Die Reuters-Agentur veröffentlichte einen Warnartikel darüber, dass der chinesische Riese Xiaomi persönliche Daten von Millionen Menschen über ihre Online-Aktivitäten sowie die Nutzung des Geräts aufzeichnet. „Das ist ein Backdoor mit Telefonfunktionalität“, sagte Gabi Kirlig halb im Scherz über sein neues Xiaomi-Smartphone.
Dieser erfahrene Cyber-Sicherheitsforscher sprach mit Journalisten von Forbes, nachdem er festgestellt hatte, dass sein Redmi Note 8 alles überwacht, was er tut. Diese Daten wurden dann an entfernte Server gesendet, die von einem anderen chinesischen Technologieriesen, Alibaba, gehostet werden, den Xiaomi wahrscheinlich anmietet.
Herr Kirlig stellte fest, dass eine alarmierende Menge an Informationen über sein Verhalten überwacht wurde, während gleichzeitig verschiedene Arten von Daten vom Gerät gesammelt wurden – der Spezialist war erschrocken darüber, dass Informationen über seine Identität und Privatsphäre dem chinesischen Unternehmen vollständig bekannt waren.
Als er Websites im standardmäßig installierten Xiaomi-Browser durchschaute, protokollierte dieser alle besuchten Seiten, einschließlich Suchanfragen bei Suchmaschinen, ob Google oder die datenschutzorientierte DuckDuckGo, und es wurde auch alles aufgezeichnet, was im Nachrichtenfeed von Xiaomi angesehen wurde. Diese gesamte Überwachung funktionierte sogar im „Inkognito“-Modus.
Das Gerät zeichnete auf, welche Ordner geöffnet wurden, welche Bildschirme gewechselt wurden, selbst wenn es um die Statusleiste und die Einstellungsseite des Geräts ging. Alle Daten wurden paketweise an entfernte Server in Singapur und Russland gesendet, obwohl die Web-Domains Server in Peking registriert waren.
Auf Anfrage von Forbes führte ein anderer Cyber-Sicherheitsforscher, Andrew Tierney, eine eigene Untersuchung durch. Auch er stellte fest, dass die von Xiaomi in Google Play angebotenen Browser – Mi Browser Pro und Mint Browser – dieselben Daten sammelten. Laut den Statistiken von Google Play wurden sie zusammen über 15 Millionen Mal installiert, wodurch Millionen von Geräten betroffen sein könnten.
Die Probleme, so Herr Kirlig, betreffen eine viel größere Anzahl von Modellen. Er hat die Firmware für andere Xiaomi-Telefone heruntergeladen, darunter das Xiaomi Mi 10, Xiaomi Redmi K20 und Xiaomi Mi MIX 3, und bestätigte danach, dass sie denselben Browser verwenden und wahrscheinlich die gleichen Datenschutzprobleme aufweisen.
Es scheint auch Schwierigkeiten damit zu geben, wie Xiaomi Daten an seine Server überträgt. Obwohl das chinesische Unternehmen behauptet, dass die Daten verschlüsselt werden, hat Gabi Kirlig entdeckt, dass er schnell sehen kann, was von seinem Gerät hochgeladen wurde, da zur Verschlüsselung der einfachste Algorithmus base64 verwendet wird. Es dauerte nur wenige Sekunden, um die Datenpakete in lesbare Informationsfragmente umzuwandeln. Er warnte auch: "Mein größtes Bedenken hinsichtlich der Privatsphäre ist, dass die Daten, die an entfernte Server gesendet werden, sehr leicht mit einem bestimmten Benutzer in Verbindung gebracht werden können."
