Datenaustausch von Smartwatches lässt sich problemlos mitlesen

Der Einsatz von Smartwatches öffnet Angreifern einen neuen und nicht gerade komplizierten Weg, verschiedene sensible Informationen über einen Nutzer zu entwenden. Der ideale Angriffspunkt ist dabei die Verbindung zum Smartphone, die nur geringfügig geschützt ist. Sicherheits-Forscher des Unternehmens Bitdefender haben versuchsweise eine Attacke auf die Kommunikation zwischen zwei solchen Geräten gestartet. Eine Smartwatch mit Android Wear-Betriebssystem war hier mit einem Google Nexus 4-Smartphone verbunden. Der Erfolg stellte sich relativ schnell ein.


Es bedarf dabei nicht einmal einer kritischen Sicherheitslücke, um sich in den Kommunikationskanal, der über Bluetooth abgewickelt wird, einzuklinken. Die Verbindung ist zwar verschlüsselt, der Key beruht letztlich aber nur auf einer sechsstelligen Zahl, wie es bei vielen Bluetooth-Systemen üblich ist. Das bedeutet, dass es lediglich eine Million mögliche Kombinationen gibt - was für einen automatisierten Brute-Force-Angriff ein Kinderspiel darstellt.

In dem Versuch gelang es so auch relativ schnell, die richtige Kombination zu finden, mit der man die durchlaufenden Informationen entschlüsseln konnte. Die dafür benötigten Tools sind problemlos im Netz zu beschaffen. Das Gleiche gilt auch für jene, mit denen dann der Datenverkehr abgeschnüffelt werden kann.

Den dann abgefangenen Datenverkehr konnten die Sicherheitsforscher schlicht durchsuchen und stießen beispielsweise auf den Klartext einer Mitteilung, die sie zuvor verschickt hatten. Mit etwas Arbeitsaufwand sollte es auch möglich sein, alle möglichen Daten, die von der Uhr zum Smartphone geschickt werden, korrekt auszuwerten und zuzuordnen.

Voraussetzung für einen erfolgreichen Angriff ist es, dass man nahe genug am Ziel dran ist - immerhin ist die Bluetooth-Reichweite beschränkt. Gerade in einem Umfeld, in dem das der Fall ist, sind Zugriffe auf die Informationen aber wohl besonders interessant. Denn die Daten, die zwischen den Geräten ausgetauscht werden, sind für viele Kriminelle vermutlich nicht sonderlich interessant - wohl aber für Menschen im direkten Umfeld. So ließe sich beispielsweise der Inhalt von eingehenden SMS auf dem Diensthandy des Chefs lesen - vielleicht kommen aber auch Personaler auf die Idee, heimlich einige Gesundheitsdaten eines Bewerbers auszuspionieren.