Kategorie: Mobile Business

FBI entschlüsselt Smartphones

1. April 2016

Der Rechtsstreit zwischen Apple und dem FBI hinsichtlich der Entschlüsselung der iPhones von Tatverdächtigen hat sich erledigt. Zwischenzeitlich hat das FBI ohne Mithilfe von Apple einen Weg gefunden, an die auf dem Smartphone gespeicherten Daten zu gelangen. Hintergrund des Rechtsstreits war, dass das FBI im Rahmen der Strafverfolgung der mutmaßlichen Täter des Attentats von San Bernadino im Dezember 2015 den iPhone-Hersteller um Zugriff auf die Daten in deren Smartphones bat. Apple weigerte sich jedoch mit dem Argument des Datenschutzes der Anordnung nachzukommen.

Die Terroranschläge in Europa entfachen auch in den EU-Mitgliedsstaaten erneut die scheinbar endlose Debatte um die Abwägung von Sicherheit vs. Datenschutz. Das Argument der Sicherheitsbehörden auf Daten in Smartphones, PCs und weiteren Endgeräten zum Zwecke einer effektiven Gefahrenabwehr und Strafverfolgung zugreifen zu dürfen, erscheint plausibel. Gleichzeitig muss bedacht werden, dass das Streben nach Sicherheit nicht die Grundrechte der Bürger auf informationelle Selbstbestimmung und Vertraulichkeit und Integrität informationstechnischer Systeme ausgehöhlt und diese nur noch auf dem Papier existieren.

Da sich in dieser Hinsicht pauschale Regelungen verbieten, wird und sollte die öffentliche Debatte um die Abwägung von Sicherheit vs. Datenschutz weiterhin geführt werden.

Online Banking mittels TAN-Apps in der Kritik

23. Oktober 2015

Wie Forscher der Uni Erlangen in einem Angriff zeigen konnten, ist die Kombination der Sparkassen-Apps Sparkasse+ und pushTAN für Angreifer ausnutzbar. Bei Nutzung beider Apps auf einem Gerät genügt es Angreifern, einen Trojaner auf das Gerät zu installieren, um Transaktionen durchzuführen. Dieser Versuch entblößt zwar mit der Sparkasse vordergründig nur ein Bankhaus. Die Apps der Sparkasse wurden hier jedoch nur exemplarisch gewählt. Die Forscher weisen ausdrücklich darauf hin, dass die Sicherheitslücke bei allen Banken bestehen dürfte, die auf diese Weise vorgehen.

Der Nachteil eines Systems, welches nur auf ein Gerät abstellt, liegt auf der Hand. Ist dieses Gerät einmal kompromitiert, stehen dem Angreifer die Tore zum Konto des Betroffenen offen. Das in dieser Hinsicht sicherlich vorzugswürdige System mittels ChipTan ist in der Praxis unbeliebt, da es für Transaktionen erfordert, dass man einen TAN-Generator zur Verfügung hat.

Grund sofort das Online-Banking einzustellen und wieder auf den Sparstrumpf zu setzen besteht aber vorerst nicht unbedingt. Wie heise online ausführt ist der vorgeführte Angriff auf das Android-Betriebssystem (mittels Root Exploit) durchaus komplex. Die Forscher hätten allein mehrere Wochen benötigt um die App genau zu analysieren. Die Forscher halten einen Angriff von professionellen Online-Banking-Betrügern auf diese Weise aber für wiederholbar. Ein vollends sicheres System, welches gleichzeitig auch größtmögliche Benutzerfreundlichkeit bietet, ist also noch nicht gefunden.

