"Smart" als anderes Wort für "Überwachung"

2018/19 wird immer deutlicher, dass "smart" ein eleganteres Synonym für "Überwachung" ist. Einige Beispiele von der CES 2019: Kitchen of the Future Is Sort of a Nightmare.

Denn alle diese smarten Dinge, die immer stärker in unsere Lebensumwelt eindringen, werden nun alle "smart", d.h. sie bekommen eine Internet-Anbindung, Kameras damit sie ihre Umwelt (unsere Umwelt) erfassen können und Mikrofone für Sprachsteuerung. Alle diese Überwachungs-Devices MÜSSEN ihre Daten zum Server schicken, weil nur dort eine akzeptable Sprach- und Bilderkennung möglich ist.

Hier ebenfalls von der Consumer Electronics Show eine Aussage: Wenn wir die Daten der Zuschauer nicht verkaufen würden, so wären die Fernseher viel teurer. Ist das in der EU legal? Aber klar doch, der Käufer hat doch den Nutzungsbedingungen zugestimmt.

Und nicht mal die Toilette ist tabu: Smart toilet promises a "fully-immersive experience" - Amazon Alexa und Sprachsteuerung auch auf der Toilette. Das bundesdeutsche BSI hat ein empfehlenswertes Kurzvideo darüber, wie man digitale Assistenten, smarte Lautsprecher und smarte TVs etwas sicherer in das eigene Netz integrieren kann. - An anderer Stelle mehr zu virtuellen Assistenten.

Ebenfalls verwandt mit diesem Thema ist Big Data, d.h. die Kunst des Data Minings. Denn bei einer Vernetzung von Geräten miteinander ohne das "Data Mining" der dabei anfallenden Daten (oder heute "Data Sciences") wären die Dinge und Städte eben nicht "smart" sondern nur vernetzt, aber auch weniger "invasiv" in unseren Lebenswelten.

 

 

Internet of Things (IoT), Smart Home und "Smart Everything"

Philipp Schaumann - Letzte Ergänzungen: Mai 2023

Immer mehr smarte Dinge (nicht nur) im Kinderzimmer - und ganz viele sind angreifbar

Bevor ich auf die grundsätzliche Problematik des "Internets der Dinge" eingehe hier ein paar drastische Beispiele:

Weihnachten 2015: Die neue Barbie-Puppe hat ein Mikrofon, einen Lautsprecher, eine drahtlose Verbindung und überträgt alles was sie hört, zu einem Cloud-Server, bei dem die Sätze mit geeigneter Software analysiert werden und die der Puppe intelligente Antworten ermöglichen soll. Die Puppe entwortet dann jeweils mit einem von 8000 Standardsätzen.

2019: Die als extra sicher angepriesenen Vidimensio-Smartwatches, gedacht für Kinder und alte Menschen sind leicht abhörbar und sind seit 2018 nicht wesentlich verbessert worden.

Da gruselt es nicht nur den Datenschützern, die wegen solchen ungesicherten Datenübertragungen aus Wohnungen und Kinderzimmern in die Cloud beunruhigt sind. Es gruselt auch den Pädagogen, die das für ein sehr großes und gewagtes soziales Experiment halten. Die NY Times widmet dem Thema einen langen Artikel: Barbie Wants to Get to Know Your Child. Die Autoren erinnern daran, dass Kinder nur schwer erkennen können, dass es sich "nur" um eine Maschine handelt. Sie erinnern an die Episoden wo Kinder nur mit viel Mühe von ihren Tamagotchis getrennt werden konnten, wenn diese mit ihren Schein-Bedürfnissen zu heftig in das Alltagsleben eingriffen.

Es gibt auch viele Experimente die zeigen, dass Kinder schlecht in der Lage sind, Maschinen die mit ihnen zumindest rudimentär agieren, als Maschinen und nicht als Personen zu betrachten. Diese Puppe wird aber nicht nur rudimentär agieren, sondern sie bietet den Kindern ganz aktiv ihre Freundschaft an und drängt sich in die emotionale Welt der Kindern hinein. Brauchen die Kinder noch andere Kontakte, wenn Barbie sich als wunderbar unproblematische Freundschaft anbietet? Werden Eltern sich nicht mehr nur des Fernsehers und des Tablets mit den Spielen als Babysitter bedienen, sondern nun ihre Töchter weitgehend der Gesellschaft von Barbie überlassen? (Ähnliche Figuren für Jungs lassen sich bestimmt auch entwickeln). Wie sich das Ganze auf die emotionale Entwicklung der Kinder auswirken wird, das bleibt offen, wir werden es wohl in ca. 10 Jahren erfahren.

In eine Falle möchte Mattel diesmal nicht reinfallen: Frühere Versuche in diese Richtung wurden heftig kritisiert weil die Puppe z.B. den Mädchen erklärt hat, "Mathematik sei sehr schwierig". Deswegen heftig kritisiert haben sie jetzt alle Sätze auf politische Korrektheit prüfen lassen, die Sätze und Beispieldialoge finden sich auch im Internet.

Natürlich sind solche Geräte, die eine optische und akustische Hintertür in die Wohnung darstellen, eine Einladung für Hacker. 2017 zeigt ein Hacker wie er den Bluetooth Furby elektronisch übernehmen kann.

Der gruselige Teddybär im Patent von Google hat sogar noch eine Kamera (und Motoren) und will auch die Inhalte ins Netz übertragen.

 

Ende 2016, Anfang 2017:

Hello Barbie, My Friend Cayla, CloudPets, Bluetooth Furby, i-Que Intelligent Robot und andere Spielzeuge mit Internet-Verbindung

Auch zu der Weihnachtszeit 2016 waren smarte Puppen im Kinderzimmer wieder ein Thema. Problematisch aus Sicherheitssicht ist nicht so sehr das Sprechen, sondern dass die Puppen "zuhören". Um "zuhören zu können" werden weiterhin die Sprachdaten zusammen mit anderen persönlichen Daten und GPS-Informationen in die US-Cloud-Systeme gesendet. (Die psychologische Problematik des "Sprechens" und der dabei vermittelten Inhalte ist bereits weiter oben diskutiert).

Einer der Hersteller, VTech, hat bereits in der Vergangenheit Daten "verloren".

Nuance, das Unternehmen hinter der Sprachsoftware erklärt in den Nutzungsbedingungen dass die Daten auch für eigene Zwecke verwendet werden, inkl. Werbung und Marketing. Und dann kommt: 'If you are under 18 or otherwise would be required to have parent or guardian consent to share information with Nuance, you should not send any information about yourself to us.' Das heißt, nach Aussagen der Betreiber sind die Spielzeuge nicht für Kinder und Jugendliche geeignet. Hintergrund ist ein US-Gesetz: COPPA Childrens Online Privacy Protection Act of 1998. Die FTC in den USA ermittelt.

Auch in Europa warnen Verbraucherschützer vor diesen Überwachungspuppen.

Feb. 2017 wird 'My Friend Cayla' in Deutschland verboten.

Newsletter Bestellung

Feb. 2017: Der Spielzeughersteller Spiral Toys bietet mit CloudPets eine ganze Sammlung von sprechenden Puppen an. Problem: Mehr als zwei Millionen Sprachnachrichten, die über CloudPets abgespielt worden sind, lagen ungeschützt im Internet. Dazu noch 820.000 Datensätze mit Account-Daten wie z.B. Passwortangaben. Der Hersteller setzt dafür MongoDB ein, was erst mal kein Problem ist, wenn es denn richtig konfiguriert und aktualisiert ist. Die Verlautbarung dass MongoDB aktualsiert gehört wurde im Dezember versendet, aber der Hersteller hatte nicht reagiert. Dafür haben Erpresser reagiert, die gesamten Daten abgezogen, und dann Erpressungsversuche gestartet.

Die Spielzeughersteller begeben sich hier auf ein recht unsicheres Terrain. Sie nähern sich immer mehr dem Effekt des "Uncanny Valley" (auf meiner anderen Website beschrieben), wo es den Menschen dann immer stärker vor den Robots gruselt. So wurde die Blythe Puppe 1972 auf Grund des Gruselfaktors durch ihre großen beweglichen Augen zum Alptraum vieler Kinder und zu einem kommerziellen Flop. (Hier der englische Wikipedia Eintrag mit einem Bild)

Hier ein separater Artikel zu einem verwandten Thema: Das Tracken von Kindern durch Smartphones und Wearables wie Smart-Watches.

 

Selbst-installierte Spione: Smarte Lautsprecher und Kameras

Letztendlich ist dies aber nur eine von viele Inkarnationen des gleichen Problems: Wir stellen uns die Wohnung voll mit mehr oder weniger intelligenten Geräten die uns mittels Kamera und oder Lautsprecher ausspionieren.

