Mehr als 500 Millionen Nutzer tauschen Nachrichten, Bilder und Videos über den mobilen Kommunikationsdienst WhatsApp aus – Datenschutz spielt dabei meist eine untergeordnete Rolle. Tatsächlich öffnet die Smartphone-App „Schnüfflern“ Tür und Tor: Forscher aus Ulm und Pittsburgh haben nämlich gezeigt, dass der Online-Status einer beliebigen Handynummer direkt beim WhatsApp-Server abgegriffen werden kann – und zwar selbst dann, wenn der Nutzer den Zeitstempel „zuletzt online“ deaktiviert hat. Mit diesen Daten lässt sich womöglich der komplette Tagesablauf eines Anwenders rekonstruieren. Und damit nicht genug: In Ansätzen kann jeder WhatsApp-Nutzer – vom Arbeitgeber bis zur Ehefrau – Schlüsse aus dem Online-Status eines Kontakts ziehen.
In einem gemeinsamen Forschungsprojekt haben Informatiker um Andreas Buchenscheit (Hochschule Ulm, Cortex Media GmbH) sowie Professor Frank Kargl und Bastian Könings von der Universität Ulm eine Software entwickelt, mit der sie eine beliebige Zahl von WhatsApp-Anwendern gleichzeitig und ohne ihr Wissen „überwachen“ können. Getestet wurde die Methode über vier Wochen an zwei unabhängigen Gruppen mit insgesamt 19 Mitgliedern (17 – 29 Jahre). Die Probanden, die teilweise studierten oder bereits im Berufsleben standen, hatten der Verwendung ihrer WhatsApp-Daten zugestimmt.
Tatsächlich gelang es den Wissenschaftlern, lückenlos nachzuweisen, wann die Nutzer wie lange aktiv waren – insgesamt wurde der Dienst im Untersuchungszeitraum 545 Stunden in Anspruch genommen.
Mithilfe von selbst entwickelten Metriken konnten die Informatiker darüber hinaus Nutzungsprofile der Studienteilnehmer erstellen und so Informationen über ihren Alltag gewinnen. „Mit unserem Forschungsvorhaben wollten wir die Möglichkeit der Überwachung demonstrieren und darauf hinweisen, welche Konsequenzen dies für die Privatsphäre haben kann“, erklärt Andreas Buchenscheit, Erstautor der aktuellen Studie. Anhand des Zeitstempels lässt sich beispielsweise feststellen, wann eine Person morgens aufsteht, und ob der Kommunikationsdienst zu unangemessenen Zeiten, zum Beispiel im Büro, genutzt wird. Ein Partybesuch der studentischen Probanden konnte ebenfalls aus den Statusinformationen abgelesen werden. Besonders bedenklich: Die Forscher erkannten sogar Kommunikationsmuster und konnten so Chats zwischen Studienteilnehmern identifizieren. Wen kontaktiert die Freundin? Tauscht sich der Kollege womöglich mit dem Mitbewerber aus? Und wie lange chattet der Nachbar mit dem umstrittenen Oppositionspolitiker? Kurzum – die Methode lässt sich im Privaten einsetzen, dürfte aber auch Regierungen interessieren, die Bürger überwachen wollen.
Nach der „Datensammlung“ legten die Probanden in Interviews persönliche Daten offen, sie gaben Auskunft über ihren Tagesablauf sowie ihre Smartphone-Nutzung. Und siehe da: Viele Schlüsse, die die Forscher aus den Online-Statusinformationen gezogen hatten, bestätigten sich. Etliche Studienteilnehmer reagierten geschockt: In Ansätzen kann schließlich jeder, der bei WhatsApp registriert ist und die Nummer der Zielperson in seinem Smartphone gespeichert hat, personenbezogene Informationen aus dem Zeitstempel ableiten.
Mit ihrer Forschung wollen die Informatiker auf ein Problem hinweisen, das nicht nur WhatsApp betrifft, sondern alle Kommunikationsdienste, die mit dem Online-Status arbeiten: „Metadaten verraten oft mehr über Nutzer, als ihnen bewusst ist. Beim Systemdesign sollte der Datenschutz also immer mitgedacht werden“, betont Professor Kargl, Direktor des Instituts für Verteilte Systeme an der Uni Ulm.
Im November wird die aktuelle Studie bei der Konferenz „MUM 2014: The International Conference on Mobile and Ubiquitous Multimedia“ im australischen Melbourne vorgestellt. Neben den Uni-Informatikern Professor Frank Kargl und Bastian Könings, Wissenschaftlicher Mitarbeiter am Institut für Medieninformatik, waren die Alumni Andreas Buchenscheit, der mittlerweile an der Hochschule Ulm lehrt, und Florian Schaub (jetzt Carnegie Mellon University, USA) an der Untersuchung beteiligt. Dazu kommen Andreas Neubert und Matthias Schneider, Experten für Internetsicherheit bei der Ulmer Cortex Media GmbH (Inhaber: Andreas Buchenscheit). Gemeinsam planen sie nun eine umfangreichere Studie, bei der Statusdaten automatisch interpretiert werden, um so Kommunikationspartner und Gewohnheiten der WhatsApp-Nutzer noch exakter zu identifizieren.
WhatsApp – Lücken beim Datenschutz
21. Oktober 2014
Keine Kommentare
Ulmer Informatiker haben eine Datenschutz-Lücke beim beliebten Chatdienst WhatsApp gefunden. Aus dem Online-Status konnten sie den Tagesablauf von Nutzern rekonstruieren und sogar einzelne Chats identifizieren. Wen kontaktiert die Freundin? Tauscht sich der Kollege womöglich mit dem Mitbewerber aus? Und wie lange chattet der Nachbar mit dem umstrittenen Oppositionspolitiker? Die Methode lässt sich im Privatleben einsetzen, dürfte aber auch Regierungen interessieren, die Bürger überwachen wollen.
