Ein neuer Datenskandal trifft dieses Mal Fans von smartem Fitness-Zubehör. Denn wie eine Analyse der Webseite WebsitePlanet sowie dem Sicherheitsforscher Jeremiah Fowler zeigt, waren Millionen von Daten über eine nicht geschützt Datenbank frei für jedermann einsehbar. Passwortschutz: Fehlanzeige.
Datenskandal bei Fitness-Trackern und Wearables
Das Forschungsteam entdeckte die Datenbank bereits Ende Juni und konnte laut eigener Aussage auf 61 Millionen Datensätze zugreifen. Die Datenbank selbst gehört GetHealth. Also einem Unternehmen, dass eine einheitliche Lösung für den Zugriff sowie die Verarbeitung von Gesundheitsdaten anbieten will. Doch wen betrifft der Datenskandal?
Im Hinblick auf die gespeicherten Angaben in der Datenbank zog das Team eindeutige Rückschlüsse darauf, dass die Informationen von Fitness-Trackern und anderen Wearables stammen, die man zu gesundheitlichen Zwecken nutzt. Darin enthalten waren nicht nur allgemeine Angaben, sondern auch personenbezogene Daten. Darunter etwa sensible Informationen zum Namen der Personen, Geburtstag, Gewicht, Größe, Geschlecht sowie GPS-Positionsdaten.
Betroffen sind dabei nicht Noname-Hersteller, sondern beliebte Marken. Dazu zählen Fitbit, Wearables von Misfits, Microsoft Band, Google Fit und Strava. Auch Apples HealthKit ist in der Datenbank vertreten.
Dabei offenbarte sich in einer Stichprobe, in der die Forscher 20.000 Datensätze überprüften, dass in erster Linie Nutzerdaten von Fitbit und Apple HealthKit betroffen sind. Die personenbezogenen Daten waren im Klartext verfügbar. Außerdem konnte man nachvollziehen, wo sich die Nutzer befanden und wie das Netzwerk im Allgemeinen arbeitet.
Grund für Sicherheitslücke unklar
WebsitePlanet und Fowler setzten GetHealth über die gravierende Sicherheitslücke bereits in Kenntnis. Mittlerweile ist die Datenbank gesichert und die Nutzerinformationen somit geschützt. Unklar bleibt jedoch, wie die Sicherheitslücke zustande kam und ob, beziehungsweise wer in diesem offenen Zeitraum Zugriff auf die Daten hatte. Ebenso wenig kann ermittelt werden, wer und wie viele Personen letztlich von der Situation wirklich betroffen sind.
Wer hätte gedacht, dass sowas bei Apple passiert, bei denen der Datenschutz immer groß geschrieben wird. Mich freut, dass mein Hersteller nicht dabei ist.