Die Daten-Virologin

Martina Lindorfer: Smartphones per se nicht, wobei man schon aufpassen muss, was auf dem Handy vom Hersteller oder Verkäufer vorinstalliert wurde. Mein Team und ich nehmen Android Apps aus dem Google Play Store und anderen Quellen unter die Lupe und entwickeln Methoden, um zu überprüfen, welche Daten sie sammeln. Unser Ziel ist, Schadsoftware und Apps zu finden, die uns ausspionieren und unbemerkt Daten klauen.

Teilweise, ja. Im Zuge eines Forschungsprojektes, in dem wir vergangenes Jahr vermeintliche Abhörtätigkeiten von Facebook untersuchen wollten, haben wir Apps gefunden, die permanent Screenshots machen, während wir auf unseren Smartphones interagieren.

Ja. 

An ein „Qualitätssicherungsservice“, das die Funktionalität offiziell zur Verbesserung der Apps zur Verfügung stellt: eine Art Bibliothek, die in Apps eingebettet ist und die App-Betreiberinnen zukaufen. Der Betreiber, um den es damals ging, wusste gar nichts von diesen Screenshots. Er hat diese Bibliothek von einer Firma erworben, in dem Glauben, die App funktioniere dadurch besser. Die Screenshots gingen dann leider an dieses Subunternehmen.

Ja.

Virenschutz auf einem Android-Gerät bringt kaum etwas. Erst neulich wurde bekannt, dass der Betreiber einer Antivirensoftware seine Nutzerinnen ausspioniert und deren Daten verkauft hat. Abgesehen davon hat man bei der Programmherstellung für Smartphones nicht so viele Möglichkeiten: Das Antivirenprogramm ist auch nur eine App mit denselben Privilegien wie bei jeder andere auf dem mobilen Endgerät. Sie kann quasi mitteilen, ob man eine potenziell bösartige App installiert hat, aber sie kann Apps, die Daten mit Dritten teilen, nicht von vornherein abwehren.

Da gab es einige Fälle: Pinterest etwa hatte ein Problem beim Fehler-Reporting und hat Userinnen-Passwörter versehentlich an externe Server weitergegeben, die diese Passwörter wiederum gespeichert haben. Auch Match.com hatte ein Problem mit Passwörtern in der mobilen Version. Ein Jahr zuvor gab es das gleiche Problem auf der Website. Am meisten schockiert mich aber, dass die Betreiberinnen einfach nicht dazulernen.

Ich glaube nicht, dass Apps mithören – sie würden es jedoch gerne. Die Spracherkennung steckt noch in den Kinderschuhen, und man kann Gesagtes noch gar nicht so gut auswerten. Vielleicht haben Sie das ja mitbekommen: Vor einiger Zeit wurde bekannt, dass sämtliche Sprachassistentinnen die Aufnahmen an Amazon oder Google schicken und dort dann wirklich Menschen sitzen, die auswerten, wie gut die Spracherkennung funktioniert.

... zumindest nicht im großen Stil, wie man es vermuten würde.

Ich kann mir schon vorstellen, dass man da paranoid wird, aber vermutlich haben Sie online etwas gesucht, das damit in Verbindung steht ...

Sie haben möglicherweise „Urlaub“ oder das Wetter gegoogelt oder Seiten gelikt, die anderweitig darauf schließen lassen, dass Sie vielleicht bald in den Urlaub fahren – was wiederum indiziert, dass Sie möglicherweise einen neuen Badeanzug kaufen möchten. Uns ist meist gar nicht bewusst, wie viele Daten wir täglich beim Verwenden von Smartphone und Co. preisgeben. Hinter so vielen Diensten arbeiten Algorithmen, die Daten von Milliarden Leuten generieren, aus denen sie ein sehr genaues Bild von uns und unserem Leben bauen können.

Das ist ein super Experiment! Dazu könnte man auch wunderbar forschen. Welches Wort verwenden wir?

Schwierig – da könnte man auch sagen, das Handy schlägt Ihnen das nur vor, weil der Wetterbericht Regen vorhersagt. Aber versuchen wir’s: Ich habe überlegt, ob ich heute Gummistiefel anziehe.

Ich hätte bitte gerne transparente Gummistiefel.

... vielleicht gibt es bei Amazon schöne Gummistiefel!?

Ich mache es leider. Gruppenzwang. Obwohl es tatsächlich so unsicher ist, wie man hört. Am liebsten sind mir ja die Leute, die sagen, dass sie nicht auf Facebook sind, weil es so böse ist. WhatsApp benutzen sie dann aber!

Leider ja. Technik wird von den vier großen dort ansässigen Firmen – Google, Apple, Facebook und Amazon – dominiert. Gerade Amazon stellt Unmengen an Infrastruktur, Cloud-Servern und Services für andere Dienste zur Verfügung. Im Endeffekt können diese vier machen, was sie wollen. Wenn es dann mal kleinere Player auf dem Markt gibt, werden jene sofort von den Riesen aufgekauft.

Internationale Kooperation ist generell sehr schwierig – gerade in diesem Bereich. Man muss nur an Trump denken: Wie will man den Trumps dieser Welt klarmachen, dass Datenschutz wichtig ist? Uns allen ist zu wenig bewusst, wie viel Macht gewisse Unternehmen haben.

