Billig-KI: DeepSeek-App bringt eklatante Sicherheitsmängel mit

Der chinesische KI-Dienst DeepSeek macht nun seit einigen Wochen Fu­ro­re. Inzwischen hatten Sicherheitsforscher allerdings Zeit, einen ge­naue­ren Blick auf die Produkte zu werfen - und insbesondere im Hinblick auf die iOS-App gibt es jetzt Warnungen.

Nichtmal ein sicherer Datentransport

Laut eines Berichts des Sicherheitsunternehmens NowSecure überträgt die DeepSeek-App sensible Daten unverschlüsselt, wodurch diese für potenzielle Angreifer sichtbar und manipulierbar werden. Apple empfiehlt Entwicklern eigentlich dringend, Transportverschlüsselung über App Transport Security (ATS) zu gewährleisten - eine Schutzmaßnahme, die in der DeepSeek-App jedoch global deaktiviert ist.

Besonders brisant: Die Daten der Nutzer werden auf Server von ByteDance, dem Mutterkonzern TikToks, übertragen. Obwohl einige dieser Informationen ver­schlüs­selt sind, könnten sie nach ihrer Entschlüsselung mit anderen bei Byte­Dance gesammelten Informationen abgeglichen und Nutzer identifiziert werden. Zudem werden die Informationen laut DeepSeeks eigener Daten­schutz­er­klä­rung auf Servern in China gespeichert und könnten dort mit Behörden oder Dritten geteilt werden.


Ein weiteres Problem liegt in der veralteten Verschlüsselungstechnik der App. Deep­Seek nutzt das bereits 2016 von der US-Behörde NIST als unsicher ein­ge­stuf­te Triple-DES-Verfahren (3DES). Weiterhin sind die krypto­gra­fi­schen Schlüs­sel für alle iOS-Nutzer identisch und fest in den Code der App integriert, was einen er­heb­li­chen Si­cher­heits­man­gel darstellt.

Android nicht besser

Angesichts dieser Risiken empfiehlt Now­Se­cure den Nutzern, die App um­ge­hend von ihren Geräten zu ent­fer­nen. Dies gilt al­ler­dings nicht nur für die iOS-App. NowSecure -Gründer Andrew Hoog erklärte, dass die Android-App sogar noch größere Si­cher­heits­pro­ble­me mit­bringt und ent­spre­chend auch ge­mie­den werden sollte.

Zusätzlich zu den Sicherheitslücken gibt es weitere Bedenken. Forscher von Cisco und der Universität Pennsylvania fanden heraus, dass das KI-Modell DeepSeek R1 besonders anfällig für Manipulationen durch bösartige Eingaben ist. Zudem entdeckte das Sicherheitsunternehmen Wiz eine ungeschützte Deep­Seek-Da­ten­bank mit über einer Million Chatverläufen, API-Schlüsseln und sensiblen in­ter­nen Informationen.


Siehe auch: