Dieses Projekt wurde am 31.12.2024 beendet. Der Beitrag ist auf dem Stand des letzten Update-Datums und wird nicht mehr aktualisiert oder überprüft.
News vom 22.11.2018

Millionen SMS im Klartext zugänglich

Ein Artikel von Stefan Mey, veröffentlicht am 22.11.2018

Über eine ungesicherte Datenbank waren mehrere Millionen SMS eines US-Anbieters öffentlich zugänglich – und im Klartext lesbar. Anders als viele Messenger-Texte sind SMS nicht Ende-zu-Ende-verschlüsselt. Deswegen sind SMS ein riskanter Kanal, um zum Beispiel Codes für die Zwei-Faktor-Authentifizierung zu versenden.

Der Berliner Sicherheitsforscher Sébastien Kaul ist auf eine ungeschützte Datenbank mit mehr als 26 Millionen SMS von Kunden des SMS-Dienstleisters Voxox gestoßen. Die SMS ließen sich nach Namen und Telefonnummern durchsuchen und die Inhalte lagen im Klartext vor.

Wie der Forscher rekonstruieren konnte, landeten die SMS beinahe in Echtzeit in der Datenbank. Das US-Unternehmen Voxox verschickt nach Firmenangaben SMS in 180 Länder.

Das US-Magazin TechCrunch, das die Geschichte aufgegriffen hatte, fand in einer nur flüchtigen Recherche auch verschiedene sicherheitsrelevante SMS-Inhalte, etwa:

  • ein Passwort, das der beliebte Datingdiest Badoo verschickt hatte
  • eine Lieferbenachrichtigung von Amazon
  • verschiedene Codes, die im Rahmen einer Zwei-Faktor-Authentifizierung für Google-Accounts verschickt wurden

Mit diesen Informationen hätten Angreifer beispielsweise Nutzerprofile einsehen und sie im schlimmsten Fall kapern können.

Das Unternehmen Voxox hat das Problem gegenüber dem IT-Portal Heise online eingeräumt:

Die Sicherheitslücke hätte es Unbekannten erlaubt, Zugriff auf SMS-Nachrichten zu bekommen, die von oder an unser Netzwerk geschickt wurden ….

Man habe die Lücke aber innerhalb weniger Minuten nach Bekanntwerden geschlossen. Zudem sei man „ zuversichtlich, dass keine Daten von einem böswilligen Dritten gesehen oder heruntergeladen wurden".

Fehlende Verschlüsselung bei SMS

Der Fall zeigt eine bekannte Schwäche von SMS auf: Sie sind standardmäßig nicht Ende-zu-Ende-verschlüsselt. Somit können Telekommunikationsunternehmen sie im Klartext einsehen - und das gilt auch für unbefugte Dritte, wenn diese über gezielte Hacks oder über ungesicherte Systeme an die Daten kommen.

Bei den meisten großen Messenger-Apps hingegen sind alle Nachrichten Ende-zu-Ende verschlüsselt. Das heißt: das Smartphone des Absenders verschlüsselt eine Nachricht, und nur das Gerät des legitimen Empfängers kann sie entschlüsseln. Auf der Datenbank des jeweiligen Messenger-Anbieters landet somit nur unverständlicher Zeichensalat.

Zwei-Faktor-Authentifizierung per App statt SMS

Für Zwei-Faktor-Authentifizierung (2FA) ist SMS deswegen ein potenziell riskanter Kanal. Dennoch gehört dieser Weg zur Standardoption bei vielen Onlinediensten. Als Nutzerin oder Nutzer können Sie beispielsweise festlegen, dass Sie für ein Login in Ihr Google-, Apple- oder Facebook-Konto nicht nur das Passwort in den Browser eingeben müssen. Sie müssen als zusätzlichen Schritt einen Code eingeben, den Sie auf Ihr Smartphone erhalten. Oft geschieht das per SMS.

Immer öfter bieten Onlinedienste aber auch andere, besser geschützte Kanäle zur Authentifizierung an, etwa externe Apps wie „Google Authenticator“ oder „Duo Mobile“.

Weitere Artikel

Hintergrund 

Frankreich und iFixit: Schulnoten für die Reparierbarkeit

In Frankreich gibt es für alle Handys eine Note für die Reparierbarkeit. Wir finden: Das ist eine super Sache. Was ist der Unterschied zu iFixit?

Mehr
YouTube-Video 

Werbung blockieren auf dem Handy

Werbung nervt nicht nur, sie ist auch mies für eure Privatsphäre. Mit diesem Trick blockiert ihr Werbung und Tracking in vielen Apps.

Ansehen
YouTube-Video 

iOS-Datenschutz: Wie ehrlich sind App-Anbieter?

Im iOS-Store müssen App-Anbieter seit einem halben Jahr eintragen, welche Daten ihre Apps verarbeiten. Aber wie gut funktioniert die neue Funktion „App-Datenschutz“ auf dem iPhone? Wir haben uns das Feature genau angeschaut und bei 25 Apps die Angaben für Sie gegengecheckt.

Ansehen
Ratgeber 

SIM-Swapping: Identitätsklau per SIM-Karte

Beim sogenannten „SIM-Swapping“ handelt es sich um eine Betrugsmasche, bei der ein*e Angreifer*in versucht, Zugriff auf die Telefonnummer des Opfers zu erlangen. Die Masche ist seit Jahren bekannt – der Schaden liegt dennoch in Millionenhöhe.

Mehr