Bluetooth und Apps als Angriffspunkte
Fitness-Armbänder schützen Daten nur unzureichend
Die Sicherheitsexperten von AV-Test haben untersucht, wie gut Fitness-Armbänder die Daten ihrer Besitzer schützen. Das Ergebnis: Über Bluetooth oder manipulierte Apps kommt ein Angreifer eigentlich fast immer an sie heran.
Fitness-Daten könnten durchaus eine lohnende Beute sein, heißt es bei AV-Test, komme ihnen doch eine wachsende Bedeutung zu. In den USA würden Krankenversicherungen beispielsweise günstigere Tarife bieten, wenn die Nutzer eine gute Fitness nachweisen können. Warum also nicht die Daten eines anderen Nutzers einreichen, der fitter ist - genug Angriffspunkte gäbe es schließlich, so die Sicherheitsexperten.
Neun auf dem deutschen Markt erhältliche Tracker wurden im Labor von AV-Test unter die Lupe genommen. Sie alle geben auf die eine oder andere Weise Daten preis – und dies ohne dass »Sperren geknackt oder sonstige digitale Brecheisen genutzt« werden müssen, wie die Sicherheitsexperten anmerken. Das Abgreifen der Daten kann in der Regel über die Bluetooth-Verbindung oder über Apps erfolgen.
Die meisten Armbänder erlauben es nicht, Bluetooth zu deaktivieren; viele bleiben zudem sichtbar, selbst wenn sie mit einem Smartphone verbunden sind. Zudem reicht es oftmals, die Verbindung des Armbands mit einem Smartphone durch das Drücken von »OK« zu bestätigen. Doch selbst da, wo eine PIN erforderlich ist, ist diese bisweilen so einfach gewählt, dass geübte Angreifer sie schnell herausfinden.
Besonders einfach lässt sich AV-Test zufolge das »Fitbit Charge« die Daten abluchsen: »Es fragt nicht nach einer PIN oder anderen Authentifizierungen – es verbindet sich einfach und übergibt freiwillig alle seine Daten. Diese werden auch nicht verschlüsselt oder anderweitig geschützt«, schreiben die Experten. Ähnlich läuft es bei den Trackern von Jawbone und Huawei, welche die erfassten Daten einfach mit allen gepaarten Geräten teilen, auf denen die zugehörige App läuft. Eine Bestätigung, ob das gewünscht ist beziehungsweise ob es sich überhaupt um Smartphones des Armbandbesitzers handelt, wird nicht eingeholt.
- Fitness-Armbänder schützen Daten nur unzureichend
- Daten per App abgreifen
Lesen Sie mehr zum Thema
