LinkedIn Connected Apps: Ein Security & Access Guide

Kennen Sie den kleinen “Sign in with LinkedIn”-Button? Die, die Sie hundert Mal angetippt haben, weil das Eingeben eines neuen Passworts sich nach mehr Aufwand anfühlte, als es wert war? Jedes Mal, wenn Sie es angeklickt haben, haben Sie einem Fremden einen Schlüssel zu Ihrem Konto übergeben. Nicht dein Passwort, genau, aber trotzdem ein Schlüssel. Und hier ist der unangenehme Teil: Die meisten dieser Schlüssel sitzen immer noch irgendwo in einer Schublade und funktionieren perfekt für Apps, die Sie 2021 einmal angemeldet und nie wieder geöffnet haben.

Das ist kein Grund zur Panik. Es ist ein Grund, fünfzehn Minuten damit zu verbringen, etwas zu tun, was die meisten Menschen nie tun: die Liste aller Dinge zu betrachten, die derzeit mit Ihrem LinkedIn-Konto verbunden sein können. Die Liste Ihrer LinkedIn-Verbindungs-Apps ist eine der aufschlussreichsten und am wenigsten besuchten Seiten in Ihrem gesamten digitalen Leben. Sobald Sie verstehen, wie man diese Liste liest, werden Sie nie wieder auf die Schaltfläche „Sign in with LinkedIn“ auf dieselbe Weise schauen.

Lassen Sie uns durchgehen, was diese Verbindungen tatsächlich sind, wie die Berechtigungen unter der Haube funktionieren, wie Sie den Zugriff prüfen und entfernen und wie Sie die Tools verbinden, die Sie wirklich benötigen, ohne Ihr Konto offen zu lassen. Am Ende haben Sie eine wiederholbare Gewohnheit, die Ihre professionelle Präsenz blockiert, ohne Sie zu verlangsamen.

Was “vernetzte Apps” auf LinkedIn eigentlich bedeutet

Eine verbundene App ist ein Dienst eines Drittanbieters, dem Sie die Erlaubnis zur Interaktion mit Ihrem LinkedIn-Konto erteilt haben. Kein Service, der den Zugriff gestohlen hat, und kein Service, der Ihr Passwort erraten hat: einer, den Sie explizit durchgewunken haben, normalerweise in einem Moment, in dem Sie sich auf etwas anderes konzentriert haben, wie die Anmeldung für ein Planungstool oder die Veröffentlichung einer Design-App in Ihrem Feed.

Diese Verbindungen kommen in zwei breiten Geschmacksrichtungen vor, und sie unterscheiden sich.

Anmeldeverbindungen. Dies ist der klassische “Sign in with LinkedIn”-Flow. Wenn Sie LinkedIn als Ihren Login für eine andere Website verwenden, erhält diese Website normalerweise Ihren Namen, Ihr Profilfoto, Ihre Überschrift und Ihre E-Mail-Adresse. Es verwendet LinkedIn, um zu überprüfen, ob Sie sind, wer Sie sagen, dass Sie sind, was Sie davor bewahrt, ein weiteres Passwort zu erfinden. Der Kompromiss ist, dass diese dritte Partei jetzt eine ständige Beziehung zu Ihrer LinkedIn-Identität hat, und oft ein Token, mit dem sie Sie bei jeder Rückkehr erneut überprüfen kann.

Daten- und Aktionsberechtigungen. Das ist die tiefere Kategorie. Einige Apps bestätigen nicht nur, wer Sie sind; Sie bitten darum, Ihre Verbindungen zu lesen, Ihre Aktivitäten zu sehen oder Inhalte in Ihrem Namen zu posten. Ein Social Media-Scheduler benötigt beispielsweise die Berechtigung, Updates für Ihr Profil oder Ihre Unternehmensseite zu veröffentlichen. Ein Recruiting-Tool könnte bitten, Ihr Netzwerk zu lesen. Diese Apps enthalten ein sogenanntes Access-Token, eine lange Zeichenfolge, die sich wie ein temporäres Passwort für bestimmte Aktionen verhält.