2018 dann die Schlagzeile: Stillende Mutter von gehackter Babycam ausspioniert: "Kompletter Alptraum". Viele dieser Babycams sind schlampig programmiert und können leicht von Fremden übernommen werden.

Das österreichische Sicherheitsunternehmen SEC-Consult hat sich auch diese Kamera angesehen und gründlich analyisiert. Hier die kurze Zusammenfassung: Wenn der Benutzer das Passwort nicht von sich aus durch ein sicheres Passwort ersetzt, kann sich jeder auf der Welt einloggen und mit der Kamera interagieren, indem er einfach verschiedene Cloud-IDs durchprobiert. Der Hersteller heißt Shenzhen Gwelltimes Technology Co. und ignoriert einfach alle Nachrichten der Sicherheitsforscher die ihn dazu bringen wollen, mehr Sicherheit in seine Geräte einzubauen. Warum sollte er sich die Mühe auch antun, das Geschäft läuft ja vermutlich recht gut. Die Käufer haben keine Möglichkeit zu erkennen, ob das Gerät unsicher ist und leicht von Fremden übernommen werden kann. Mehr dazu weiter unten.

Aber dieser Trend zu selbstgekauften "Spionen", die wir alle freiwillig bei uns in den Wohnungen installieren lauft seit vielen Jahren. Da sind z.B. die Fernseher, die über die Stimme statt mit Fernbedienung gesteuert werden und dafür natürlich ständig lauschen müssen und für die Analyse diese Daten auch zu den Servern im Internet liefern müssen.

So richtig zum Thema wird dies aber erst 2017/2018 mit dem Siegeszug der "intelligenten" Lautsprecher wie Amazon Alexa (Echo), Apple Home Pod (Siri), Google Home (dazu noch viele Geräte für den asiatischen Markt).

Der Trend läuft schon lange und es regten an sich immer nur wenige auf. Im Mai 2018 schaffte es das Thema auf die Titelseiten: Alexa listened to a couple's conversation and sent it to the husband's employee without permission. Folgendes war passiert: ein Ehepaar führte ein Gespräch, im Nebenzimmer stand Alexa mit seinen sehr empfindlichen Mikrofonen. Alexa missverstand eines der Worte als seinen Weckruf "Alexa", dann missverstand es einen anderen Satz als 'send message'. Daraufhin hat Alexa gefragt: "To whom?". Das wurde im Nebenzimmer nicht gehört und daher ignoriert. Alexa wartete ab dann auf etwas, das so ähnlich klingt wie ein Name in der Kontaktliste. Und wurde dann irgendwann fündig - Rückfrage: "[contact name], right?". Wieder keine Antwort aus dem Nebenzimmer, aber irgendwann meinte Alexa, es hätte "right" gehört und hat die Aufzeichnung als Mail gesendet.

Die US-Presse diskutiert dann, wie man das verhindern kann. Eine Lösung ist, den Geräten nie die Kontaktliste zur Verfügung stellen. Wenn man das aber bereits getan hat, so kann man die Kontaktliste bei Alexa nur mit Hilfe des Helpdesks zurückziehen. Außerdem kann man das Gerät auf "stumm" schalten, dann hört es angeblich nicht zu. Und dann gibt es noch den Tipp von CNN: Einfach nie irgendwas sagen, was man nicht an irgendeine andere Person weitergeschickt haben möchte.

 

 

 

Was ist das besondere am Internet of Things?

"Internet of Things" ist ein (neues) Schlagwort, das bezeichnet, dass in der Zukunft fast alle Geräte, auch die mechanischen Haushaltsgeräte wie Waschmaschine und Kühlschrank, Zugang zum Internet haben werden. Dies wird entweder direkt mittels IPv6 sein oder indirekt über eine WLAN Verbindung zum Router in der Wohnung. Die Nutzung der Geräte erfolgt dann z.B. mittels Smartphone Apps und kann aus der Ferne geschehen. Hier eine Definition von "Internet of Things" von der SAP-Website:

    'A world where physical objects are seamlessly integrated into the information network, and where physical objects can become active participants in business processes. Services are available to interact with these 'smart objects' over the Internet, query, and change their state and any information associated with them.'

An anderer Stelle diskutiere ich noch andere Probleme durch die allgegenwärtige Vernetzung - da geht es um die Computer-Steuerung von Industrieanlagen: SCADA und ICS. Mein Artikel zu Stuxnet zeigt, was dort bei Angriffen alles möglich ist.

In diesem Artikel wird der privaten Nutzer, d.h. Smart Home, Home Automation, Smart City und "Smart Everything" behandelt.

Die Spezialfälle Smart Meter und Smart Grid und vernetzte Autos werden jeweils an anderen Stellen behandelt.

Seit spätestens 2014 sind Sicherheitsexperten sehr beunruhigt über diese Entwicklung. Problematisch ist diese Entwicklung in Bezug auf die Verletzungen der Privatsphäre und aber auch für die digitale und und immer stärker auch die physische Sicherheit. Die bisherige Erfahrung zeigt, dass die Entwickler von "intelligenten" Geräten (mit wenigen Ausnahmen) sehr schlecht darin sind, diese gegen unbefugte Nutzung zu sichern. Beispiele sind die Manipulation von Autos, medizinischen Geräten (IMDs) wie Herzschrittmachern, Insulinpumpen [Herzschrittmacher und Insulinpumpen sind auch 2018 noch ein großes Thema, der Hersteller nimmt das Problem nicht zur Kenntis], u.ä. bei denen gravierende Sicherheitslücken gezeigt wurden, ebenso Smartmeter. Auch für Steuerungen von Heizungen, Beleuchtung, etc. konnten unbefugte Zugriffe demonstriert werden. Auch wenn dies evtl. vergleichsweise harmlos klingt, so ist doch ein Einbrecher, der in der Lage ist, von außen alle Lichter zu kontrollieren, auch bei seinem physischen Angriff von Vorteil. Und wenn er erst die Alarmanlage und die Türschlösser kontrolliert, so hat er eh gewonnen - solche Angriffe wurden bereits demonstriert.

Zusätzlich verraten natürlich alle diese Dinge über ihren Status Informationen über den Besitzer, oder dringen wie Webcams direkt in die Privatsphäre ein wenn die Geräte öffentlich erreichbar sind, was ja beim Einsatz als Nannycam sehr gewünscht ist.

Vorzeitige Alterung (Obsoleszenz) durch fehlende Aktualisierungsmöglichkeiten

Ein weiterer Effekt wird die vorzeitige Alterung (Obsoleszenz) die dann eintritt, wenn das Gerät zwar noch einwandfrei funktioniert (bei Waschmaschinen und Kühlschränken sollten das 10 Jahre sein), aber eine veraltete Betriebssystemversion enthält und daher keine Sicherheitspatches mehr bekommen kann und dadurch verwundbar wird und (an sich) ersetzt gehört. Ein Beispiel für den Sicherheitsverlust durch fehlende Sicherheitspatches ist Android, bei denen die Hälfte der Geräte auf Grund der Zerklüftung der Anbieterlandschaft (Google --> Hardware Hersteller wie Samsung, etc. --> Telekoms) mindestens 2 Jahre keine Sicherheitsupdates bekommen hat.

Daher müssten viele Geräte entweder vorzeitig entsorgt werden oder von den Netzen getrennt werdev (sofern dann weiterhin eine Nutzung möglich ist, d.h. sofern sie überhaupt noch einen mechanischen Einschalter haben).

April 2018 zeigt VW wie schwierig das Aktualisieren von Software sein kann. Infotainment-Systeme bei VW- und Audi-Modellen aus der Ferne gehackt. Dieses Beispiel zeigt 2 traurige Aspekte: erstens kann das angegriffene Teil im Wagen gar nicht harmlos genug klingen, irgendwie ist doch alles vernetzt und dann kommen die Angreifer sehr wohl auf kritische Komponenten. Zum anderen erklärt VW, dass sie die Lücke in Zukunft schließen werden. Wie die bereits seit 2016 ausgelieferten Fahrzeuge ein Update erhalten sollen, ist unklar, da die Systeme nicht Over-The-Air aktualisiert werden können. Volkswagen will sich nach einer Anfrage nicht zum geplanten Vorgehen äußern. - Wahrscheinlich soll einfach Gras drüber wachsen.

 

 

 

Warum öffnet das Internet of Things jetzt eine neue Ära der Verwundbarkeit unserer Gesellschaft?

Bruce Schneier hat im Feb. 2017 die Punkte in einem längeren Artikel zusammengefasst: Schneier: Security and the Internet of Things. Ich bringe im folgenden Abschnitt eine kurze Auflistung seiner Punkte und danach auf dem Rest der Seite viele Beispiele und Details. Ich habe dieses Thema angeleitet durch die Gliederung von Schneier auch als Präsentation zusammengefasst: Internet of Things - Quo Vadis?.

