Vorsicht: Apples Tracking-App „Wo ist“ ist unsicher

Die von Apple angebotene Tracking-App „Wo ist?“ soll es leichter machen, eigene Apple-Geräte zu finden, indem die verlorenen Geräte über Bluetooth geortet werden. Das funktioniert auch, wenn die Geräte offline oder in den Flugmodus geschaltet sind – aber natürlich nicht, wenn sie ganz ausgeschaltet wurden.

Die App arbeitet verschlüsselt, sodass niemand die generierten Ortungs- und Identitätsdaten auslesen und zurückverfolgen können sollte, doch ganz so ist es dann doch nicht, wie das Forschungsteam des Secure Mobile Networking Lab der TU Darmstadt herausfand.

Die Forscher haben die Probleme im Paper „Who Can Find My Devices?“ aufgezeigt, welches auf der internationalen Konferenz für Datenschutztechnologien „PETS − Privacy Enhancing Technologies Symposium“ präsentiert werden soll.

Malware erlaubt Zugriff auf die Aufenthaltsdaten

Der Angriff funktioniert so: Mit einer Malware unter macOS werden unbemerkt Ortungsdaten aller Apple-Geräte der Nutzer:innen abgegriffen – und so die oft besuchte Orte zu identifizieren – mit etwa zehn Meter Genauigkeit. So ließe sich beispielsweise Wohnung und Arbeitsplatz einer Person recherchieren. Dazu muss natürlich erst einmal die Malware auf den Mac kommen – aber wie die Vergangenheit zeigt, ist auch der Mac davor nicht gewahrt und Nutzer:innen lassen sich mitunter durch Social Engineering auch dazu verleiten, Software zu installieren.

Die Forscher haben die Schwachstelle an Apple gemeldet und Lösungen vorgeschlagen. Mit dem Update auf macOS 10.15.7 wurde die Lücke im September 2020 behoben.

Wer nun glaubt, dass die Gefahr vollständig gebannt ist, der irrt. Auch ohne Malware auf dem Rechner können Rückschlüsse auf Besitzer:innen von Geräten gezogen werden: Wenn sich zwei oder mehr Nutzer:innen in der Nähe aufhalten und die Wo-Ist-App aufrufen, gibt es eine weitere Situation, in der Nutzer:innen theoretisch geortet werden können.

Lesetipp

„Wo ist?“: Diese Funktionen bietet Apples neue Such-App

Noch bevor Apple die „Wo ist?“-App auf der WWDC vorstellte, gab es zahlreiche Leaks um die neue App, die sowohl „Freunde“ als auch... mehr

In einem Versuch wurden iPhones in den Flugmodus geschaltet, um eine Ortung über das Mobilfunknetz auszuschließen. Die Endgeräte werden weiterhin über „Wo ist?“ gemeldet, wodurch Apple über die Daten in der iCloud im Nachhinein dennoch die Nähe der Endgeräte feststellen könnte. Apple behauptet nach Angaben der Forscher:innen, dass diese Daten nicht gespeichert werden, die Begegnungen könnten theoretisch jedoch zentral protokolliert werden, geben die Forscher:innen zu bedenken.

„Wir haben mehr als ein Jahr gebraucht, um die einzelnen Komponenten von „Wo ist?“ so zu verstehen, dass wir nach Schwachstellen suchen konnten“, erklärte Milan Stute, Mitglied des Forscherteams.

Die schwere Nachvollziehbarkeit der genauen Funktionsweise der App habe auch dazu geführt, dass Apple-Anwender:innen bzw. deren Daten mehr als ein Jahr über die beschriebene Schwachstelle potentiell angreifbar waren, beklagen die Forscher:innen.

Wie verhältst du dich nun?

Wie siehst du das? Handelt Apple hier unverantwortlich, weil es die Funktionsweise dieser App nicht ausreichend dokumentiert? Wirst du die Wo-ist-Funktion in den iCloud-Einstellungen nun nicht mehr aktivieren?