Das Entscheidende ist, dass Sie internalisieren: Eine vernetzte App benötigt kein Passwort, um weiter zu funktionieren. Das ist Design. Es funktioniert auf einem Token, also selbst wenn Sie Ihr LinkedIn-Passwort morgen ändern, summen die meisten verbundenen Apps unberührt weiter. Durch das Ändern Ihres Passworts wird der App-Zugriff nicht widerrufen. Dies überrascht fast alle, und genau deshalb verdient die Seite der verbundenen Apps Ihre Aufmerksamkeit.

Wie OAuth-Berechtigungen tatsächlich funktionieren (in einfachem Englisch)

Die Technologie hinter all dem heißt OAuth, und man muss kein Ingenieur sein, um die Idee zu verstehen, weil sie sich ordentlich auf etwas Physisches abbildet: eine Hotelschlüsselkarte.

Wenn Sie in ein Hotel einchecken, geben Sie der Rezeption keine Kopie Ihres Hausschlüssels. Sie geben dir eine Karte, die dein Zimmer öffnet, vielleicht den Pool, vielleicht das Fitnessstudio und sonst nichts. Es hört auf, an der Kasse zu arbeiten. Sie können eine neue bekommen, wenn Sie sie verlieren, und das Hotel kann sie sofort deaktivieren, ohne jede Sperre im Gebäude zu ändern.

OAuth funktioniert auf die gleiche Weise. Wenn Sie eine App verbinden, gibt LinkedIn dieser App eine Schlüsselkarte – technisch gesprochen einen Token – aus, der eine bestimmte, begrenzte Reihe von Berechtigungen, genannt Scopes, gewährt. Die Karte einer App kann beispielsweise nur die Berechtigung zur Lesung Ihres Grundprofiles öffnen. Die Karte einer anderen App kann hingegen die Berechtigungen „Lesen Ihres Profils“, „Sehen Ihrer E-Mail“ und „Posten im Namen von Ihnen“ bieten. Die App sieht Ihr eigentliches Passwort nie. Sie können die Karte jederzeit deaktivieren, ohne etwas anderes zu beeinträchtigen.

Dies ist wirklich gutes Sicherheitsdesign, und deshalb hat OAuth die schlechten alten Zeiten gewonnen, als Apps nach Ihrem tatsächlichen Benutzernamen und Passwort gefragt haben. Aber das Modell schützt Sie nur, wenn Sie zwei Dinge darüber verstehen.

Erstens werden die bereiche von der app angefordert, nicht von ihnen ausgewählt. Wenn Sie auf den Bildschirm “Zulassen” klicken, hat die App bereits entschieden, was sie will. Ihre einzige wirkliche Wahl ist ja oder nein zum gesamten Bundle. Der Berechtigungsbildschirm ist also der wichtigste Moment in der gesamten Beziehung, und es ist derjenige, den jeder am schnellsten durchklickt. Wir werden darauf zurückkommen, wie wir genau in diesem Moment langsamer werden können.

Zweitens bleiben Token bestehen. Diese Schlüsselkarte läuft nicht ab, wenn Sie den Tab schließen oder sogar wenn Sie Ihr Passwort ändern. Es funktioniert weiter, bis die app es entweder nicht mehr verwendet oder sie es aktiv widerrufen. Eine App, die Sie vor fünf Jahren vergessen haben, enthält möglicherweise noch ein gültiges, funktionierendes Token für Ihre berufliche Identität.

Warum das bei LinkedIn wichtiger ist als fast überall sonst

Denken Sie darüber nach, was LinkedIn eigentlich ist. Es ist kein Ort für Urlaubsfotos. Es ist Ihr beruflicher Ruf, Ihr richtiger Name, der an Ihren echten Arbeitgeber gebunden ist, Ihr Netzwerk von Kollegen und Kunden und eine direkte Verbindung zu Menschen, die Einstellungs- und Kaufentscheidungen treffen. Ein kompromittierter LinkedIn-Account ist nicht peinlich in der Art und Weise, wie ein gehackter Meme-Account ist; es ist ein Live-Kanal für Schäden.

