Experiment: Wie leicht können Smart-Watch-Träger ausspioniert werden?

Können Smart-Watches zu Spionage-Zwecken verwendet werden? Natürlich, und einige der gängigsten Methoden kennen wir bereits. Aber hier folgt eine weitere: Eine Spionage-App, die auf einem Smartphone installiert wird, heimlich Daten zu Beschleunigung und Ausrichtung des Nutzers sammelt und diese an einen Remote-Server sendet. Diese Daten können dann dazu verwendet werden, einzigartige Datensätze der Nutzer zur Überwachung  zu erstellen.

Wie groß die Bedrohung in der Praxis wirklich sein kann und welche Daten tatsächlich abgezweigt werden können, erklären wir Ihnen in diesem Beitrag.

Experiment: Können Passwörter mithilfe von Smart-Watch-Bewegungen wiederhergestellt werden?

Wir haben mit einer Android-basierten Smart-Watch begonnen, eine No-Frills-App zur Verarbeitung und Übertragung von Beschleunigungssensordaten geschrieben und daraufhin analysiert, welche Daten wir auf diese Weise gewinnen konnten. Weitere Informationen dazu finden Sie in unserem vollständigen Bericht.

Und tatsächlich können die gewonnenen Daten dazu verwendet werden, um herauszufinden, ob der Träger der Smart-Watch läuft oder sitzt. Darüber hinaus ist es möglich, zu erkennen, ob die betroffene Person einen Spaziergang macht oder lediglich die U-Bahn wechselt – die Beschleunigungsmuster unterscheiden sich nur minimal; Auf diese Weise können Fitnesstracker beispielsweise zwischen Laufen und Radfahren unterscheiden.

Darüber hinaus ist es kinderleicht zu sehen, wenn eine Person beispielsweise auf einer Computertastatur tippt. Herauszufinden was genau eingetippt wird, ist allerdings deutlich komplexer. Denn jeder Mensch hat seine ganz individuelle Schreib- und Tipp-Weise. Grundsätzlich können verschiedene Personen, die denselben Begriff eingeben, sehr unterschiedliche Beschleunigungssignale erzeugen – eine Person, die mehrmals hintereinander ein und dasselbe Passwort eingibt, erzeugt allerdings ähnliche Graphen.

Demnach könnte ein neuronales Netzwerk, das darauf trainiert wurde, zu erkennen, wie eine bestimmte Person einen Text eingibt, herausfinden, was genau diese Person auf der Tastatur eintippt. Und wenn dieses neuronale Netzwerk zufälligerweise auf Ihre individuelle Art des Schreibens oder Tippens geschult wird, könnten die Beschleunigungssensordaten der Smart-Watch an Ihrem Handgelenk verwendet werden, um ein Passwort basierend auf Ihren Handbewegungen herauszufinden.

Der Schulungsprozess würde allerdings erfordern, dass das neuronale Netzwerk Sie für eine längere Zeit verfolgt. Die Prozessoren moderner Wearables sind nicht leistungsstark genug, um ein neuronales Netzwerk direkt auszuführen. Daher müssen die Daten zunächst an einen Server gesendet werden.

Und genau hier fangen die Probleme für einen Möchtegern-Spion an: Das ständige Hochladen der Messwerte des Beschleunigungssensors verbraucht relativ viel Internet-Traffic und entleert die Batterie der Smart-Watch innerhalb weniger Stunden. Beides sind verräterische Anzeichen, die leicht zu erkennen sind und den Träger darauf hinweisen, dass etwas nicht stimmt. Sie können allerdings leicht dadurch minimiert werden, dass Daten selektiv erst dann gesammelt werden, wenn die Zielperson beispielsweise bei der Arbeit ankommt (ein sehr wahrscheinlicher Zeitpunkt für eine Passworteingabe).

Kurz gesagt, kann Ihre Smart-Watch verwendet werden, um herauszufinden, was Sie auf der Computertastatur eintippen. Ganz einfach ist das allerdings nicht, und eine genaue Wiederherstellung der Eingabe beruht auf wiederholter Texteingabe. In unserem Experiment konnten wir ein Computerpasswort mit einer Genauigkeit von 96% und eine PIN-Nummer, die an einem Geldautomaten eingegeben wurde, mit einer Genauigkeit von 87% wiederherstellen.

Es könnte schlimmer sein

Für Cyberkriminelle sind solche Daten jedoch nicht besonders nützlich. Um irgendeinen Nutzen aus ihnen zu ziehen, benötigen sie immer noch Zugriff auf den Computer oder die Kreditkarte des Opfers. Eine Kartennummer oder den CVC-Code einer Kreditkarte zu ermitteln, ist allerdings um einiges schwieriger.

Wir erklären Ihnen auch warum: Bei der Rückkehr an den Arbeitsplatz, besteht eine fast 100%ige Chance, dass der Smart-Watch-Träger ein Passwort zum Entsperren seines Computers eingibt. Das heißt, der Graph des Beschleunigungssensors zeigt zunächst die Aktivität „Gehen“ und dann die Aktivität „Tippen“ an. Basierend auf Daten, die über diesen kurzen Zeitraum erhalten wurden, ist es möglich, das Passwort wiederherzustellen.

Es ist allerdings eher unwahrscheinlich, dass eine Person ihre Kreditkartennummer eingibt, sobald sie sich hingesetzt hat – oder aufsteht und sofort nach der Eingabe dieser Daten wieder geht. Abgesehen davon werden derartige Informationen nie in kurzer Folge hintereinander eingegeben.

Um Dateneingabeinformationen über eine Smart-Watch zu stehlen, müssen sich Angreifer auf vorhersehbare Aktivitäten, gefolgt von Daten, die mehrmals eingegeben werden, verlassen können.

Wer sollte sich Gedanken machen?

Unsere Untersuchung hat gezeigt, dass Daten, die vom Beschleunigungssensor einer Smart-Watch erhalten werden, verwendet werden können, um Informationen über den Träger wiederherzustellen: Bewegungen, Gewohnheiten, typisierte Informationen (zum Beispiel ein Laptop-Passwort), usw.

Eine Smart-Watch mit einer datenvernichtenden Malware zu infizieren, mit der Cyberkriminelle diese Informationen wiederherstellen können, ist relativ unkompliziert. Sie müssen lediglich eine App erstellen (z. B. einen Fitness-Tracker), dieser App eine Funktion zum Lesen der Daten des Beschleunigungssensors hinzufügen und sie dann im Google Play Store hochladen. Theoretisch wird eine solche App das Malware-Screening passieren, da ihr Verhalten nichts wirklich Bösartiges aufweist.

Sollten Sie sich nun Sorgen machen, dass Sie jemand mithilfe dieser Technik ausspionieren kann? Eigentlich nur dann, wenn diese Person eine starke Motivation hat, Sie gezielt auszuspionieren.

Aber wenn Ihr Computer-Passwort oder Ihr Weg ins Büro für jemanden von Wert ist, ist eine Smart-Watch ein praktisches Tracking-Tool. In diesem Fall raten wir Ihnen:

• Achten Sie darauf, ob sich der Akku erheblich schneller entleert als üblich.
• Erteilen Sie Apps nicht zu viele Berechtigungen. Achten Sie besonders auf Apps, die auf Kontoinformationen und geografische Koordinaten zugreifen möchten. Ohne diese Daten wird es Eindringlingen schwer fallen, herauszufinden, dass es sich um eine Smart-Watch handelt, die sie infiziert haben.
• Installieren Sie eine angemessene Sicherheitslösung auf Ihrem Smartphone.