Sicherheitslücke Apple- und Windows-Geräte lassen sich über Bluetooth verfolgen

dj

18.7.2019

Für Smartwatch und Kopfhörer wird heutzutage Bluetooth verwendet.
Für Smartwatch und Kopfhörer wird heutzutage Bluetooth verwendet.
iStock

Eine Sicherheitslücke bei Bluetooth könnte es ermöglichen, dass Windows- und Apple-Nutzer verfolgt werden.

Um Wearables wie Smartwatches oder Kopfhörer mit einem Smartphones zu verbinden wird heutzutage üblicherweise Bluetooth verwendet. Doch das Protokoll sendet ständig Signale in die Umgebung ab, die auch von anderen mitgehört werden können.

Die meisten Geräte geben bei aktivierten Bluetooth kontinuierlich ihre Präsenz mit einem so genannten «Advertising Packet» bekannt. Sie tun das, damit sie etwa von Bluetooth-Kopfhörer in der Umgebung gefunden werden können. Normalerweise wird die dafür genutzte MAC-Adresse allerdings ständig nach dem Zufallsprinzip erneuert, so dass es eigentlich nicht möglich sein sollte, ein individuelles Gerät über einen längeren Zeitraum zu verfolgen.

Nicht alles wird erneuert

Forscher der Boston University haben aber nun eine Methode entdeckt, mit der das trotzdem geht. Denn neben der Zufalls-MAC-Adresse senden die Geräte auch noch weitere Informationen aus, die nicht gleichzeitig erneuert werden. Angreifer, die sich in der Nähe der Geräte befinden, können hier Muster erkennen und so trotz neuer Adresse ein einzelnes Gerät weiter verfolgen.

Alle Windows 10-, macOS- und iOS-Geräte sollen für die Verfolgung anfällig sein, ohne dass eine Verschlüsselung geknackt werden müsste. Zur Verfolgung muss ein Angreifer aber kontinuierlich in der Bluetooth-Reichweite seines Ziels sein, so dass praktische Angriffe eher schwierig sind. Ein Abschalten von Bluetooth verhindert den Angriff komplett. Bei Android-Geräten besteht überhaupt keine Gefahr, da dieses Betriebssystem seine Bluetooth-Verfügbarkeit nicht kontinuierlich kommuniziert.

Noch viel anfälliger für die Verfolgung sind allerdings bestimmte Fitness-Tracker wie Fitbit. Hier werden Teile des «Advertising Packet» überhaupt nicht erneuert, so dass Angreifer genau feststellen könnte, wenn sich ein individueller Fitbit-Nutzer in seiner Umgebung befindet. Diese Sicherheitslücke ist seit Jahren bekannt, ohne dass Fitbit reagiert hat.

Bilder des Tages

Zurück zur Startseite