Hier ist das realistische Bedrohungsmodell. Eine app, die sie verbunden haben, wird verletzt oder verkauft oder wird einfach bösartig. Da es ein Posting-Token enthält, kann es plötzlich Spam- oder Betrugslinks von Ihrem Konto zu Ihrem gesamten Netzwerk vertrauenswürdiger Kontakte veröffentlichen. Diese Kontakte klicken, weil die Nachricht von Ihnen kam. Eine einzige abgestandene Verbindung wird zu einem Phishing-Megafon, das genau auf die Menschen abzielt, die Ihnen am meisten vertrauen.

Auch ohne verletzung, übererlaubte apps leise siphon daten. Eine App, die Zugriff auf Ihre Verbindungen und Aktivitäten angefordert hat, erstellt möglicherweise ein Profil Ihres beruflichen Netzwerks, Ihrer Interessen und Ihres Verhaltens und verpackt diese dann in einen Datensatz, für den Sie nie zugestimmt haben. Sie haben einmal auf “Zulassen” geklickt; die Datenerfassung läuft noch.

Nichts davon ist ein Grund, das Verbinden von Werkzeugen zu vermeiden. Vernetzte Apps sind, wie Sie echte Arbeit erledigen, von der Planung von Posts über die Ausführung von Analysen bis hin zur Verwaltung von Outreach. Das Ziel ist nicht Null Verbindungen. Das Ziel sind absichtliche Verbindungen und die Gewohnheit, diejenigen zu reinigen, die Sie nicht mehr verwenden.

So finden und überprüfen Sie Ihre LinkedIn Connected Apps

Lasst uns die Schublade öffnen und sehen, was drin ist. Ihre Liste der mit LinkedIn verbundenen Apps befindet sich in Ihren Einstellungen, und der genaue Wortlaut der Menüpunkte verschiebt sich im Laufe der Zeit, konzentrieren Sie sich also auf die Konzepte, anstatt sich einen Klickpfad zu merken.

Schritt eins: Öffnen Sie Ihre Einstellungen und Privatsphäre. Klicken Sie auf Ihr Profilfoto in der oberen Navigation und wählen Sie dann Einstellungen und Privatsphäre aus der Dropdown-Liste. Auf dem Handy, tippen Sie auf Ihr Foto und suchen Sie nach der Einstellung Ausrüstung.

Schritt zwei: Finden Sie den Abschnitt Datenschutz. Im linken Menü sehen Sie Kategorien wie Kontoeinstellungen, Anmelden & Sicherheit, Sichtbarkeit und Datenschutz. Die verbindungen, die sie auditieren, leben unter ein paar verwandten Überschriften. Schauen Sie sich an Datenschutz für einen Eintrag gemäß “Erlaubte Dienste” oder “Andere Anwendungen” und unter Anmelden & Sicherheit Für alles über Apps und Geräte. LinkedIn teilt diese auf, weil es zwischen Apps unterscheidet, die Sie verwenden LinkedIn um sich bei Apps anzumelden, die Ihnen einen tieferen Zugriff gewährt haben.

Schritt drei: Lesen Sie die Liste langsam. Hier eilen die meisten Menschen und lernen nichts. Gehen Sie App für App und stellen Sie drei Fragen zu jeder:

• Erkenne ich das? Wenn ein Name nichts für dich bedeutet, ist das eine Flagge. Es könnte ein altes Tool oder ein Dienst sein, der unter dem Namen einer Muttergesellschaft weiß gekennzeichnet ist, aber unerkannter Zugriff ist ein Zugriff, über den Sie nicht streiten können.
• Benutzte ich es noch? Seien Sie ehrlich. Das Planungstool, das Sie vor zwei Jahren für eine Woche ausprobiert haben, benötigt keinen dauerhaften Zugriff auf Ihr Konto.
• Was kann sie tun? LinkedIn zeigt Ihnen die Berechtigungen, die jede App besitzt. Beachten Sie den Unterschied zwischen einer App, die nur Ihr Basisprofil kennt, und einer, die in Ihrem Namen posten oder Ihr Netzwerk lesen kann. Die Posting- und Leseberechtigungen sind diejenigen, die eine Überprüfung verdienen.

