Ende des direkten Facebook-Supports wegen Sicherheitsvorgaben

Kevin van Zonneveld

Mitgründer · Amsterdam, Niederlande ·

Nach unseren jüngsten Schwierigkeiten mit Googles API-Änderungen stehen wir bei Facebook vor einer ähnlichen Situation. Obwohl wir Facebooks jährliche Sicherheitsprüfungen seit Jahren erfolgreich bestehen, enthalten die Anforderungen für 2025 neue Vorgaben, die mit modernen verteilten Arbeitsmodellen unvereinbar sind und der tatsächlichen Sicherheit offen gesagt schaden. Deshalb können wir die Facebook-OAuth-App von Transloadit nicht länger betreiben. Kunden können die Integration jedoch weiterhin mit eigenen Zugangsdaten nutzen.

Was ist passiert?

Facebook prüft jährlich die Sicherheit von Apps, die seine Plattform integrieren. Wir haben diese Prüfungen stets bestanden, indem wir unsere soliden Sicherheitsmaßnahmen nachgewiesen haben. Dieses Jahr hat Facebook jedoch eine Anforderung ergänzt, die grundlegend verkennt, wie moderne Technologieunternehmen arbeiten: Wir müssen jetzt auf allen Arbeitsrechnern Antivirensoftware installieren und Updates der Virensignaturen von einem zentralen Server verteilen.

Warum das für uns (und viele moderne Unternehmen) nicht funktioniert

Zunächst ist da die Realität eines verteilten Teams. Transloadit arbeitet mit qualifizierten freiberuflichen Fachkräften zusammen, die ausschließlich eigene Geräte nutzen – in unserem Fall MacBooks. Diese Rechner gehören ihnen selbst, nicht dem Unternehmen. Zentrale Verwaltungssoftware auf privaten Geräten zu installieren, würde in mehreren Rechtsräumen gegen Datenschutzgesetze verstoßen. Es würde eine Gerätekontrolle erfordern, die für die Zusammenarbeit mit Selbstständigen unangemessen ist, und Sicherheitslücken schaffen, weil wir Root-Zugriff auf private Rechner erhielten.

Facebooks jüngste Forderung widerspricht auch einer modernen Sicherheitsarchitektur. Unser Sicherheitsmodell folgt Zero-Trust-Prinzipien. Wir gehen also davon aus, dass alle Endgeräte kompromittiert sein könnten, und setzen Sicherheit auf Server- und API-Ebene durch, wo die Daten tatsächlich fließen. Das ist sicherer, als sich auf Antivirensoftware auf Endgeräten zu verlassen, die ein falsches Sicherheitsgefühl vermitteln kann.

Schließlich sind plattformspezifische Aspekte zu berücksichtigen – etwas, das Facebook bei seiner neuen Anforderung versäumt. Alle Teammitglieder nutzen macOS mit XProtect, dem integrierten Antivirensystem von Apple, das automatisch aktualisiert wird. Zusätzlich Antivirensoftware von Drittanbietern mit Zugriff auf Kernel-Ebene zu installieren, würde die Sicherheit tatsächlich verringern, weil dadurch zusätzliche Angriffsflächen entstehen.

Was wir stattdessen tun

Wir verteilen zwar keine Antiviren-Updates zentral auf die privaten macOS-Geräte unserer freiberuflichen Teammitglieder, sorgen aber durch folgende Maßnahmen für Sicherheit:

Vertragliche Pflichten: Alle Teammitglieder unterschreiben Vereinbarungen, die Folgendes verlangen:
- Aktivierte automatische Updates für Betriebssystem und kritische Software
- Vollständige Festplattenverschlüsselung
- Zwei-Faktor-Authentifizierung für alle kritischen Dienste
- Regelmäßige Sicherheitsschulungen
Serverseitiger Schutz: Dort, wo Facebook-Daten tatsächlich fließen, setzen wir auf:
- Virenscans eingehender Dateien mit ClamAV
- Automatisierte tägliche Betriebssystem- und Sicherheitsupdates
- Umfassende Protokollierung und Überwachung
- Sicherheitsprüfungen durch Dritte
- Kontinuierliche Penetrationstests
Isolierte Infrastruktur: Produktionssysteme sind vollständig von den Arbeitsrechnern der Entwickler getrennt. Der Zugriff wird durch SSH-Schlüssel und IP-Freigabelisten kontrolliert.

Das zermürbende Hin und Her

Wir haben unsere Sicherheitsmaßnahmen umfassend belegt und ausführlich erklärt, warum eine zentrale Endgeräteverwaltung für unser verteiltes Team aus Selbstständigen sowohl unmöglich als auch unnötig ist. Dennoch blieb Facebooks Prüfverfahren unflexibel. Wir lieferten:

Screenshots unserer Systeme für automatische Serverupdates
Protokolle, die tägliche Sicherheitsupdates in der Produktionsumgebung belegen
Nachweise, dass ClamAV auf allen Servern läuft, die Nutzerdaten verarbeiten
Dokumentation unserer vertraglichen Sicherheitsanforderungen
Belege für über 52.000 Virenscans innerhalb von 48 Stunden

Trotzdem wurde in den Antworten immer wieder „eine zentrale Konsole, über die macOS-Updates an alle Nutzergeräte verteilt werden“ gefordert. Diese Anforderung ist offen gesagt absurd. Sie zeigt vor allem, wie wenig die IT großer Unternehmen mit der tatsächlichen Arbeitsweise moderner verteilter Teams gemein hat.