Der erste Punkt ist, dass mittlerweile kaum ein phyisches Gerät mehr neu entwickelt nicht, das nicht im inneren einen Prozessor (d.h. einen Computer) enthält. Das reicht vom Telefon, über die Klimananlage, die Armbanduhr, unsere Autos (die mittlerweile ein ganzes Netz von Prozessoren beinhalten), fast alle neuen medizinischen Geräte, die Verkehrsinfrastruktur, die Energieinfrastruktur, unsere Unterhaltungsgeräte wie Fernseher, sogar Elektroroller, Kühltruhen im Supermarkt, Baukräne, bis hin zu Spielzeug wie Puppen werden im Intenet vernetzt und damit angegreifbar.

Jedes Gerät, das einen Prozessor enthält, kann auch vernetzt werden, am besten direkt ins Internet. Das hat viele Vorteile, auf diese Weise kann nicht nur der Besitzer des Geräts auf Entfernung zugreifen, die anfallenden Daten können zentral gesammelt und genutzt werden. Man nennt diese Entwicklung "Pervasive Computing".

Und alles was im Internet vernetzt ist, kann auch angegriffen werden. Die IT-Sicherheitsexperten wissen heute (bzw. eigentlich schon seit Jahrzehnten) wie man Geräte sicher programmieren könnte. Aber die Techniker, die diese Geräte implementieren haben einen ganz anderen Hintergrund, sie kommen meist aus den Ingenieurswissenschaften. Dort wird Sicherheit mit Safety übersetzt und nicht mit Security. Hier mehr zum

Im Internet gilt die Regeln, dass Verteidigung viel schwieriger ist als Angriff. Der Verteidiger muss ALLE Schwachstellen finden und absichern, der Angreifer muss nur eine einzige finden, die nicht ausreichend abgesichert ist. Dafür wäre es z.B. sehr hilfreich, wenn die Informatiker einen Weg finden könnten, um fehlerfreie Programme zu entwickeln, oder zumindest die Fehlerfreiheit von Programmen zu zeigen, aber in dieser Richtung ist nicht mal "Licht am Ende des Tunnels". Und je komplexer Geräte / Programme sind, desto größer ist ihre "Angriffsfläche", d.h. die Möglichkeiten die ein Angreifer ausprobieren kann um einen Fehler im Programm zu finden, der seinen Angriff erlaubt. Und unsere Geräte werden (wie wir leider immer wieder erleben) ständig komplexer und meist auch schwerer zu bedienen.

Ein weiterer Vorteil für den Angreifer ist, dass er sich nicht um Gesetze und ähnliches zu kümmern braucht, er darf sich nur nicht erwischen lassen. Der Verteidiger ist aber an die Normen, Gesetze und Vorschriften gebunden. Dazu brauchen sie für jede gute Idee die sie umsetzen wollen, auch noch die Zustimmung des Vorgesetzten und ein Budget. Für letzteres müsste das Management erst mal das Problem verstehen, das der Verteidiger beheben will. Sicherheit rechnet sich für die Hersteller ganz schlecht, früher auf dem Markt zu sein mit (notfalls unsicheren) Geräten die den Markt besetzen ist für die meisten Hersteller besser - die Probleme baden notfalls eh die anderen aus (das ist ein typisches Beispiel für Externalitäten).

Die Universitäten und Hochschulen die Software-Entwicklung unterrichten legen leider auf sichere Programmierung bis auf ganz wenige Ausnahmen keinen großen Wert. 'Sichere Software' wäre teurer, würde länger für die Entwicklung brauchen und ist daher bei den Chefs typischerweise nicht gut angeschrieben. Noch eine Herausforderung für die Verteidiger: Jeder mittelmäßige Verteidiger muss damit rechnen, vom besten und erfahrensten Angreifer der Welt angegriffen zu werden. Im Internet gibt es keine Regionalliga wo die durchschnittlichen Spieler unter sich bleiben.

Und es sind nicht nur die technischen Schwachstellen durch die vielen Funktionalitäten, die die Angriffsfläche vergrößern - jede Präsenz der Daten im Internet ist typischerweise auch mit einer Autorisierung für die rechtsmäßigen Nutzer verbunden und wegen "Passwort vergessen" auch mit einem Helpdesk, das Angreifer dann typischerweise recht einfach über Social Engineering angreifen können, siehe Beispiel des Angriffs auf Mat Honan. D.h. jede Zugriffsmöglichkeit aus dem Internet erhöht die Risiken um eine ganze Größenordnung.

Eine weitere Herausforderung ist, dass eine der üblichen Regeln der Computersicherheit: fehlerhafte Software wird ausgeliefert und dann über den Patch-Prozess beim Kunden langsam auf ein akzeptables Niveau gebracht, hier leider nicht klappt. Das funktioniert aber für einige Klassen von Geräten nicht, z.B. müssen Medizingeräte von Aufsichtsbehörden geprüft werden und Änderungen in der Software devalidieren diese Prüfung. Deswegen gibt es auch in 2017 noch jede Menge Medizingeräte die von Windows XP Rechnern gesteuert werden. Eine Aktualisierung der Softwareversion würde den ganzen Genehmigungsprozess neu triggern. Dies betrifft auch einzelne Geräte in der Verkehrsteuerung, Anlagensteuerung, etc. Auch bei Autos ist das Aktualisieren der Software ein Prozess, der durchaus in die Zulassungsregeln eingreifen kann (oder sollte - siehe Abgassteuerung). Und die erwartete Lebensdauer für Großgeräte ist deutlich länger als die üblichen wenigen Jahren für Gadgets wie Smartphones und Smartwatches. Es gibt derzeit noch keine Idee, wie Haushaltsgeräte die über Jahrzente laufne sollen langfristig auf einem sicheren Software-Niveau gehalten werden können.

Das heißt, dass die Möglichkeiten für Angriffe auf vernetzte Geräte deutlich steigen. Gleichzeitig werden die Auswirkungen auf die Gesamtgesellschaft drastisch größer. Wenn ein Heim-PC noch mit Windows XP betrieben wird, so ist dies erst mal primäre zum Schaden des Betreibers (außer, der PC wird als Teil eines Botnets genutzt). Wenn aber ein Windows XP System eine Bestrahlungsanlage in einer Klinik steuert, so kann ein Angriff auf dieses System für die Patienten tödlich sein. Die heutigen vernetzten Geräte mit ihren vielen (immer billiger werdenden) Sensoren haben in vielen Fällen auch Aktuatoren, d.h. sie können physische Objekte steuern. So was nennt man sich sich Roboter. Und diese (meist derzeit noch inmobilen) Roboter können tödliche Auswirkungen haben. Nicht, nur wenn sie ein autonomes Fahrzeug steuern, aber z.B. auch wenn sie eine Ampelanlage oder ein Kraftwerk schalten können.

Daher schlagen Bruce Schneier und andere (z.B. die europäische IT-Behörde ENISA) vor, dass es Regeln für die sichere Entwicklung und den sicheren Betrieb von vernetzten Geräten geben muss. Weiter unten verlinke ich auf Beispiele für solche Regeln.

Ein Punkt der aus Sicht der Regierungen gegen solche Sicherheitsregeln für IoT sprechen könnte ist, dass natürlich die Regierungen, bzw. ihre Sicherheitsbehörden sehr wohl an den Daten die bei allen diesen Geräten anfallen, interessiert sind. Und da könnten zu gut abgesicherte Geräte natürlich auch für die Regierungen ein Nachteil sein (sofern sie sich nicht über geeignete Gesetze den Zugriff zu diesen Daten beschaffen können).

 

 

2016: Eine sehr beeindruckende "near-future fiction" stellt einen Cyberangriff auf New York dar. Der Artikel hat 2 Ebenen, einmal wird fiktional gezeigt, wie jeweils ein bestimmter Angriff zu einer Verstärkung des Chaos in NY führt, auf der zweiten Ebene kann die Leserin nachlesen, welchem realen Ereignis der jeweilige Angriff nachempfunden ist.

Und hier die Realität 2017 im Video: Autodiebe knacken Mercedes mit elektronischem Gerät - Autodiebstahl ganz ohne rohe Gewalt.

2018 eine etwas gruselige Geschichte in gizmodo: The House That Spied on Me. Die selbe Autorin hat ihren Selbsttest auch noch weiter verarbeitet, z.B. in einem TED Vortrag: Zwei Monate Smart Home: 'Keine einzige Stunde digitale Ruhe'.