Während Sie gehen, halten Sie eine einfache mentale (oder geschriebene) Art: behalten, entfernen und untersuchen. Alles, was Sie nicht erkennen oder nicht verwenden, wird entfernt. Alles mit schweren Berechtigungen, über die Sie sich nicht sicher sind, wird untersucht, bevor Sie sich entscheiden.

Wie man den Zugang sicher entfernt

Das Entfernen des Zugriffs auf eine App ist erfrischend einfach und es ist das digitale Äquivalent zur Deaktivierung dieser Hotelschlüsselkarte. Auf jeder app in der liste gibt ihnen linkedin eine option entfernen oder widerrufen. Klicken Sie darauf, bestätigen Sie, und das Token stirbt. Die App kann Ihre Daten nicht mehr lesen oder in Ihrem Namen posten, mit sofortiger Wirkung.

Ein paar dinge, die es wert sind, zu wissen, bevor sie auf einen entzugsspree gehen.

Durch das Widerrufen werden keine Daten gelöscht, die die App bereits gesammelt hat. Das Abschneiden des zukünftigen Zugangs ist wichtig, aber es reicht nicht rückwärts. Eine app, die bereits ihre verbindungsliste gezogen hat, hat diese kopie immer noch. Wenn Sie sich Sorgen um Daten machen, die eine App gesammelt hat, ist der Widerruf des Zugriffs Schritt eins; Schritt zwei geht direkt zu dieser App und fordert die Löschung Ihrer Daten, die viele Dienste gesetzlich verpflichtet sind, zu ehren.

Trotzdem, immer zuerst widerrufen. Den laufenden Strom neuer Daten zu reduzieren, ist am wichtigsten.

Das Widerrufen einer Anmeldeverbindung kann Sie von diesem anderen Dienst ausschließen. Wenn Sie “Mit LinkedIn anmelden” als einzigen Weg zu einer anderen Website verwendet haben, können Sie sich durch das Entfernen der Verbindung nicht dort anmelden. Bevor Sie einen reinen Anmeldelink widerrufen, stellen Sie sicher, dass Sie sich entweder nicht mehr um dieses Konto kümmern oder zuerst eine alternative Anmeldung wie eine E-Mail-Passwort-Kombination für diesen Dienst eingerichtet haben.

Im Zweifelsfall entfernen Sie es. Das erneute Autorisieren einer App, die Sie tatsächlich benötigen, dauert etwa dreißig Sekunden; Sie melden sich einfach erneut an und klicken auf Erlauben. Das ist ein viel geringerer Preis als eine vergessene Tür jahrelang unverschlossen zu lassen. Lehnen Sie sich in Richtung Entfernung, weil der Nachteil, etwas zu entfernen, das Sie brauchen, trivial ist und der Nachteil, etwas gefährlich zu halten, nicht ist.

Wie man neue Tools verbindet, ohne es zu bereuen

Nun die andere Seite der Medaille. Sie werden apps verbinden, und sie sollten. Legitime Tools machen Sie dramatisch effektiver. Die Fähigkeit verbindet sie absichtlich. Hier ist eine Checkliste für diesen kritischen “Allow” -Moment.

Lesen Sie den Berechtigungsbildschirm. Das ist das ganze Ballspiel. Bevor Sie auf Erlauben klicken, lesen Sie, wonach die App verlangt. Ein LinkedIn-Planungstool, das Sie auffordert, in Ihrem Namen zu posten, ist sinnvoll. Das gleiche tool, das sie auffordert, ihre vollständige verbindungsliste und ihre privaten nachrichten zu lesen, sollte sie innehalten und sich fragen, warum es das braucht, um einen post zu planen. Wenn die Berechtigungen breiter sind als der angegebene Zweck der App, ist diese Abweichung Ihr Warnzeichen.

