Wissenschaft im Trend: Fitness-Tracker und Datenschutz

Die neuesten Gesundheitsgadgets mit Positionsbestimmung, die auch Fitness-Tracker genannt werden, liefern uns interessante Verlaufsdaten zu Aufenthaltsort, Aktivität, Schlafqualität, Herzfrequenz, Gewicht, Ernährung und den von uns zurückgelegten Schritten. Hinzu kommen immer mehr neuartige interaktive Funktionen wie das Erstellen von Blogs oder die Bildung von Gruppen, in denen man sich mit anderen messen kann. Dem Autor dieses Artikels – der einst selbst begeisterter Läufer war, bis er kürzlich Vater von Zwillingen wurde – erleichtert solche Technologie, eigenverantwortlich daran zu arbeiten, allmählich wieder in Form zu kommen und zu einem gesunden Lebensstil zurückzufinden.

Nichtsdestotrotz könnten die Massen von aufgezeichneten und übermittelten Daten mit einem hohen Preis verbunden sein, denn laut eines Forschungsteams von der Universität Edinburgh steht der Schutz unserer persönlichen Daten auf dem Spiel. Die Forscher demonstrierten wesentliche Schwachstellen in der Art und Weise, auf die persönliche Daten aufgezeichnet, übermittelt und freigegeben werden, auch wenn diese zu unbedenklichen Zwecken genutzt werden. Diese Fitness-Tracker weisen Sicherheitslücken auf, die Dritte zu ihrem Vorteil (und unserem Nachteil) ausnutzen könnten.

In Zusammenarbeit mit der Technischen Universität Darmstadt und der italienischen Universität Padua unterzogen die Forscher von der Universität Edinburgh zwei beliebte Modelle tragbarer Fitness-Tracker des Herstellers Fitbit einer umfassenden Sicherheitsanalyse und ihren eigenen Fitness-Tests. Die Ergebnisse illustrierten, wie das Datensicherungssystem auf den Geräten – die Ende-zu-Ende-Verschlüsselung – umgangen werden kann. Die Forscher fanden Wege, die Informationen abzufangen, die zur Datenanalyse zwischen dem Fitness-Tracker und den Cloud-Servern ausgetauscht werden. So konnten sie persönliche Daten abrufen und fingierte Aktivitätsdaten erstellen. Durch Demontage der Geräte und Modifizierung der im Speicher gesicherten Daten konnten die Forscher das Verschlüsselungssystem effektiv umgehen und auf zuvor sicher gespeicherten persönlichen Daten zugreifen.

Sollten diese Schwachstellen von den falschen Personen ausgenutzt werden, bedeutet dies für die Benutzer, dass ihre privaten Daten verkauft, für Erpressungen missbraucht und manipuliert werden könnten. Werden Daten beispielsweise an Marketingagenturen oder Online-Händler weitergegeben, könnten Betrüger mit gefälschten Gesundheitsdaten günstigere Versicherungen abschließen, falls das Versicherungsunternehmen körperliche Ertüchtigung und einen gesünderen Lebensstil belohnt.

Dr. Paul Patras von der informatischen Fakultät der Universität Edinburgh führt aus: „Unsere Arbeit zeigt, dass Sicherheitsmaßnahmen zum Schutz der Privatsphäre bei beliebten tragbaren Geräten nach wie vor hinter der technischen Entwicklung zurückbleiben.“ Dr. Patras war auch am EU-geförderten Projekt FLAVIA (2010–2013) beteiligt, in dem hervorgehoben wurde, wie wichtig es ist, Standards für Drahtlosnetzwerke kontinuierlich weiterzuentwickeln.

Um zu gewährleisten, dass die persönlichen Daten der Benutzer sicher und für Dritte unzugänglich gespeichert sind, veröffentlichen die Forscher nun wichtige Leitlinien, die Hersteller dabei unterstützen sollen, die Sicherheitslücken bei zukünftigen Geräten und Apps zu vermeiden, damit diese sicherer und nicht für denkbare neue Angriffstechniken anfällig sind.

In Reaktion auf diese Ergebnisse beginnt Fitbit jetzt mit der Entwicklung neuer Software, welche die Sicherheit und den Datenschutz auf den Geräten des Unternehmens verbessern soll.

„Wir begrüßen, dass Fitbit gegenüber unseren Ergebnissen aufgeschlossen ist, die von uns gefundenen Schwachstellen verstehen möchte und die betroffenen Dienste so schnell verbessert hat“, teilte Dr. Patras mit.

Mit der Zeit wird sich herausstellen, ob Fitness-Tracker den Herausforderungen gewachsen sind und regelmäßig weiterentwickelt werden, um mit den immer neuen Sicherheitsbedrohungen Schritt zu halten und die gesundheitsbezogenen Daten der Kunden angemessen schützen können.