Als Reaktion auf die Ergebnisse der genannten Experten erklärte ein Vertreter von Xiaomi, dass die Aussagen über die Forschungen nicht der Wahrheit entsprechen und dass Datenschutz und Sicherheit oberste Priorität haben, wobei das Unternehmen die örtlichen Gesetze und Vorschriften hinsichtlich der personenbezogenen Daten der Nutzer strikt einhält und vollständig befolgt. Der Vertreter bestätigte jedoch, dass Daten über das Surfverhalten gesammelt werden, und behauptete, dass die Informationen anonym und nicht mit einer bestimmten Person verknüpft sind und die Nutzer ihr Einverständnis zu dieser Verfolgung geben.
Doch, wie Gabi Kirlig und Andrew Tierney anmerken, wurden nicht nur Informationen über besuchte Websites oder Internetsuchen an den Server gesendet: Xiaomi sammelt auch Daten über das Telefon, einschließlich der eindeutigen Nummern zur Identifizierung eines bestimmten Geräts und der Android-Version. Solche Metadaten lassen sich bei Bedarf leicht mit einer realen Person hinter dem Bildschirm verknüpfen.
Ein Sprecher von Xiaomi wies auch die Behauptungen zurück, dass die Daten über die Ansichten im Inkognito-Modus aufgezeichnet werden. Sicherheitsexperten haben in ihren unabhängigen Tests jedoch festgestellt, dass ihr Online-Verhalten unabhängig von dem Modus, in dem der Browser arbeitet, an entfernte Server gesendet wird, und sie haben sowohl Fotos als auch Videos als Beweismittel bereitgestellt.
Als Journalisten von Forbes Xiaomi ein Video zur Verfügung stellten, in dem zu sehen ist, wie die Google-Suche und der Besuch von Websites selbst im Inkognito-Modus an entfernte Server gesendet werden, stritt ein Unternehmensvertreter weiterhin ab, dass Daten aufgezeichnet werden: „Dieses Video demonstriert die Erfassung anonymisierter Daten über Ansichten, was eine der am weitesten verbreiteten Lösungen ist, die von Internetunternehmen getroffen werden, um das allgemeine Umfeld im Browser durch die Analyse anonymisierender Informationen zu verbessern.“
Sicherheitsexperten sind jedoch der Ansicht, dass das Verhalten des Xiaomi-Browsers wesentlich aggressiver ist als das anderer bekannter Browser wie Google Chrome oder Apple Safari: Letztere zeichnen das Browsing-Verhalten, einschließlich URLs, ohne ausdrückliche Zustimmung des Nutzers und im privaten Modus nicht auf.
Darüber hinaus stellte Herr Kirlig in seiner Untersuchung fest, dass der auf den Xiaomi-Smartphones vorinstallierte Musikplayer Informationen über das Hörverhalten sammelt: welche Songs wann abgespielt werden.
Gabi Kirlig vermutet ebenfalls, dass Xiaomi die Nutzung von Software überwacht, da jedes Mal, wenn er Apps öffnet, eine kleine Menge an Informationen an einen entfernten Server gesendet wird. Ein anderer anonymer Forscher, auf den Forbes verweist, erklärte, dass er ebenfalls registrierte, wie die Telefone des chinesischen Unternehmens ähnliche Daten sammeln. Xiaomi gab hierzu keine Stellungnahme ab.
Berichten zufolge werden die Daten an das chinesische Analyseunternehmen Sensors Analytics (auch bekannt als Sensors Data) gesendet, das 2015 gegründet wurde und sich auf die tiefgehende Analyse des Nutzerverhaltens sowie die Bereitstellung professioneller Beratungsleistungen spezialisiert hat. Ihre Werkzeuge helfen Kunden, verborgene Daten durch die Untersuchung zentraler Verhaltensmuster zu entdecken. Ein Vertreter von Xiaomi bestätigte die Verbindung zu dem Startup: „Obwohl Sensors Analytics eine Lösung zur Datenanalyse für Xiaomi bereitstellt, werden die gesammelten anonymen Daten auf eigenen Servern Xiaomi-Servern gespeichert und nicht an Sensors Analytics oder andere Drittanbieter weitergegeben.“
Quelle: 3dnews.ru
