Neun Fitness-Armbänder mit Schwachstellen im Sicherheitskonzept

Fitness-Armbänder und Bewegungstracker liegen im Trend. Der Träger möchte personenbezogene Daten über seinen Körper wie auch seinen sportlichen Aktivitäten speichern und auswerten. Eine Untersuchung der Malware-Erkennungsexperten der Firma AV-Test zeigt, wie unsicher die kleinen trendigen Geräte doch sein können.

Das Team von AV-Test hat neun in Deutschland erhältliche Fitnesstracker einschließlich der dazugehörigen App getestet. Unter Berücksichtigung der eingesetzten Verschlüsselung beim übertragen der Daten ans Smartphone und dem Schutz vor Zugriff durch Dritte wurden insgesamt neun Geräte untersucht – das Ergebnis sorgt für Ernüchterung. Keines der Geräte gilt als absolut sicher, das Beste besaß „nur“ eine Schwachstelle, das schlechteste Gerät im Test besitzt sogar neun Schwachstellen.

Getestet wurden die nachfolgenden Fitnessarmbänder:

• Acer Liquid Leap
• FitBit Charge
• Garmin Vivosmart
• Huawei TalkBand B1
• Jawbone Up24
• LG Lifeband Touch FB84
• Polar Loop
• Sony Smartband Talk SWR30
• Withings Pulse Ox

Smartphone Apps kommunizieren verschlüsselt

Zur Qualität der eingesetzten Verschlüsselungstechnik machte AV-Test zwar keine weiteren Angaben, allerdings sollen alle Smartphone Apps der jeweiligen Fitnessarmbänder die Daten verschlüsselt an die Hersteller-Server übermitteln. Ein Mitlesen durch Dritte sei nicht ohne Fachkenntnisse möglich.

Als große Schwachstelle sieht AV-Test allerdings die Bluetooth-Einstellungen der Fitness-Armbänder. Sofern diese aktiviert sind, könnte es ein Weg für Dritte darstellen, um auf die Daten des Anwenders zuzugreifen. Das gilt vor allem dann, wenn sich das Fitnessarmband automatisch mit jedem sich in Reichweite befindlichen Smartphone verbindet. Dies sei beim Fitness-Armband von FitBit der Fall.

Ein weiteren Schwachpunkt stellt die Datenübertragung zwischen App und Fitness-Armband dar. Bei einigen Fitness-Armbänder ließen sich die Apps manipulieren bzw. Codefragmente entnehmen, um eine App zu simulieren. Das bedeutet, es sei nicht zwangsläufig notwendig, dass auch die vertrauenswürdige App des Herstellers zum Einsatz kommt, sondern einige Armbänder erlaubten die Weitergabe der Informationen an manipulierte Apps.

Insgesamt sind die Tester erstaunt darüber, wie leicht die einzelnen Geräte der namhaften Hersteller personenbezogene Informationen preisgeben. Grundsätzlich müssen die Hersteller bei der Verschlüsselung zwischen Armband und Smartphone nachbessern. Auch der Zugriff von Apps dritter Anbieter müsste überdacht werden.

Fazit zum AV-Test

Die Tester sind zu der Überzeugung gekommen das die Fitnesstracker Sony Smartband Talk SWR 30 sowie die Polar Loop die besten Sicherheitskonzepte mitbringen. Dennoch sei auch bei den beiden Testsiegern kleinere Optimierungen notwendig.

Überzeugen konnte das Fitnessarmband aus dem Hause von Acer nicht. Hier erwarten die Experten von AV-Test eine Überarbeitung des Sicherheitskonzepts. Das Produkt könnte unfreiwillig personenbezogene Daten für Dritte bereitstellen.

Quelle: AV-Test