Vet das Tool, bevor Sie verbinden, nicht danach. Nehmen sie sich dreißig sekunden zeit, um zu bestätigen, dass die app echt und seriös ist. Ist es ein bekanntes Unternehmen? Hat es eine echte Website, eine auffindbare Datenschutzerklärung und eine Supportpräsenz? Gibt es Bewertungen von tatsächlichen Nutzern? Ein Tool, das Ihre professionelle Identität verwaltet, sollte eine höhere Leiste als ein zufälliges Spiel, das Sie mit einem Wurfkonto verknüpfen würden, löschen.

Bevorzugt Tools, die ihre Berechtigungen erklären. Die am besten entwickelten Tools sagen Ihnen im Klartext genau, warum sie jede Berechtigung benötigen, bevor Sie auf den LinkedIn-Autorisierungsbildschirm klicken. Diese Transparenz ist an sich ein Qualitätssignal. Ein Werkzeug, das sich darüber im Klaren ist, worauf es zugreift, sagt Ihnen etwas.

Verbinden Sie sich von der Quelle, nicht von einem Link. Starten Sie die Verbindung aus dem Tool, das Sie absichtlich einrichten, oder von LinkedIn selbst, niemals von einem Link in einer unerwarteten E-Mail oder Nachricht. Eine gefälschte “Reconnect your LinkedIn”-Eingabeaufforderung ist ein klassischer Phishing-Schritt. Wenn Sie eine out-of-the-blaue Anforderung erhalten, eine App erneut zu autorisieren, klicken Sie nicht darauf; Gehen Sie direkt zu dieser App und initiieren Sie die Verbindung selbst.

Diese Art von bewusster Verbindung ist genau das, was eine gute Planungssystematik ausmachen sollte. Wenn Sie eine Social-Media-Management-Plattform mit LinkedIn verbinden, gewähren Sie ihr Zugang zur Veröffentlichung von Inhalten auf Ihrem Kalender und zum Analysieren der Ergebnisse. Das ist ein fairer und verständlicher Austausch im Austausch gegen die Zeit, die Sie sparen. Wenn Sie einen echten Veröffentlichungsprozess aufbauen, führt unsere Anleitung zu wie man Social-Media-Posts planen kann Sie durch den sicheren Ablauf auf allen Netzwerken. Die Verwendung eines Social-Media-Kalender-Templates sorgt dafür, dass die gesamte Operation geordnet bleibt – und nicht chaotisch.

Best Practices für Datenschutz, die über die App-Liste hinausgehen

Auditing Ihrer LinkedIn verbundenen Apps ist die Überschrift, aber ein paar umliegende Gewohnheiten machen das Ganze viel langlebiger.

Zwei-Faktor-Authentifizierung aktivieren. Dies ist der einzige höchstverschuldete Sicherheitsschritt auf jedem Konto. Wenn zwei faktor eingeschaltet sind, kann sogar jemand, der ihr passwort stiehlt, nicht ohne den zweiten code einsteigen. Es wird eine vernetzte Schurken-App nicht stoppen, aber es schlägt die Haustür zu dem häufigeren Angriff: ein gestohlenes oder wiederverwendetes Passwort. Tun Sie dies heute, wenn Sie es nicht getan haben.

Audit nach einem Zeitplan, nicht nach einem Schrecken. Die meisten Menschen überprüfen ihre verbundenen Apps erst, nachdem sie eine Schlagzeile über einen Verstoß gelesen haben. Flip That. Setzen Sie eine wiederkehrende Erinnerung in Ihren Kalender, vierteljährlich ist für die meisten Leute genug, um die Liste zu öffnen und die Keep-Remove-Untersuchungsart auszuführen. Fünfzehn Minuten, viermal im Jahr, und Ihre berufliche Identität bleibt sauber.

Berechtigungen zur tatsächlichen Nutzung abgleichen. Das Prinzip, das Sicherheitsleute “geringstes Privileg” nennen, ist nur der gesunde Menschenverstand: Eine App sollte den minimalen Zugriff haben, den sie für ihre Arbeit benötigt, und nichts weiter. Wenn ein Tool nur Ihr Basisprofil kennen muss, sollte es keine Buchungsrechte haben. Wenn Sie die von einer App angeforderten Bereiche nicht kontrollieren können, können Sie zumindest diejenigen ablehnen, die übergreifen, indem Sie die Verbindung ablehnen.