Die Journalistin Kashmir Hill beschreibt in den beiden oben verlinkten Artikeln folgendes Selbstexperiment: ihre Wohnung wurde mit möglichst vielen smarten Geräten ausgestattet - Alexa, Kaffeemaschine, Steckdosen, Lampen, aber auch das Bett, Videokameras, Staubsauger, usw. Ein technischer Kollege hat ein kleines Gerät installiert, das ihren Internetdatenverkehr mitliest und aufzeichnet. Ziel war, zu sehen, was der Internetprovider so alles über sie erfährt und wie sich das so anfühlt (Die Antwort auf die zweite Fragestellung: "I'm going to warn you against a smart home because living in it is annoying as hell".

Das was die Provider mitlesen können war ziemlich viel weil ein guter Teil der Geräte unverschlüsselt kommuniziert und die anderen Geräte über die Tatsache, DASS sie senden, d.h. über die Metadaten, auch viel verraten. Der eigentliche Grusel war für sie aber, dass die "geschwätzigsten" Geräte die am meisten über sie verraten hatten, der Fernseher und das Video-Aufzeichnungsgerät war die sie bereits vor dem Experiement besaß und auch danach noch weiterbenutzte. Ihr Fazit ist: Das überwachte Eigenheim kommt nicht erst noch, es ist bereits da.

 

Die schlechte Nachricht: Alles was im Netz erreichbar ist, kann auch gehackt werden - auch Smart Locks

2018: Auch das noch: Internet of Dildos. Ein Student und Mitarbeiter von SEC Consult hat sich smarte Sexspielzeuge angesehen. Vermutlich bin ich naiv, aber die 6-stellige Anzahl von Nutzern solcher smarten Geräte hat mich dann doch überrascht. Nicht überrascht hat mich hingegen, was da an Kundendaten im Netz gefunden wurde: Fotos die diese Geräte schießen, Chat Protokolle, Daten zur sexuellen Orientierung, Email Addressen,Passworte in Klartext, d.h. alles was man bei der Implementierung von smarten vernetzten Geräten so alles falsch machen kann.

US-Studie 2020: IoT-Geräte ingesamt weniger sicher

Laut einer Studie von Unit 42, dem Forschungsteam für Cybersicherheit von Palo Alto Networks, sind IoT-Geräte insgesamt weniger sicher geworden. Die Security-Spezialisten analysierten für ihren "2020 Unit 42 IoT Threat Report" Sicherheitsvorfälle mit IoT-Geräten in US-Firmen sowie dem Gesundheitswesen.

Demnach finden 98 Prozent des Netzwerkverkehrs von IoT-Geräten unverschlüsselt statt, wodurch es für Angreifer relativ leicht ist, an persönliche Daten und vertrauliche Informationen zu kommen und diese dann etwa für Phishing- und andere Angriffe zur verwenden.

Hier Artikel dazu aus 2016: We-Vibe - This sex toy tells the manufacturer every time you use it. Und nicht nur wann das Gerät genutzt wurde, sondern auch noch viele weitere Details. 2017 wurde der Hersteller dann gerichtlich verurteilt: Vibrator Maker To Pay Millions Over Claims It Secretly Tracked Use. Die Zahl der vernetzten Geräte von We-Vibe wird mit 300 000 angegeben. Weiter unten gibt es noch mehr zum Self-Tracking von sexuellen Aktivitäten.

Vernetzte Sexspielzeuge werden übrigens bereits seit 1975 unter dem Begriff Teledildonics beschrieben, aber damals waren die technischen Grundlagen die heute dafür eingesetzt werden, fast alle noch gar nicht erfunden, z.B. die Smartphone Apps über die diese Geräte gesteuert werden können.

Ab 2014 kamen die schlechten Nachrichten zum Internet der Dinge in der Fachpresse immer dichter: Fridge hacked. Car hacked. Next up, your LIGHT BULBS.

HP hat viele der Dinge untersucht, die mit sog. Intelligenz mit anderen Geräten, häufig im Internet kommunizieren. Leider sind bei fast alles dieser Geräte drastische Sicherheitsprobleme zu finden. Hier dann eine Artikelserie The Insecurity of Things. Die Autoren zeigen auf einer recht technischen Ebene, wie sie systematisch die elektronischen Geräte in ihrem Haushalt als Hacker übernommen haben, und dabei sogar Zugriff auf ALLE Geräte des Herstellers bekamen, indem sie die Wartungsschnittstellen ausnutzen konnten oder entdeckten, dass alle Geräte des Hersteller mit dem selben Passwort gesichert sind. Hier der 2. Teil der Serie. Und noch ein langer und recht technischer Artikel dazu: How I hacked my home.

Eine Studie von Symantec zeigt, dass ein sehr großer Teil der self-tracking wearables extrem unsicher programmiert ist: keine verschlüsselten Datenverbindungen ins Internet, Klartext-Übermittlung der Passworte, und ähnliche Probleme.

2015:
HP hat sich jetzt den IoT-Spezialfall Home Security angesehen. Ihre Zusammenfassung ist If you can monitor your house across the web, so can everyone else. Von den 10 getesteten Systemen hat keines die Tests bestanden, alle boten möglichen Einbrechern ausreichend Schwachstellen um das System auszuhebeln.

SEC Consult untersuchte 2015 eine große Zahl von Geräten mit eingebauten Webservern. Webserver sind heute fast überall eingebaut damit die Geräte leicht zu administrieren sind, auch ihr WLAN-Router, jede Internet-Kamera und ähnliches enthält einen solchen. Der Artikel House of Keys: Industry-Wide HTTPS Certificate and SSH Key Reuse Endangers Millions of Devices Worldwide zeigt, dass eine große Zahl dieser Geräte immer den gleichen Server, inklusive den gleichen geheimen Schlüsseln eingebaut hat. Diese Schlüssel sind öffentlich, denn von den Hersteller-Websites lässt sich die Firmware leicht herunterladen. 580 unterschiedliche Schlüssel verteilen sich auf 9% der Geräte im Internet. Dies sind viele Millionen Geräte, die nur darauf warten, übernommen zu werden.

Ende 2015:
Mattel bringt eine Barbie-Puppe mit Mikrophon und Lautsprecher auf den Markt, die Gespräche mit Kindern führt, indem sie die Äußerungen der Kinder in die Cloud lädt und dort analysiert. An anderer Stelle mehr zu Hello Barbie und was daran alles gruselig ist.

Zur gleichen Zeit sieht Bruce Schneier eine neue Stufe des Gruselns erreicht, weil die Geräte hinter unserem Rücken miteinander über uns reden: The Internet of Things That Talk About You Behind Your Back. Es geht darum, dass Firmen wie SilverPush daran arbeiten, auch Geräte die gar nicht im Internet sind, dazu zu bringen, Details über uns zu verraten. Dies geschieht z.B. indem die Geräte hochfrequente Töne aussenden, die dann von einer Smartphone-App erkannt und weitergeleitet werden. Beispiele sind Werbungsschaltungen im Fernseher, die über die hochfrequenten Töne einer App mitteilen, dass diese eine Werbung eben gesehen wurde. Schneier fordert, dass solche Methoden bei denen keinerlei Zustimmung gegeben wurde, verboten werden.

April 2016
Firma SEC Consult hat eine umfangreiche Studie zur Sicherheit von in Deutschland verkäuflichen Smart Home Komponenten durchgeführt: SEC Consult Study on Smart Home Security in Germany - a first silver lining on the horizon of IoT? Der Artikel gibt einen guten Überblick über den grundsätzlichen Aufbau solcher Lösungen und zeigt dann, dass es deutliche Verbesserungen bei der Sicherheit fast aller Lösungen gibt. Der Silberstreifen am Horizont ist, dass einige Systeme die im letzten Jahr durchgefallen waren, dieses Jahr bereits besser abschneiden.

Mai 2016
Ein Interview mit dem Entwickler von Shodan, der Suchmaschine für das Internet of Things: I never imagined a nuclear plant-control system being online.

Smart Locks sind keine smarte Idee :-(

Ebenfalls im Mai 2016 eine Studie: Security Analysis of Emerging Smart Home Applications. Und ein Artikel dazu Samsung Smart Home flaws let hackers make keys to front door. Daher hier eine Warnung vor den Smart Schlössern, die Amazon ab Nov. 2017 anpreist: Please don't buy this: smart locks. Der Artikel erklärt, dass diese Implementierungen keine wirklich gute Idee sind.

Noch ein Beispiel für den unglaublichen Schrott, der 2018 als "smart technology" verkauft wird: Unbreakable smart lock devastated to discover screwdrivers exist. Da ist nicht nur die Elektronik vollkommen offen, das Passwort jedes Gerätes aus der öffentlich gesendeten MAC-Adresse berechenbar, jeder Kunde dieses Geräts kann aber auch ohne diese Berechnungne jedes andere Schloss öffnen und mit einem Schraubendreher geht es notfalls auch noch.

