Auf zehn Meter genau: Google Home & Chromecast leaken Standortdaten

Smarte Geräte von Google können von Hackern mit relativ geringem Aufwand dazu gebracht werden, ihren exakten Standort zu verraten. Wie ein Sicherheitsforscher beschreibt, hatte er Google auf den Fehler im Home-Lautsprecher und Chromecast-Sticks hingewiesen, der Konzern sicherte aber erst nach langem Warten einen Patch zu.

Home und Chromecast leaken ihren Standort

Für Kriminelle können Standortdaten für viele ihrer illegalen Machenschaften von Nutzen sein, so können beispielsweise genaue Adressen Erpresser- und Phishing-Mails für die Opfer noch glaubhafter machen. Deshalb ist es natürlich wichtig, dass Geräte diese sensiblen Daten möglichst gut vor ungewollten Zugriffen schützen. Geht es nach dem Sicherheitsforscher Craig Young, muss sich Google hier bei seinem Smart-Home-Angebot rund um Google Home und den Chromecast-Stick sehr laute kritik gefallen lassen.


Wie Young berichtet, ist es für Angreifer mit relativ geringem Aufwand möglich, diesen Geräten genaue Standortdaten zu entlocken und so einen Rückschluss auf die Adresse des Besitzers zu ermöglichen. Dafür muss das Opfer laut Bericht des Sicherheitsforschers auf eine präparierte Webseite gelockt werden, aber auch der Angriff per manipulierter Browser-Erweiterung oder mobiler App sei denkbar.

Dem Sicherheitsforscher gelang es nach eigenen Angaben über eine solche Webseite entsprechende Befehle an Google Home und Chromecast zu senden, die dann bereitwillig die Standortdaten auslesbar machten. Young will so Daten erhalten haben, die den Standort des Geräts auf bis zu zehn Meter genau abbilden. Wie heise schreibt, stammen diese Angaben nicht direkt von GPS-Satelliten, sondern werden aus dem Google Location Services ausgelesen, bei dem der Konzern mit Android-Smartphones verbundenen Routern exakte GPS-Daten zuordnet.

Erst Nachdruck bringt Google zum patchen

Wie der Sicherheitsforscher ausführt, habe Google nach seinem Hinweis auf das Verhalten der Geräte zunächst einen Patch abgelehnt. Daraufhin habe sich Young mit seinen Erkenntnissen an den renommierten IT-Security-Journalisten Brian Krebs gewandt, der bei seinem Kontaktversuch mehr Gehör bei dem Konzern fand. Wie Google gegenüber Krebs angibt, werde man einen entsprechenden Patch bis Mitte Juli bereitstellen.

Download RouteConverter - Praktisches GPS-Werkzeug