News vom 22.11.2018

Millionen SMS im Klartext zugänglich

Ein Artikel von , veröffentlicht am 22.11.2018

Über eine ungesicherte Datenbank waren mehrere Millionen SMS eines US-Anbieters öffentlich zugänglich – und im Klartext lesbar. Anders als viele Messenger-Texte sind SMS nicht Ende-zu-Ende-verschlüsselt. Deswegen sind SMS ein riskanter Kanal, um zum Beispiel Codes für die Zwei-Faktor-Authentifizierung zu versenden.

Der Berliner Sicherheitsforscher Sébastien Kaul ist auf eine ungeschützte Datenbank mit mehr als 26 Millionen SMS von Kunden des SMS-Dienstleisters Voxox gestoßen. Die SMS ließen sich nach Namen und Telefonnummern durchsuchen und die Inhalte lagen im Klartext vor.

Wie der Forscher rekonstruieren konnte, landeten die SMS beinahe in Echtzeit in der Datenbank. Das US-Unternehmen Voxox verschickt nach Firmenangaben SMS in 180 Länder.

Das US-Magazin TechCrunch, das die Geschichte aufgegriffen hatte, fand in einer nur flüchtigen Recherche auch verschiedene sicherheitsrelevante SMS-Inhalte, etwa:

  • ein Passwort, das der beliebte Datingdiest Badoo verschickt hatte
  • eine Lieferbenachrichtigung von Amazon
  • verschiedene Codes, die im Rahmen einer Zwei-Faktor-Authentifizierung für Google-Accounts verschickt wurden

Mit diesen Informationen hätten Angreifer beispielsweise Nutzerprofile einsehen und sie im schlimmsten Fall kapern können.

Das Unternehmen Voxox hat das Problem gegenüber dem IT-Portal Heise online eingeräumt:

Die Sicherheitslücke hätte es Unbekannten erlaubt, Zugriff auf SMS-Nachrichten zu bekommen, die von oder an unser Netzwerk geschickt wurden ….

Man habe die Lücke aber innerhalb weniger Minuten nach Bekanntwerden geschlossen. Zudem sei man „ zuversichtlich, dass keine Daten von einem böswilligen Dritten gesehen oder heruntergeladen wurden".

Fehlende Verschlüsselung bei SMS

Der Fall zeigt eine bekannte Schwäche von SMS auf: Sie sind standardmäßig nicht Ende-zu-Ende-verschlüsselt. Somit können Telekommunikationsunternehmen sie im Klartext einsehen - und das gilt auch für unbefugte Dritte, wenn diese über gezielte Hacks oder über ungesicherte Systeme an die Daten kommen.

Bei den meisten großen Messenger-Apps hingegen sind alle Nachrichten Ende-zu-Ende verschlüsselt. Das heißt: das Smartphone des Absenders verschlüsselt eine Nachricht, und nur das Gerät des legitimen Empfängers kann sie entschlüsseln. Auf der Datenbank des jeweiligen Messenger-Anbieters landet somit nur unverständlicher Zeichensalat.

Zwei-Faktor-Authentifizierung per App statt SMS

Für Zwei-Faktor-Authentifizierung (2FA) ist SMS deswegen ein potenziell riskanter Kanal. Dennoch gehört dieser Weg zur Standardoption bei vielen Onlinediensten. Als Nutzerin oder Nutzer können Sie beispielsweise festlegen, dass Sie für ein Login in Ihr Google-, Apple- oder Facebook-Konto nicht nur das Passwort in den Browser eingeben müssen. Sie müssen als zusätzlichen Schritt einen Code eingeben, den Sie auf Ihr Smartphone erhalten. Oft geschieht das per SMS.

Immer öfter bieten Onlinedienste aber auch andere, besser geschützte Kanäle zur Authentifizierung an, etwa externe Apps wie „Google Authenticator“ oder „Duo Mobile“.

Weitere Artikel

Ratgeber 

Android One: Pures Android für aktuellere Geräte

Bei Android One passen Hersteller das Android-System nicht selbst für ihre Geräte an, sondern bekommen eine fertige Version von Android-Entwickler Google. Auch Handys und Tablets, die nicht von Google produziert werden, bekommen so schneller Updates. Das macht sie sicherer - und Google stärker.

Mehr
Checkliste 

Checkliste: Mobilgerät weg? So sorgen Sie vor

Mit diesen Vorkehrungen können Sie Ihr Smartphone absichern, für den Fall, dass es einmal verloren geht, oder gestohlen wird. Selbst wenn das Gerät verschwunden bleibt: Ihre Daten und Passwörter sind dann zumindest geschützt.

Mehr
YouTube-Video 

Tech-Wissen: Brauche ich einen Virenscanner?

Wer eine Anti-Viren-App für Android sucht, findet im Google Play-Store viel Auswahl. Doch wann sind sie überhaupt hilfreich? Und warum gibt es keine für iPhones? Im Video klären wir alle wichtigen Fragen rund um Sicherheits-Software fürs Smartphone.

Ansehen
Ratgeber 

Anleitung: App aus apk-Datei installieren (ab Android 8)

Üblicherweise kommen neue Apps per Google Play-Store oder über einen anderen App-Store auf das Smartphone. Manchmal ist es aber nötig, eine App manuell zu installieren. Wie das ab Android 8 (Oreo) funktioniert, zeigen wir hier.

Mehr