 

 

Neues Problem ab Herbst 2016 (aber keine Angst, das Problem wird uns noch lange erhalten bleiben ;-) ) und Vigilanten-Antworten darauf:

2018: Nur ein Beispiel von vielen: Router-Botnetz mit 500.000 Geräten aufgedeckt. Es geht dabei um die WLAN-Boxen, bzw. Routern, mit denen die Haushalte ins Internet gehen. Ein großer Teil dieser Geräte sind verwundbar und müssen regelmäßig aktualisiert werden. Zumeist können das die Nutzer aber nicht und so gibt es eine riesige Zahl von solchen Geräten, die von Angreifern (evt. sogar staatlich) kontrolliert werden.

Durch die Übernahme dieser Geräte können die Angreifer vor allem 2 wichtige Sachen: Sie können in die lokalen Netze dieser Haushalte, deren Verkehr abhören und auch verändern, d.h. sie können den Haushalten auch Schadsoftware unterschieben. Zum anderen können diese Geräte in Botnetze integriert werden und als Angriffsarmee gegen anderen Geräte im Internet genutzt werden. Das FBI vermutet die Angreifer in Russland und versucht, das Netz zu übernehmen.

Millionen von gekaperten IoT-Geräten werden als Angriffsarmee genutzt

Zig Millionen von unsicheren Videokameras und anderen Geräten im Internet werden für Denial of Service Angriffe (dDoS) genutzt, die ungewöhnlich hohe Bandbreiten erzeugen. Am 21. Okt. 2016 wurden große Teile der US-Infrastruktur durch einen Angriff gegen die Firma Dyn DNS lahm gelegt, betroffen sind z.B. Amazon, Spotify, Twitter, Paypal und viele andere. Verursacher war das sog. Mirai-Botnet. (Update Mai 2023: The Strange Story of the Teens Behind the Mirai Botnet.)

Der Artikel hier listet einige der aktuell betroffenen Geräte: Wer die Hersteller der Geräte des IoT-DDoS-Botnets sind. Hauptproblem scheint zu sein, dass diese Geräte mit einem Standard-Benutzername mit öffentlich bekanntem Passwort im Netz erreichbar sind.

2017: Brickerbot und Hajime als Antwort von Vigilanten

Im Frühjahr 2017 gibt es dann Antworten auf das Mirai-Botnet von Vigilanten, die nicht auf eine Lösung von oben warten.

Das erste war Brickerbot, der wie der Name sagen will, die Geräte zerstört, in Bricks verwandelt. Und zwar geschieht dies recht effektiv, die Software versucht, durch Überschreiben der Firmware so dass nur ein Profi in der Lage wäre, diese evt. wieder zu aktivieren. Diese Form der Selbstjustiz ist effektiv gegen das Problem, aber natürlich illegal und auch unethisch. Fremde Geräte werden zerstört, weil sie eine Gefahr fürs Internet darstellen.

Immer noch illegal, aber nicht ganz so drastisch hingegen das Hajime Botnet. Der technisch anscheinend sehr versierte Autor nutzt ähnliche Tricks um die unsicheren Geräte zu übernehmen, zerstört sie dann aber nicht, sondern "repariert" sie, z.B. indem er unsichere Passworte durch sichere ersetzt. Ergebnis ist, das die Geräte immer noch funktionieren, aber nicht mehr von "Bösen" in ein "böses Botnet" integriert werden können. Illegal ist das immer noch, denn auch dies ist natürlich ein Eingriff in fremdes Eigentum: Falls der Besitzer doch mal die Geräte konfigurieren möchte, so kennt er das neue sichere Passwort natürlich nicht.

Aber das Problem ist noch viel größer: Cisco schätzt, dass es heute bereits 15 Milliarden vernetzte Geräte weltweit gibt. Getrieben durch den "Smart"-Boom könnten es bis 2020 bereits 50 Milliarden sein. Chiphersteller Intel geht sogar von 200 Milliarden aus. Dies klingt realistisch: Zu diesen Geräten gehören nämlich z.B. auch die WLAN-Router die viele von uns zu Hause stehen haben, auch viele Modelle der Router können für Angriffe genutzt werden.

Die bisherigen Angriffe waren zwar deutlich höher als alles bisher bei dDoS gesehene, aber die Angreifer haben noch nicht wirklich gezeigt, was diese Botnetze aus Geräten können. Denn fortgeschrittene Angriffsmethoden wie Amplification wurden noch gar nicht eingesetzt.

Der Artikel spricht vom "Internet of unpatchable Things", da die Geräte neben den öffentlichen Passworten auch noch 12 Jahre alte Schwachstellen enthalten und derzeit noch keine Idee besteht, wie dieses Angriffspotential entschärft werden kann.

Ein weiterer Artikel berichtet über die Bandbreite von Mirai: Was Cloudflare vom Mirai-Botnetz sieht. Cloudfare ist ein weiterer Anbieter von dDoS-Schutz. Nachdem Akamai den Schutz der Website von Brian Krebs nicht mehr übernehmen wollte hat sich der Google Service Project Shield angeboten. Der folgende Artikel zeigt wie massiv die Angreifer zu Beginn 2017 mittlerweile sind: How Google fought back against a crippling IoT-powered botnet and won. Dazu gibt es auch noch ein Video Drawing the Foul: Operation of a DDoS Honeypot.

Update (22. Okt. 2016): Mit Hilfe dieser Botnets aus Geräten wird ein massiver und erfolgreicher Angriff auf weite Teile der US-Internet-Infrastruktur gefahren. Noch mehr Details gibt es bei der NY Times: Hackers Used New Weapons to Disrupt Major Websites Across U.S.. Dort wird spekuliert, dass die Angreifer evtl. einen Probelauf für den Wahltag gemacht haben, bei dem in den USA in einige Bundesstaaten online gewählt werden kann.

Auch für Sarkasmus bieten diese Angriffe viel Anlass: Ein Security Experte tweetet: In a relatively short time we've taken a system built to resist destruction by nuclear weapons and made it vulnerable to toasters.

Hal Faber schreibt auf heise.de: Zigtausende von Überwachungskameras und Videorekordern dieser Überwachungssysteme wurden genutzt, um das Internet lahmzulegen. Wobei die Beschreibungen häufig zu kurz kommen, denn es war kein Angriff der Hacker auf den Alltag, sondern ein Angriff des Alltags selbst, weil Vernetzung pfennigbillig sein muss. Es ist ja mal eine neue Erfahrung, dass man gegen diese Angriffe nichts tun kann. . . Im Billignetz vom IoT mit seiner Schrottsoftware ohne jegliche Sicherheit auf Updates zu warten, das hat was von Beckett.

Ein Artikel im Januar 2017 sagt, dass das Mirai-Botnetz ein Abfallprodukt der sog. Minecraft-Server-Kriege ist. Es zeigt sich wieder mal, dass jede neue Technologie sofort auch "Parasiten" hervorbringt, die versuchen, aus dieser neuen Entwicklung irgendwie, notfalls auch illegal und auf Kosten anderer, Geld zu schlagen. Die Kollateralschäden können dabei erheblich sein, viel größer als der mögliche Gewinn. Dies ist ein anderes Beispiel für Externalitäten.

Auch bei diesem Thema gibt es neue Geschäfts-Opportunities: Rent a Mirai Botnet of 400,000 Bots. 2 Wochen Angriffe gegen einen Konkurrenten mit 50000 Geräten (jeweils 1 Std. Angriff und 5-10 Min. Pause) für einige Tausend US-Dollar.

An anderer Stelle gibt es mehr zum Thema Denial of Service Angriffe. Aber die sind nicht die einzige Möglichkeit, aus der Kontrolle über fremde smarte Geräte mittels Erpressung Geld zu machen. Hier ein Beispiel aus der Hotel-Branche: Hotel zum vierten Mal von Hackern lahmgelegt. Wie der Artikel zeigt, ist dies kein Problem, das einfach behoben werden kann. Nicht nur kann der Angreifer das selbe Hotel immer wieder angreifen, er kann auch mittels einer entsprechend geeigneten Schwachstelle im Schloss-System selbst alle Schlösser weltweit kontrollieren. Hier noch ein ausführlicher Hintergrundartikel dazu: Hackers Use New Tactic at Austrian Hotel: Locking the Doors. Der Artikel geht über Hotels hinaus und beschreibt die weltweit erfolgreichen Angriffe z.B. gegen Krankenhäuser, die zum Teil viel Geld zahlen, damit sie weiter arbeiten können und keine Menschenleben gefährdet werden.