Ich benutze – leider – Amazon und Netflix. Aber ich versuche generell, wenige Apps zu installieren und mache nicht jeden Blödsinn mit. Diesen Trend mit den Face-Apps, die Gesichter älter machen, habe ich zum Beispiel ausgelassen. Es hat sich herausgestellt, dass diese eine App die Fotos von den Gesichtern auf einem externen Server in Russland bearbeitet und nicht lokal auf dem Handy. Wir haben auch andere Apps gefunden, die solche Daten wiederum in China bearbeiten. Wenn man jetzt paranoid ist, könnte man sagen, dass Russland und China eine riesige Datenbank mit Gesichtern aufbauen.

Schwierig, denn der Begriff „Hacker" ist sehr vorbelastet. Da denkt man an einen missverstandenen jungen Mann, der im schwarzen Kapuzenpulli in einem finsteren Keller hockt und etwas Böses plant. Ich habe hingegen vor ein paar Jahren mit einem Team regelmäßig an Hacker-Wettbewerben teilgenommen. 2011 waren wir sogar in Las Vegas bei den Hacker-Weltmeisterschaften. Daher kommt diese Betitelung wahrscheinlich ...

Man bekommt ein System vorgesetzt, das Schwachstellen hat und Sicherheitslücken aufweist. Diese muss man finden, „fixen“ und bei dem System der Gegnerinnen ausnutzen. Man arbeitet in einem Team von acht bis zehn Leuten – de facto sind die Teams aber immer größer, weil niemand überprüfen kann, wie viele Leute außerhalb des Raumes noch daran beteiligt sind. Die russische Mannschaft ist beispielsweise mit 80 Leuten angereist. Die sind dann alle in Hotelzimmern gesessen und haben mitgearbeitet. Hackerinnen finden gewissermaßen immer irgendeinen Weg zu cheaten. 

Schon in den 80ern, in denen der Begriff seinen Ursprung hat, waren Hacker keine Bösewichte, sondern eher Leute, die total nerdy und geeky, rein aus Neugierde, wissen wollten, wie Dinge funktionieren und wie man Schranken umgehen kann. Heutzutage ist die Szene sehr vernetzt. Es findet praktisch wöchentlich irgendein Wettbewerb statt. Im Endeffekt ist alles ein großes Spiel. Man lernt dabei enorm viel über Datensicherheit, Security-Konzepte und wie man Schwachstellen ausnutzt und beseitigt. Wir gestalten auch unsere Übungskurse an der Uni auf diese Weise.

Hier hat sich in den vergangenen Jahren einiges verändert: Wenn man früher als Hackerin bei irgendwelchen Websites eine Schwachstelle gefunden und das den Betreiberinnen reportet hat, haben diese sofort mit Anwältinnen gedroht und die Tatsache, dass man eine Sicherheitslücke „erhackt“ hat, kriminalisiert. Heute gibt es sogenannte „Bug Bounties“. Viele Firmen rufen aktiv dazu auf, Sicherheitslücken in ihrem System aufzeigen. Wenn man Schwachstellen findet, wird man belohnt. 

Oh ja, ich erinnere mich an diesen Film. In unserem Team hatten wir damals ein Programm, das für jeden automatisch einen Nickname generierte. Meiner war „Trance Ace Clown.“

Wir Sicherheitsforscherinnen sind schon manchmal Ziel von Angriffen. Man sagt oft, unsere Laptops und Festplatten wären bei Sicherheitskonferenzen in den Hotelzimmern nicht sicher. Die kann man natürlich verschlüsseln, aber wenn eine Hackerin etwas hacken will, dann findet sie einen Weg. 

Eine Website offline zu bringen ist ganz einfach. Man kann etwa im Darknet Services kaufen, damit einer Website so viele Anfragen geschickt werden, dass sie überfordert ist. Also ja, ich könnte Eure Website lahmlegen, theoretisch.

Da fällt mir gerade nichts ein. Was würden Sie gerne lahmlegen?

... ah, die waren mal lustig! Ich habe eine Professur an der TU-Wien, die nur für Frauen ausgeschrieben war. Unzensuriert.at hat die Ausschreibung gepostet und einen Artikel darüber geschrieben, wie unfair das sei. Die sind auch meine Lieblinge!

Ich glaube, dass wir gerade dabei sind, die Kontrolle über das Internet zu verlieren. Momentan haben wir noch die Illusion, dass wir sie behalten, aber im Endeffekt sind wir total machtlos gegenüber den großen Konzernen und dem, was mit unseren Daten gemacht wird. Wir glauben, dass Apps gratis sind, und wissen gar nicht, wie viel Geld eigentlich im Hintergrund mit unseren Daten gemacht wird. Fakt ist nun einmal, dass die großen Player Google und Co. gar kein Interesse daran haben, unsere Privatsphäre zu schützen. Sie liefern das Betriebssystem und die Suchmaschine, die alle nutzen, und sind die größten Werbetreiber. Sie alle profitieren von personalisierter Werbung. 

Die Frage ist eher: Was können wir an der Uni groß bewirken? Wir können maximal Teststudien, sogenannte Beta-Tests, mit einer kleinen Gruppe Probandinnen durchführen – unser Endprodukt ist ein Research-Paper, in dem wir Schwachstellen aufzeigen. Unsere Rolle ist es nun mal nicht, fixfertige Produkte auf den Markt zu bringen. Dafür haben wir weder die nötige Zeit noch die Ressourcen – die wir aber natürlich gerne hätten. Also falls das gerade jemand liest ...