Achten Sie auf die Anzeichen einer kompromittierten Verbindung. Posts, die Sie nicht geschrieben haben, Verbindungsanforderungen, die Sie nicht gesendet haben, Nachrichten, die unter Ihrem Namen veröffentlicht werden, Profiländerungen, die Sie nicht vorgenommen haben. Jede davon bedeutet, dass eine app oder sitzung abtrünnig geworden ist. Wenn Sie sie sehen, widerrufen Sie alles, was Sie nicht unbedingt benötigen, ändern Sie Ihr Passwort, bestätigen Sie, dass Zwei-Faktor aktiviert ist, und überprüfen Sie Ihre aktiven Sitzungen unter Anmelden und Sicherheit, um jedes Gerät abzumelden, das Sie nicht erkennen.

Separate persönliche Experimente von Ihrer Hauptidentität. Wenn Sie es lieben, neue Werkzeuge auszuprobieren, sollten Sie sich bewusst sein, dass jede Testversion ein neuer Schlüssel ist. Es ist nichts falsch mit dem Experimentieren; Denken Sie daran, den Zugang zu widerrufen, wenn die Studie endet, genauso wie Sie einen Mietwagen zurückgeben würden, anstatt ihn auf unbestimmte Zeit in Ihrer Einfahrt zu halten.

Ihre fünfzehnminütigen verbundenen Apps-Audit, beginnen Sie zu beenden

Lasst uns es in eine Routine einbinden, die ihr tatsächlich ausführen könnt. Hier ist die ganze Sache als Workflow, den Sie in dem Moment tun könnten, in dem Sie mit dem Lesen fertig sind.

Öffne die Liste. Gehen Sie zu Einstellungen & Datenschutz, dann zu Datenschutz und Anmelden & Sicherheit, und rufen Sie sowohl Ihre zulässigen Dienste als auch Ihre Anmeldeverbindungen auf.

Sortieren Sie jede App. Halten, entfernen oder untersuchen Sie, indem Sie die drei Fragen verwenden: Erkenne ich es? Benutzte ich es? Was kann sie tun? Sei rücksichtslos mit allem, was nicht erkannt oder nicht verwendet wird.

Entfernt die Löschungen. Klicken Sie sich durch und schneiden Sie den Zugriff auf alles in Ihrem Entfernungsstapel. Für reine Anmeldeverbindungen, bestätigen Sie, dass Sie zuerst einen anderen Weg in diesen Dienst haben.

Untersuchen Sie die Vielleichts. Für stark autorisierte Apps, über die Sie sich nicht sicher sind, schauen Sie sich das Unternehmen an, finden Sie seine Datenschutzrichtlinie und entscheiden Sie. Wenn Sie wirklich zerrissen sind, entfernen und fügen Sie sie bei Bedarf später erneut hinzu.

Verschließe die Türen hinter dir. Bestätigen Sie, dass die Zwei-Faktor-Authentifizierung aktiviert ist, überprüfen Sie Ihre aktiven Sitzungen und melden Sie alles Unbekannte an.

Setzen Sie die wiederkehrende Erinnerung. Setzen Sie eine vierteljährliche Prüfung in Ihren Kalender, so dass dies nie wieder zu einer Panik im Blauen Mond wird.

Das ist es. Sie wissen jetzt genau, was Ihr LinkedIn-Konto beeinflussen kann, warum das so ist und wie Sie das ändern können. Für eine umfassende Betreuung einer sicheren, stressfreien Social-Media-Präsenz bieten unsere Social-Media-Management-Tipps eine umfassende Routine.

Die verbundene Apps-Seite wird nie der aufregendste Bildschirm auf LinkedIn sein. Aber es könnte das wichtigste sein, das du nicht angeschaut hast. Fünfzehn Minuten kaufen Ihnen jetzt eine professionelle Identität, die Ihnen gehört, nur mit den Werkzeugen verbunden, die Sie tatsächlich gewählt haben. Das ist ein Handel wert, in diesem Quartal und jeder danach.