Google Home und Amazon Echo als Wanzen: Verzichtet Apple deshalb auf Skills?

„Ich hole mir doch kein Mikrofon ins Haus, mit dem ich abgehört werden kann.“ Solche Aussagen hört man immer wieder im Zusammenhang mit Sprachassistenten und Smart Speaker wie dem Google Home Mini, Amazon Echo oder Apples HomePod. Letzterer scheint allerdings im Vergleich zu den anderen beiden deutlich sicherer zu sein, da er weder über Actions noch Skills verfügt, die von Drittanbietern ausgenutzt werden können. 

Wie Sicherheitsforscher der Berliner Security Research Labs zeigen (via Spiegel), lassen sich die Drittanbieter-Erweiterungen mit wenig Aufwand zu Abhörgeräten umprogrammieren. Dazu erstellten sie für Alexa einen Horoskop-Skill, der zunächst seine beschriebene Aufgabe erfüllte und damit problemlos durch Amazons Kontrolle lief. Nach der Freigabe veränderte man schließlich den Code des Skills, sodass dieser zunächst das Beenden des selbigen vorspielt und dann auf vorher festgelegte Aktivierungswörter wartet, um Ihre Gespräche aufzunehmen.

Lesetipp

Apple Watch: Das sollten Sie zur Mobilfunkvariante wissen

Während die Apple Watch Series 2 zunächst das GPS-Modul für genaueres Tracking einführte, erhielt Apples smarte Uhr im Folgejahr sogar eine... mehr

Für den Google Assistant erstellten die Forscher hingegen eine Action, Googles Skill-Pendant, die auf Zuruf eine Zufallszahl generiert. Hier ging man vor wie bei Amazon und veränderte nach der Freigabe den Code. Anders als bei Alexa hört der Google Assistant nicht auf bestimmte Aktivierungswörter, sondern zeichnet stetig auf, sobald jemand spricht und sendet die Daten an die Server der Forscher. 

Mittlerweile entfernen die beiden Unternehmen die Erweiterungen und gaben an, dass man die Erkennung solcher schadhaften Anwendungen verbessern möchte und man entsprechende Maßnahmen ergreifen werde, um diese gar nicht erst aufkommen zu lassen. 

Der Leiter der Berliner Security Research Labs, Karsten Nohl, gibt zusätzlich an, dass Nutzer deutlich aufmerksamer sein sollten, wenn Sie Skills von Drittanbietern verwenden. Bei Amazons Smart Speakern wird beispielsweise das Zuhören durch den leuchtenden LED-Ring signalisiert, sodass es eine optische Erkennung gibt. Diese erlaubt den Nutzer schnell zu überprüfen, ob das Gerät mithört oder nicht. Anders als bei echten Hacks können Entwickler das LED-Signal nicht deaktivieren.