Eine schwierige Entscheidung

Nach monatelangem Hin und Her wurde klar, dass Facebooks Sicherheitsprüfung auf traditionelle Unternehmen mit firmeneigener Hardware und zentralen IT-Abteilungen ausgelegt ist. Moderne verteilte Arbeitsmodelle, Teams aus Selbstständigen, Zero-Trust-Sicherheitsarchitekturen und die rechtlichen Rahmenbedingungen für die Verwaltung privater Geräte berücksichtigt sie nicht.

Weiter dagegen anzukämpfen würde Ressourcen erfordern, die wir als kleines Unternehmen schlicht nicht haben. Unser Schwerpunkt liegt darauf, erstklassige Upload-Erlebnisse zu entwickeln. Noch schwerer wiegt: Diese Anforderungen zu erfüllen, würde unser Sicherheitsniveau tatsächlich senken, weil wir unnötige Software mit tiefem Systemzugriff auf Rechnern installieren müssten, die uns nicht gehören.

Auswirkungen auf unsere Kunden

Die Unannehmlichkeiten, die dadurch entstehen, tun uns sehr leid. Wir wissen, dass viele von Ihnen die Facebook-Integration für ihre Anwendungen benötigen und dass solche inkompatiblen Änderungen frustrierend sind. Wir haben alles versucht, um diese Integration aufrechtzuerhalten. Wir sind aber nicht bereit, mit bloßer Sicherheitssymbolik die privaten Geräte unserer Teammitglieder zu gefährden. Wir hoffen, dass Facebook seine Haltung letztlich überdenkt, rechnen aber vorerst nicht damit.

So geht es weiter: eigene Zugangsdaten nutzen

Uppy bietet weiterhin ein Facebook-Plugin. Um es mit Ihrer eigenen Facebook-App zu nutzen, sind folgende Schritte nötig:

Eine eigene Facebook-App erstellen auf developers.facebook.com
Metas App-Prüfung abschließen und die Anforderungen für den Produktivzugriff erfüllen, jeweils für Ihre vorgesehenen Nutzer
Uppy für Ihre Zugangsdaten konfigurieren, wahlweise mit:
- Ihrem eigenen Companion-Server
- Dem von Transloadit gehosteten Companion mit eigenen Zugangsdaten

Eigene Zugangsdaten bei Transloadit einrichten

Erstellen Sie für den von Transloadit gehosteten Companion einen Eintrag für Drittanbieter-Zugangsdaten in Ihrem Workspace. Wählen Sie „Companion OAuth“ und Facebook aus und hinterlegen Sie dort die ID und das Secret Ihrer Facebook-App. Bewahren Sie sowohl das Secret der Facebook-App als auch Ihr Transloadit Auth Secret auf dem Server auf, außerhalb des Browsercodes. Übergeben Sie Ihren Transloadit Auth Key und den Namen des Zugangsdaten-Eintrags an Ihre bestehende Uppy-Instanz:

import Facebook from '@uppy/facebook'
import { COMPANION_ALLOWED_HOSTS, COMPANION_URL } from '@uppy/transloadit'

uppy.use(Facebook, {
  companionUrl: COMPANION_URL,
  companionAllowedHosts: COMPANION_ALLOWED_HOSTS,
  companionKeysParams: {
    key: 'YOUR_TRANSLOADIT_AUTH_KEY',
    credentialsName: 'my_facebook_credentials',
  },
})

Eine ausführliche Anleitung finden Sie in unserem Leitfaden zur Nutzung eigener Zugangsdaten.

Ein übergreifendes Muster

Das betrifft nicht nur Facebook oder Google. Die Sicherheitsansätze großer Plattformen und die tatsächliche Arbeitsweise moderner Unternehmen driften zunehmend auseinander. Man geht davon aus, dass jedes Unternehmen firmeneigene Geräte, eine zentrale IT-Verwaltung, eine Windows-basierte Infrastruktur und klassische Angestelltenverhältnisse hat.

Das geht eindeutig an der Realität vorbei – und zwar immer mehr. Viele der innovativsten Unternehmen arbeiten heute mit verteilten Teams, Selbstständigen und BYOD-Richtlinien. Sicherheitsmodelle müssen sich weiterentwickeln und anerkennen, dass eine zentrale Endgeräteverwaltung nicht immer möglich – oder überhaupt wünschenswert – ist.

Der Blick nach vorn

Wir unterstützen das Facebook-Plugin in Uppy weiterhin und helfen Kunden, die ihre eigenen Integrationen betreiben möchten. Außerdem untersuchen wir alternative Ansätze, die diese aufwendigen Anforderungen möglicherweise umgehen könnten, ähnlich wie unsere Google-Picker-Plugins.

Wir setzen uns weiterhin dafür ein, das bestmögliche Upload-Erlebnis zu bieten, auch wenn Integrationen mit Drittanbietern zunehmend schwieriger werden. Vielen Dank für Ihr Verständnis und Ihre anhaltende Unterstützung.

Haben Sie weitere Fragen oder brauchen Sie Hilfe beim Umstieg? Unser Supportteam hilft Ihnen gern dabei, eigene Facebook-Zugangsdaten einzurichten oder alternative Lösungen zu finden. Kontaktieren Sie uns, und wir begleiten Sie durch den Prozess.