facebook Nutzer: Hat er einen Eintrag bereits im E-Mail-Client gelesen, erscheint sie im Browser auch als gelesen. Es funktioniert auch, wenn der Nutzer nicht bei facebook angemeldet ist, da der Schlüsselwert in der E-Mail einmalig ist.

Von diesem Feature werde ich nicht profitieren, denn ich habe nicht vor, Daten darüber zu liefern, ob oder wann ich meine E-Mails lese. Im Browser lässt es sich ja schlecht vermeiden.

Upps, schon wieder spät. Ich wünsche eine gute Nacht.