Spotfiy ändert Datenschutzbestimmungen

27. August 2015

Zum 19.08.2015 hat der Musik-Streamingdienst Spotify seine Nutzungs- und Datenschutzbestimmungen geändert, wie die Süddeutsche Zeitung berichtet.
Nutzer können sich bei Spotify registrieren und auf ein Repertoire von bis zu 30 Millionen verschiedenen Musiktiteln zugreifen. Diese können sie mit verschiedenen Endgeräten wiedergeben. Die Nutzung ist entweder kostenlos mit Werbeunterbrechungen oder für einen monatlich zu entrichtenden Betrag ohne Werbeunterbrechungen möglich.
Neben den für die Registrierung und gegebenenfalls für die Abrechnung erforderlichen Daten erhebt Spotify nun auch weitere auf dem Mobilgerät des Nutzers gespeicherte Daten. Zu diesen Daten gehören Kontaktdaten, Fotos und andere Mediendaten. Darüber hinaus werden teilweise auch Daten über den aktuellen Standort des Nutzers erhoben. Mit Hilfe der Standortdaten kann Spotify Sensordaten erstellen. Aus diesen Sensordaten ergibt sich, mit welcher Geschwindigkeit der Nutzer sich fortbewegt – also ob er beispielsweise gemütlich spazieren geht oder joggt.
Auf Grundlage dieser Daten kann Spotify Profile der Nutzer erstellen und seinen Vertragspartnern anbieten, die Nutzer möglichst individuell zu bewerben.
Zwar können die Nutzer die Werbemaßnahmen teilweise unterbinden, indem sie die Handlungsanweisungen in den Datenschutzbestimmungen befolgen und die technischen Voreinstellungen verändern.
Aus datenschutzrechtlicher Sicht ist jedoch fraglich, weswegen die Erhebung von Kontaktdaten, Fotos und anderen Mediendaten für die Erbringung des Streaming-Dienstes erforderlich ist. Auf diese Frage ergibt sich auch aus den Datenschutzbestimmungen keine plausible Antwort.
Insofern ist die Datenerhebung durch Spotify kritisch zu betrachten, wenngleich sie datenschutzrechtlich zulässig ist, weil die Nutzer ihre Einwilligung hierein erklärt haben. Der Widerspruch eines Nutzers in die Datenerhebung ist nur möglich, indem der Nutzer komplett auf die Nutzung des Streamningdienstes verzichtet.
Es bleibt abzuwarten ob die Nutzer mit einem Wechsel des Streamingsdienst auf die Änderungen der Datenschutzbestimmungen reagieren oder ob möglicherweise noch mit einer Maßnahme der Aufsichtsbehörden zu rechnen ist.

Fingerabdruckscan von Androidgeräten bedingt Sicherheitsbedenken

13. August 2015

Die von Android angebotene Fingerabdruck-Technologie wird nach einem Bericht von Spiegel-Online von IT-Spezialisten als unsicher eingestuft. So seien die sensiblen biometrischen Daten der Nutzer, etwa auf dem HTC One Max, unverschlüsselt auf dem Gerät gespeichert und somit für alle Apps relativ problemlos auslesbar. Den Fachkräften gelang es mehrere Fingerabdrücke zu kopieren, was als kritscheres Sicherheitsrisiko angesehen wurde, als etwa das Ausspähen eines Passwortes.

Anders verhielt sich das Thema bei Apple-Produkten. Diese seien weitgehend sicher. Die Daten würden hier unmittelbar nach dem Erfassen verschlüsselt und seien so vor unrechtmäßigen Zugriffen oder Nutzungen ausreichend gesichert.

Kategorien: Mobile Business
Schlagwörter: , , ,

Zeige mir, wie Du tippst und ich sage Dir, wer Du bist

3. August 2015

Neben herkömmlichen Passwörtern, biometrischen Verfahren und Multifaktor-Logins wird zurzeit an einer weiteren Alternative geforscht, um Menschen im Internet zu authentifizieren: Durch Verhaltensanalyse, Behavioral Analysis, also der Art und Weise, wie der Nutzer auf eine Tastatur tippt, ob auf seinem PC, Tablet oder Smartphone. Konkret werden Erkenntnisse vor allem aus der Geschwindigkeit des Tippens, aus dem Tastendruck und aus der Art und Weise der beim Tippen eingelegten Pausen gewonnen, die den IT-Sicherheitsexperten genügend Daten liefern, um individuelle Profile erstellen zu können.

Skandinavische Banken testen dieses Verfahren bereits seit dem vergangenen Jahr, die dänische Danske Bank verwendet es bereits für ihr Online-Banking. Das schwedische Unternehmen BehavioSec biete Websitebetreibern an, mit dieser Technik die Logins ihrer Kunden zu sichern.

Die Kehrseite der Medaille einer neuen Authentifizierungsmethode ist jedoch die Gefahr des Missbrauchs der durch die Verhaltensanalyse gewonnen Daten für eine ungewollte Identifizierung des Nutzers. Das Skript von BehavioSec funktioniert beispielsweise auch bei Usern des (eigentlich) anonymisierten Tor-Browsers. Vor allem aber wird der Nutzer völlig im Unklaren darüber gelassen, ob und in wie weit sein Verhalten aufgenommen und analysiert wird. Auch dafür haben findige Entwickler aber schon eine Lösung parat: Jedenfalls bei Google Chrome kann die Eingaben in Textfeldern durch ein Browser-Add-On zufällig um ein paar Milisekunden verzögert werden, so dass eine versteckte Verhaltensanalyse nicht mehr möglich sein soll.

Gesundheits-Apps unter Studierenden: Leistungsoptimierung geht über Datenschutz

24. Juli 2015

Im Rahmen eines deutschlandweiten Forschungsprojekts der Universität Bielefeld zur Techniknutzung im Gesundheitssektor, für welches 675 Studierende befragt wurden, bestätigt sich nicht nur, dass das Angebot an Gesundheits-und Fitness-Apps für Smartphone und Smartwatch immer umfangreicher wird, sondern auch, dass die Nutzung in Kreisen der Entscheider von morgen schon längst im Alltag angekommen ist.