Herbst 2017:
Auf der Basis von Mirai-Code wird mit Reaper ein weiteres Botnet implementiert. Das Thema wird uns nicht loslassen. Im Dezember gibt es Urteile gegen 3 Studenten, die behaupten, sie hätten Mirai nur wegen eines Streits um konkurrierende Minecraft-Server erfunden. Hier ein Artikel mit mehr Hintergründen zu den beiden jungen Männern: Mirai IoT Botnet Co-Authors Plead Guilty. Es ging nicht nur um Streit zwischen Gamern, sie wollten auch ordentlich Kohle machen, z.B. mit Click Fraud und auch Erpressung.

Feb. 2018:
Infizierte Heimrouter: Satori-Botnetz legt stark zu. Botnets die aus Teilen des Internet der Dinge aufgebaut sind entwickeln sich zu einem wichtigen Zweig der Internetkriminalität. Derzeit, Anfang 2018, ist eine der wichtigesten Einnahmequellen das Schürfen von Kryptogeld auf fremden Maschinen (damit die Besitzer der Systeme die Stromrechnung zahlen).

Aug. 2018:
Mehr Alarmmeldungen: Half a Billion IoT Devices Vulnerable to DNS Rebinding Attacks. Der Nachschub von verwundbaren Geräten im Internet scheint unerschöpflich zu sein.

 

 

Smart home ohne Internetanschluss?

heise.de beschreibt in einem Artikel 2019, wie ein Smart Home ohne Cloud-Anbindung auch heute noch möglich wäre: Smart Homes ohne Internet, geht das? Ja!

 

Wie könnten die "smarten Dinge" sicher implementiert werden?

Bereits Sept. 2014 veröffentlicht Trend Micro einen recht guten Text: What to Consider When Buying a Smart Device. Der Artikel ist weniger technisch, eher eine Checkliste, was beim Kauf von Smart-Geräten (Smart-TV, Lichtsteuerung, Klimasteuerung, etc.) beachtet werden sollte. Der Text listet in einer Checkliste folgende Punkte:

  1. Authentisierung. Erfordert das Gerät vor einem Zugriff die Eingabe einer Authentisierung, z.B. Passwort oder PIN? Falls nein, kann z.B. jeder, der sich Zugriff auf das WLAN verschafft, das Gerät manipulieren. Bzw. Geräte, die um mit der dazugehörigen App kommunizieren möchten im Internet aktiv sind (wie Baby-(sitter)-Cams, auch "Nanny Cams" genannt oder andere Kameras mit denen Wohnungen optisch überwacht werden), lassen sich leicht über die Suchmaschine Shodan finden.
  2. Aktualisierbarkeit. Gibt es eine (für den Benutzer einfache) Möglichkeit, neue Firmware-Versionen zu installieren, wenn z.B. Verwundbarkeiten im Gerät gefunden wurden, oder ist dann das Gerät automatisch "Schrott"?
  3. Verschlüsselung. Verschlüsselt das Gerät seine Verbindungen (Standort-Daten, Video-Daten, medizinische Daten von Self-Trackern, ...), aber auch z.B. die Übertragung einer neuen Firmware? Oder werden evtl. sogar Passworte und Zugangscode im Klartext übertragen?
  4. Offene Ports. Viele dieser Geräte haben offene Ports wie Telnet, damit sie einfach gewartet werden können. Zumeist stehen dann die dazu gehören Zugangscodes im Internet (und lassen sich über eine Suchmaschine leicht finden).
  5. Problematik der leeren Batterien. Viele Geräte brauchen Batterien, und viele haben keine gute Möglichkeit, anzuzeigen, dass ihre Batterie leer ist. Ein Problem wird dies z.B. bei Alarmanlagen, deren Sensoren an den Fenstern dann einfach aufhören, Einbruchsversuche zu melden.
  6. Verwundbarkeiten und Patches. Gibt es von dem Anbieter des Geräts eine Datenbank mit gefundenen Schwachstellen und den Lösungen dazu?

Das war aber nur ein frühes Beispiel für eine systematische Dokumentation der Anforderungen an vernetzte Geräte. Bruce Schneier hat Anfang 2017 eine Sammlung von solchen Security and Privacy Guidelines for the Internet of Things. Er rechnet damit, dass solche Regeln (entweder als Initiative der Industrie oder als Verordnung oder Gesetz) offiziell erlassen werden. Die Bedrohungen für den Rest des Internets sind einfach zu groß. Anderseits wird es sehr schwierig sein, ein weltweites Problem durch Ländergesetzgebungen zu lösen. (Und dass Firmen es mit etwas mehr Aufwand durchaus richtig machen können zeigt dieser Testbericht über ein neues IKEA Beleuchtungssystem.)

In einem weiteren Artikel fordert Bruce Schneier 2017, dass Regulations her müssen, weil der Markt dieses Problem nicht lösen kann: Weder haben die Hersteller ein Interesse ihre Geräte durch Sicherheitsfeatures teurer zu machen, noch haben die Kunden ein Interesse, ihre Videokamera (oder ähnliches), die zwar Angriffe gegen andere durchführt, aber sonst gut funktioniert, vom Netz zu nehmen und sich was neues, teureres zu kaufen. Ich sehe das ähnliches und sehe in der VDE-Prüfung für Elektrogeräte sogar ein Beispiel, dass eine eigentlich nur lokale Zertifizierung, zu einem weltweiten Gütesiegel wird, das dann in vielen Ländergesetzen verlangt wird. Ich habe dazu einen Vortrag erarbeitet: Internet of Things - Quo Vadis?

Evt. gibt es auf diesem Gebiet 2023 aber Hoffnung: In der EU werden neue Verordnungen geplant, die helfen könnten: AI Liability Directive soll Produkt-Haftung für Fehler in der Software einführen. Auch das US Department of Commerce hatte sich 2018 Gedanken zur Sicherheit von IoT gemacht und eine Studie verfasst: Enhancing the Resilience of the Internet and Communications Ecosystem Against Botnets and Other Automated, Distributed Threats. Die Wege sind klar, jetzt müsste sich die Staatengemeinschaft nur noch darauf einigen, strenge Regeln für alle mit dem Internet verbundenen Geräte zu verfassen und durchzusetzen. Da tut sich aber evt. etwas, siehe US CISA Aktivitäten in 2023. Mehr zu den EU- und US-Initiativen auch weiter oben.

 

 

Quantified Mitarbeiter

Das "Self" in Self-Tracking impliziert eine Freiwilligkeit. Aber die Versuchung, solche Geräte auch in der Arbeitswelt einzusetzen ist sehr groß. Unter dem Stichwort Self-Tracking in der Arbeitswelt bringe ich Beispiele von Firmen, die (natürlich auf "freiwilliger" Basis) ihren Mitarbeiter solche Geräte anbieten.

Und 2018: China prescht mit einem Helm der Gehirnaktivitäten misst noch weiter vor.

2022 ein Artikel zu Quantified Self /Quantified Life: Warum Menschen ihr Leben bis ins kleinste Detail protokollieren.

Buchcover Corpus Delicti
Lesenswerter Roman zum Thema Quantified Self: Juli Zeh - Corpus Delicti. Thema dieses Romans ist eine "Gesundheitsdiktatur". Die Menschen müssen gesund sein (zu ihrem Besten) und der Staat will dies, z.B. durch implantierte Messchips und durch Maßnahmen wann immer die Werte nicht stimmen, erzwingen. Eine junge Frau rebelliert dagegen.
Ebenfalls lesenswert: Juli Zeh: Fragen zu "Corpus Delicti". Zum Verständnis dieses Buches ist der Roman nicht notwendig, Juli Zeh erklärt die Handlung und ihre Überlegungen dahinter.

 

Wearables / Fitness-Tracker / Self-Tracker - Quantified Self/Quantified Life

Einen sehr tiefen Eingriff in die Privatsphäre stellen die Wearables dar, egal ob als Armband, Oberkörperband, am Oberarm oder am Handgelenk, die kontinuierlich Gesundheitsdaten messen und mittels Smartphone in die Cloud senden. Wie die verlinkte Veröffentlichung beschreibt erfährt der Nutzer von der verpflichtenden Datenweitergabe sehr oft erst nach dem Kauf und kann dann schlimmstenfalls das Gerät wegwerfen, falls ihm die Datenweitergabe nicht passt.

Diese Geräte dringen zum Teil sehr tief in die Privatsphäre ein: Sensoren zeichnen die Pulsrate, detaillierte Bewegungen und Bewegungsmuster auf und lassen damit tiefgehende Schlüsse über Schlaf und viele genau identifizierte Aktivitäten zu. Oft sammelt ein GPS (im Gerät oder im Smartphone) dazu noch kontinuierlich die Standorte, Tag und Nacht. Das Interesse an diesen Daten ist groß, nicht nur bei den Krankenkassen (die Benutzer muss bei Inbetriebnahme der Datenverarbeitung und auch der Datenweitergabe zustimmen). Hier eine sehr gute Darstellung der Infrastruktur die für den Betrieb von Wearables wie Fitness-Trackern eingesetzt wird und wie die Daten dort fließen. Ein großes Problem ist, dass eigentlich alle Geräte die Daten mittels eines Smartphones in die Cloud senden, d.h. jeder Nutzer wird automatisch transparent für irgendwelche Firmen, die die Daten mehr oder weniger beliebig zu Geld machen können.

Im nächsten Link eine lange Liste von Geräten, die bereits 2016 alles auf dem Wearables Markt verfügbar war. Da gibt es wenige Körperfunktionen, die (noch) nicht gemessen werden können. Versicherungen können auf diese Weise recht detaillierte Einblicke in den Lebensstil ihrer Kunden gewinnen. Daraus versuchen die Versicherungen, statistische Aussagen über die Gesundheit zu machen und Tarife geeignet anzupassen.

Herzschlagkurve während sexueller Aktivitäten
Fitness-Tracker zeichnen intime Details auf, hier detailliert kommentiert. Sexuelle Aktivitäten unterscheiden sich deutlich von anderen körperlichen Aktivitäten und stehen dann auch Versicherungen zur Verfügung, oder dem Arbeitgeber, wenn der Mitarbeiter das Gerät auch im Bett trägt (weil er oder sie dort spannende "wissenschaftliche Messungen" machen will, siehe Artikel links.

Die öffentlichen Diskussionen über die sexuellen Aktivitäten einer Frau, die ihre Trackingdaten frei verfügbar ins Netz gestellt hat, zeigt, wie tief diese Daten in das Intimleben eindringen (siehe die Graphik rechts). In Verbindung mit den Daten des GPS weiß der Betreiber (und alle die diese Daten gekauft haben) auch, wer da mit wem aktiv ist. Selbst wenn die andere Person nicht direkt identifiziert werden kann (z.B. weil sie nicht auch ein solches Gerät trägt) so geben auch die kontinuierlich gesammelten Ortsdaten sehr viel über Personen preis: wo sie arbeiten, wo sie einkaufen, welche Art von Clubs oder Pubs sie besuchen, wie viele Nächte sie nicht im eigenen Bett verbringen etc. Und die Kombination aus Arbeitsort und typischem Schlafplatz ist für 90% der Menschen eindeutig und gibt die direkte Identität preis (an anderer Stelle mehr zu De-Anonymisierungen).

Fitness-Apps teilen heimlich heikle Daten mit Facebook

2019: Fitness-Apps teilen heimlich heikle Daten mit Facebook. Das sind in diesem Fall Herzschlag, Blutdruck, Körpertemperatur. Die Daten können dann für personalisierte Werbung genutzt werden. Facebook schiebt die Verantwortung dafür auf die Entwickler. Für die Nutzer ist das aber egal, wer jetzt genau Schuld ist: alles was gesammelt wird, wird auch zu Geld gemacht, entweder über eine nicht gelesene Datenschutzerklärung oder einfach so.

Auch aus dem Intimleben 2016: Husband learns wife is pregnant from her Fitbit data. Der Ehemann hatte den erhöhten Puls seiner Frau bemerkt und im Internet im Internet auf Reddit diskutiert weil er einen technischen Fehler vermutet hatte. Einer der Teilnehmer in seiner Diskussionsgruppe hat dann auf Schwangerschaft getippt und ein Test hat diese auch bestätigt. An anderer Stelle mehr zum Thema Spuren im Internet.

Ein großes Problem liegt darin, dass zwar derzeit die Nutzung dieser Gerät noch freiwillig ist, aber es gibt bereits erste Initiativen, gegen die Überlassung der auf diese Weise gesammelten Daten Rabatte bei Versicherungen zu gewähren - das Angebot Vitality der Generali Versicherung. Früher stand auf der Generali Vitality-Website "einwilligungsbasierte Übermittlung von Aktivitätsdaten und Kauf von wearables bei den Generali Vitality Device Partnern" und "einwilligungsbasierter Informationsaustausch von Mitgliedsdaten zu Programm-, Abrechnungs- und Kontrollzwecken". Heute findet sich im Kleingedruckten dass Apple Watch Series 8, Apple Watch SE und Apple Watch Ultra unterstützt werden.

Wenn erst mal durch die Weitergabe der entsprechenden Gesundheits- und Bewegungsdaten sehr attraktive Versicherungsangebote zur Verfügung stehen, so wird ein entsprechender Druck entstehen, solche Tracker zu tragen, man wird ja wohl nichts zu verbergen haben. Ähnliche Ideen gibt es ja auch bei der Sozialversicherung für Selbständige in Österreich. Die Freiwilligkeit der Datenweitergabe und Überwachung wird nur noch für Menschen gegeben sein, die in der Lage sind, für ihre Privatsphäre einen Aufpreis zu zahlen.

Diese Datensammlungen betrifft jetzt erst mal Krankenversicherungen, aber auch Arbeitgeber sind sehr an mehr Daten über ihre Mitarbeiter interessiert. Der 2016 Artikel Taylorismus 2.0 Wie Unternehmen Mitarbeiter kontrollieren beschreibt ein recht gruseliges Szenario, das bereits in einigen Unternehmen Realität ist. Der Artikel erwähnt BP, Hitachi, der spanische Mobilfunker Telefonica und die amerikansichen Ketten Seven Eleven und The Counter. Natürlich muss das in Europa freiwillig sein, aber es werden attraktive finazielle Belohnungen für das Tragen dieser Armbänder geboten und außerdem entsteht evt. auch ein gewisser Gruppendruck - was hat denn der Kollege zu verbergen, macht der evtl. gar keinen Sport? Um die Transparenz der Mitarbeiter weiter zu erhöhen, braucht die Firma dann nur noch Sentiment Analyse einzuführen.

Was derzeit (seit ca. 2005) in Silicon Valley durch die vielen unterschiedlichen Cloud- und Web-Hosting-Dienste und die Social Networks an brisanten Daten angehäuft wird ist vermutlich genug Material, um jeden zukünftigen Politiker mittels Erpressung "unter Kontrolle zu bringen". Eine solche Erpressung muss ja nicht mal von der Firma selbst ausgehen, es genügt, dass ein Administrator seinen Zugriff auf die Daten ausnutzt und sich private Kopien anlegt, die später mal zu Geld gemacht werden könnten. Es gibt Hinweise, dass es Firmen gibt, die jede Nacht die Social Networks durchkämmen und alle Fotos wegsichern (für den Fall, dass der oder die Betroffene sie später reumütig löscht). Dann brauchen sie nur die warten, bis er oder sie mal als Politiker kandidieren möchte oder sie für Miss America kandidiert.

Eine Studie von Symantec zeigt 2014, dass ein sehr großer Teil der self-tracking wearables extrem unsicher programmiert ist: keine verschlüsselten Datenverbindungen ins Internet, Klartext-Übermittlung der Passworte, und ähnliche Probleme.

August 2017: Ein Artikel im Standard Die Lust an der Selbstkontrolle berichtet über neue Trends, z.B. die App Precire, die angeblich anhand einer einfachen Sprachprobe genauso gut wie Psychologen in aufwendigen Tests ermitteln können, wie jemand tickt.

Januar 2018: Ein mittlerer Aufreger - die App von Strava, einem Gerät für Läufer, lädt nicht nur alle Aktivitäten in die Wolke sondern zeigt auf einer weltweiten Karte jeden einzelnen Läufer an. Aufgefallen ist dann, dass an Stellen in Afghanistan, wo Google Maps nur Wüste zeigt, eine große Zahl von Läufern unterwegs ist. Dies sind geheime US-Basen wo die Soldaten diese App nutzen und damit militärische Geheimnisse verraten: Strava-Aktivitätenkarte: Pentagon lässt Sicherheitsvorkehrungen überprüfen. Einzelne Personen lassen sich bis zu ihrem Heimatort zurückverfolgen und damit auch identifizieren.

 

 

 

Sind smarte Brillen wirklich tot?

Das konkrete Produkt Google Glass war ab 2016 (erst mal, auch bis 2023) kein Thema mehr (der Widerstand war wohl doch zu groß), aber in diesem Abschnitt geht es um eine grundsätzliche Problematik von Brillen die Bilder aufzeichnen können (Fotos oder Videos).

Diese Produkte werden sicher in der näheren Zukunft kommen und werden auch immer wieder öffentlich angeboten, z.B. 2017 die Spectacles von Snapchat und 2019 die Datenbrille Focals als weiterere Versuche. Auch Google ist 2019 wieder am Markt, diesmal gezielt auf den Firmenbereich mit der deutlich verbesserten Google Glass Enterprise Edition 2.

Wer glaubt, Google Glass (und ähnliches) wäre bereits das Ende der Entwicklung, der kann sich die Patente von Google aus 2014 zu den Kontaktlinsen mit Kamera anschauen.