Was aus Perspektive der Datenschützer erst mal positiv klingt: Wie die Universität bestätigt, ist die Sensibilität für das Thema Datenschutz unter den Studierenden durchaus vorhanden. Ernüchternd aber: In Zeiten der Selbst- und Leistungsoptimierung fällt die Abwägung der Studierenden zwischen dem Nutzwert dieser Anwendungen und den (berechtigten) Datenschutzbedenken regelmäßig pro Nutzung der Apps aus – und damit pro Preisgabe zahlreicher sensibler Gesundheitsdaten, von denen Versicherer und andere potentielle Interessenten sonst nur hätten träumen können.

„Gerade mit Blick auf Risiken wie den Datenmissbrauch zeigt sich hier ein bemerkenswerter Verdrängungsprozess, der allerdings auch damit einhergeht, dass das bisherige Wissen der Nutzerinnen und Nutzer zu gering ist, zitiert die Universität den Gesundheitswissenschaftler Christoph Dockweiler. „Gerade mal jeder Dritte fühlt sich ausreichend informiert über die potenziellen Risiken der Nutzung“.

Unter 675 Befragten gab mehr als ein Drittel der befragten Studentinnen und Studenten an, täglich Gesundheits- oder Medizin-Apps zu nutzen. Mehr als zwei Drittel dieser Gruppe nutzt dabei Apps zur Gesundheitsüberwachung, beispielsweise hinsichtlich Bewegungspensum oder Schlafverhalten. Immerhin die Hälfte der Befragten nutzt Sport-Apps, welche zurückgelegte Lauf- oder Radstrecken speichern, und dabei auch die Herzfrequenz und den Kalorienverbrauch messen. Ziel dieser Nutzungen ist demnach neben der eigenen Gesundheitskontrolle gerade die Steigerung der individuellen Leistungsfähigkeit – nicht nur ein Nebenaspekt in einer Zeit, in der sich junge Akademiker immer komplexeren Anforderungen ausgesetzt sehen und schon in frühen Semestern um ihre Credits bemüht sein müssen. Der allgemeine Fitnesstrend trägt den Rest dazu bei, einen digitalen Geschäftszweig zu nähren, der nur eines zum Ziel hat: den massenhaften Ertrag von aussagekräftigen personenbezogenen Daten.

Es braucht nicht viel Fantasie um zu erahnen, welche Möglichkeiten und welches Missbrauchspotential diese Datensätze den Interessenten aus der Wirtschaft offerieren – nicht zuletzt im Zeitalter der Big-Data-Technologie, dessen Beginn wir gerade erst erleben.

App kontrolliert Stimmung von Mitarbeitern

2. Juni 2015

Nach dem Vorbild des Trends in amerikanischen Unternehmen die Mitarbeiter mit Armbändern auszustatten, die deren tägliche Bewegungen messen und so deren Fitnesszustand dokumentieren, hat nun eine Münchener App-Schmiede eine App auf den Markt gebracht, die vermeintlich den Gemütszustand der Mitarbeiter kontrollieren kann. Hierzu zeichnet diese unterschiedliche Parameter auf, die vermeintlich einen Rückschluss auf das Stresslevel zulassen, wie etwa die Stimme, das Tippverhalten und Bewegungen. Selbst das Schlafverhalten wird analysiert.

Würden diese besonders sensiblen Daten im Sinne des § 3 Nr.9, 28 Abs.6 ff. BDSG Daten nur dem Mitarbeiter selber zur Verfügung stehen, wäre dies datenschutzrechtlich unbedenklich. Dies ist jedoch nicht das Ziel der App. Diese stellt die Daten der Geschäftsführung zur Verfügung. Vordergründig wird dies mit der Gesundheitsfürsorge begründet, um so notwendige Gegenmaßnahmen einzuleiten. Hierzu müssten die Daten entweder anonymisiert werden, oder eine arbeitrsrechtlich nicht unumstrittene Einwilligung des Arbeitnehmers hierzu einholen. Nach den Angaben zur App wird die Anonymität zwar gewährleistet, je nach Größe des Unternehmens und Anzahl der Mitarbeiter, kann es jedoch aufgrund der Bewegungsprofile zu einer Aufhebung dieser kommen.