Die technischen Details reichen bis hin zur automatischen Analyse der Tränenflüssigkeit - daraus kann man nicht nur den Blutzuckerspiegel, sondern bestimmt auch den hormonellen Gemütszustand ablesen.

 

Alptraum 'Smarte Brillen' - Google Glass, 'Aufklärung' von Meta und zukünftige intelligente Brillen

Vermutlich werden in Zukunft irgendwann Brillen angeboten werden, in die Informationen einprojeziert werden, quasi Virtual Reality Light für die Straße. Dieser Artikel ist inspiriert durch Mark Hurst: The Google Glass feature no one is talking about. Mark Hurst ist Spezialist für "user experience", d.h. er berät Firmen wie sie die Benutzeroberflächen ihrer Produkte so gestalten können, dass die Bedienung möglichst intuitiv ist.

Er erwähnt, dass auch bei Google Glass "user experience" ein großes Thema ist, für ihn aber genau verkehrt rum. Er macht sich keine Sorgen um die Benutzer von Google Glass, sondern viel mehr Sorgen um alle anderen um ihn herum. Er denkt dabei nicht so sehr an die Features der ersten Modelle, sondern er denkt das Konzept gleich 10 oder 15 Jahre weiter.

Natürlich wird das Leben der Brillenträger noch ein Stück mehr transparent, aber da kann man argumentieren, dass diese das freiwillig tun. Und wer bisher bereits mit Smartphone durch die Lande zieht, der gibt auch heute bereits sehr viel über sich selbst preis. Aber was wirklich beunruhigend ist, das ist das was diese Technologie mit den Menschen machen, die die Brillen nicht tragen.

Und dafür muss man gar nicht weit in die Zukunft gehen, auch die ersten Modelle können schon einige erschreckende Sachen, z.B. über die eingebaute Kamera und Mikrofon. Damit kann der Brillenträger alles was um ihn herum vorgeht, aufzeichnen (vermutlich wird das in einem Smartphone gespeichert, da ist erstmal genug Platz für einige Stunden Video). In Zukunft werden schnellere Netze zur Verfügung stehen und dann gehen diese Lifestreams direkt "in die Cloud" zu Google. Das Ganze läuft unter Stichworten wie MyLifeBits oder Live Bitstreams und soll letztendlich alles was jemand in seinem Leben erlebt, aufzeichnen.

Das Problem ist aber, dass er damit auch Ausschnitte aus dem Leben seiner Mitmenschen aufzeichnet (in für Google auswertbar macht). Und diese Mitmenschen können sich nur schwer wehren, wenn so ein Brillenträger im Lokal, an der Arbeit oder im Bus auftaucht. Alle Gespräche werden aufgezeichnet, wenn er jemanden anblickt so kann im Hintergrund auf den Servern bei Facebook oder Google eine Gesichtserkennung durchgeführt werden und Name und Facebook-Seite werden automatisch eingeblendet. Wie kann man sich dagegen wehren?

Es muss eigenartig sein, sich mit einem Brillenträger zu unterhalten. Nicht nur wird alles aufgezeichnet was man sagt, sondern der Gegenüber weiß nie, was der Brillenträger jetzt gerade auf dem Schirm sieht (irgendein Youtube-Video, weil er gelangweilt ist, oder ein Überblick über die Lebensgeschichte seines Gegenübers, online Dank Facebook Timeline - das wird ein interessantes Dating-Erlebnis mit so einem Gegenüber ;-) ). Den Brillenträger bitten, die Brille runterzunehmen geht evtl. nicht, wenn das Ganze in seine Sehbrille integriert ist und er ohne diese Brille nicht viel sieht.

Und man weiß auch nie, ob der Lifestream nicht vielleicht sofort irgendwo online gestellt wird. Vermutlich wird es einen Offline-Modus geben, d.h. man kann den Brillenträger bitten, den Lifestream abzustellen. Aber das ist dann vermutlich so wie bei anderen Apps oder Programmen auch (z.B. wenn man Facebook auffordert, etwas zu löschen - die Daten werden dem Benutzer dann einfach nicht mehr angezeigt): Dieses Gespräch wird dann nicht mehr im Lifestream des Brillenträgers erscheinen, sondern nur noch von den Google-Servern im Hintergrund archiviert und indexiert.

Aber Google kann mit dem Datenstrom aber natürlich noch mehr. Text-to-speech wird immer besser, d.h. warum nicht gleich in Text umwandeln und indexieren. D.h. wenn jemand in meinem Umfeld so eine Brille trägt, so kann Jahrzehnte später über eine schnelle Suche gecheckt werden, ob ich mich irgendwann mal über irgendein Thema geäußert habe.

Wenn die Entscheidung Einzelner Auswirkungen auf Unbeteiligte hat, so spricht man übrigens von Externalitäten, von denen ich an anderer Stelle noch mehr Beispiele bringe.

Wohin das Ganze führen kann, wenn Leute wie Google CEO Larry Page nicht gestoppt werden, das zeigt die Vision vom Google Island.

Falls sich diese Brillen durchsetzen so heißt das, dass unsere Leben sehr transparent sein werden. Diese Technologie aufzuhalten wird extrem schwer sein. Und diese Technologie wird nicht nur in Form von Brillen vorliegen, bereits jetzt 2013 wird an Kontaktlinsen gearbeitet.

Und in vielen Ländern (z.B. Russland oder Singappur) sind in vielen Autos Kameras installiert, die alles aufnehmen. Hauptgrund ist Nachweis bei Unfällen. Für Russland ist die Präsenz der Kameras schön demonstriert bei den vielen Videos des Asteroiden über Siberien. Sehr bald wird auch der andere Teil von Google Glass in den Autos sein: Windschutzscheiben, die als Display dienen und zu Beginn erst mal nur Informationen über das Fahrzeug und den Weg anzeigen, aber bestimmt irgendwann dann auch Werbung für Sachen die am Weg liegen.

Wir sind auf dem Weg zum wahrlich gläsernen Menschen wieder einen Riesenschritt vorangekommen. Zum Glück bildet sich die erste Protestbewegung gegen diese Gläser.

Aug. 2014:
Forscher haben getestet, ob sich Google Glass dafür eignet, den Zugangscode fremder Handys auszuspionieren. JA, selbst dann, wenn der Bildschirm selbst verdeckt ist und nur die Fingerbewegungen sichtbar sind. Und notfalls sogar aus höheren Stockwerken bis 43 Meter Entfernung.

 

 

 

Wo sind denn die Daten geblieben? - Was passiert beim Konkurs einer Plattform?

Ein auch aus anderen Gründen sehr empfehlenswerter Vortrag The Internet With A Human Face - Beyond Tellerrand 2014 (von Peter Watts) wirft an einer Stelle die Fragen auf, wo denn die Daten der mittlerweile obsoleten Social Networks geblieben sind.

Im Konkursfall fallen, zumindest in den USA, alle Werte (d.h. auch die persönlichen Daten) an den Konkursverwalter. Dessen Aufgabe ist es, aus den Resten des Unternehmens möglichst viel für die Gläubiger zu retten. Er ist in den USA (wo die meisten unserer Cloud-Daten lagern) NICHT an die alten Verträge, z.B. die Versprechen der ursprünglichen Firma über die Nicht-Weitergabe gebunden (die Lage in Europa sollte sauberer sein - nach meinem Verständnis muss auch der Nachlassverwalter sich an die Datenschutzgesetze halten und darf daher die Daten keinem neuen Verwendungszweck zuführen. Außer, die Nutzungsbedingungen sind so, dass der Nutzer der Weitergabe der Daten an "befreundete Unternehmen" zugestimmt hatte, dann geht natürlich vieles. SchuelerVZ hat sein Ende wohl ganz ordentlich implementiert.).

Das heißt, der Datenverwalter eines US-Services wird vermutlich die Daten meistbietend versteigern und das kann er eigentlich mehrfach tun (außer es lässt sich ein Käufer Exklusivität zusichern).

Wann haben Sie denn das letzte Mal Nutzungsbedingungen bis zum bitteren Ende durchgelesen, bevor Sie einem Service zugestimmt haben?

 



Philipp Schaumann, https://sicherheitskultur.at/


zeigende Hand als Hinweis auf Verlinkung zur HauptseiteHome

Copyright-Hinweis:
Das Copyright des Materials auf diesen Webseiten liegt, falls kein anderer Autor genannt wird, bei Philipp Schaumann. Creative Commons License Icon
Diese Texte sind lizensiert unter der Create Commons Attribution-Noncommercial-Share Alike 2.0 Austria Lizenz. Natürlich gelten auch die Regeln des Fair Use und über Ausnahmen bzgl. der Lizenz kann jederzeit mit den Autoren gesprochen werden.