Android-Handys: Gelöschte Daten wieder herstellbar

25. Mai 2015

Wie eine Studie der Camebridge University jetzt ergab, können sich Nutzer älterer Android-Handys nicht auf die sog. Factory Reset Funktion verlassen und davon ausgehen, dass sich ihr Gerät nach Durchführen dieser Funktion wieder im ursprünglichen Werkszustand befindet. Den Forschern zufolge wird der Löschvorgang nur unvollständig durchgeführt, persönliche Login-Angaben und andere personenbezogene Daten, inklusive Textnachrichten und Fotos sowie Kontaktdaten für Facebook und WhatsApp, werden nicht vollständig entfernt.

Darüber hinaus konnten auch Tokens von Google-Diensten wieder hergestellt werden, es konnte also eine Art Hauptschlüssel extrahiert werden und so etwa Zugriff auf Gmail und den Google-Kalender der ehemaligen Nutzer genommen werden.

Den Schätzungen der Wissenschaftler zufolge können rund 500 Million Geräte der Versionen Android 4.3 und älter betroffen sein. Eine vollständige Datenverschlüsselung kann helfen, das Problem jedenfalls abzumildern.

Wearables machen Versicherte zu “gläsernen Patienten”

4. März 2015

Sogenannte „Wearables“ (von Wearable Computing, tragbare Computersysteme), also am Körper zu tragenden mobile kleine Computersysteme, sind nicht nur auf dem zurzeit stattfindenden Mobile World Congress in Barelona das Thema. Auch im Gesundheitswesen sorgen sie jetzt für Aufsehen und können Versicherte zu gläsernen Patienten machen. Der New Yorker Krankenversicherer Oscar Health sammelt die Daten seiner Kunden bereits auf diese Weise und zahlt ihnen Prämien aus, wenn Sie trainieren – und ihre Aktivitäten über die Wearables aufzeichnen lassen.

Oscar Health operiert dabei mit folgendem Konzept: Es schickt Versicherten Smartwatches und zahlt Prämien, wenn sie bestimmte Fitness-Ziele erreichen. Wer sein Programm erfolgreich absolviert, bekommt einen Dollar Belohnung pro Tag. Der maximale Erlös ist allerdings auf 20 Dollar im Monat und 240 Dollar im Jahr begrenzt.

Datenschützer haben bereits in der Vergangenheit mehrfach vor dieser Praxis gewarnt: Bei der Übermittlung von Trainingswerten handelt es sich um sensible Gesundheitsdaten. Zusammen mit anderen Daten kann damit ein umfassendes Gesundheitsprofil der betreffenden Person erstellt werden. Daraus können die Versicherungen Gesundheitsprognosen ableiten und dem Versicherten nicht nur profilgenaue Angebote unterbreiten, sondern auch künftige Risikozuschläge berechnen. Darüber hinaus ist die langfristige Verwendung der auf diese Art gespeicherten sensiblen Daten noch völlig offen.

Bundestag-Ausschuss diskutiert neue Facebook-Bedingungen

29. Januar 2015

Am 30. Januar treten Facebooks neue Nutzungsbedingungen in Kraft. Neben der Möglichkeit für Mitglieder, genauer festzulegen, wer ihre Einträge ansehen kann oder herauszufinden, warum ihnen bestimmte Werbung zugespielt wird, ermöglichen die neuen AGB aber auch eine detailliertere Verfolgung des Nutzerverhaltens. Der Rechtsausschuss des Bundestages diskutierte daher gestern mit Richard Allan, dem für Europa zuständige Policy Director des Unternehmens, über die geplanten Änderungen.

Sowohl Abgeordnete als auch Datenschützer kritisierten das Online-Netzwerk: Der Hamburger Datenschutzbeauftragte Johannes Caspar erklärte, es sei unklar, ob aus den Daten Nutzerprofile gebildet würden und ob die Weiternutzung als Einwilligung ausreiche. Vor allem sei Facebook auch nach wie vor nicht der Meinung, dass deutsches Datenschutzrecht gelte.

Die Vorsitzende des Ausschusses, Renate Künast, warf dem Unternehmen mangelnde Offenheit vor. Noch immer sei unklar, welche Daten Facebook eigentlich zu welchem Zweck sammelt, nutzt und auswertet.

Wer sich nach dem 30. Januar auf Facebook einloggt, stimmt den neuen Regeln automatisch zu, ohne dass ein Widerspruch überhaupt möglich ist. Die einzige Alternive, die Nutzern bleibt, die sich mit den Änderungen nicht einverstanden zeigen wollen, ist, sich komplett abzumelden. Diesen Punkt kritisierte der Parlamentarischer Staatssekretär im Bundesjustizministerium, Ulrich Kelber (SPD): In einem Brief an das Netzwerk bemängelte er, viele Aussagen seien nicht konkret genug.

Leider konnten die Abgeordneten und Datenschützer jedoch gestern kein Einlenken von Facebook erreichen, es wurden in der Sitzung keine Änderungen seitens Facebook angekündigt.

1 4 5 6 7 8 15