Fitnesstracker haben erhebliche Sicherheitsschwachstellen
Der 42-seitige Bericht (Link zum PDF) ist das Ergebnis des vom BSI geförderten Projekts „Sicherheit von Wearables mit medizinischen Teilfunktionalitäten“ (SiWamed). Ziel des Projekt war es, eine Cybersicherheitsbewertung von in Deutschland erhältlichen Wearables mit medizinischen Funktionen zu erstellen. Der Umfang der Studie beschränkte sich auf öffentlich verfügbare Geräte, die keiner Regulierung unterliegen. Medizinische Geräte wurden daher nicht berücksichtigt. Auf der Grundlage einer Marktsichtung wurden „die zehn marktrelevantesten Wearables“ für die technische Sicherheitsbewertung ausgewählt, darunter drei Smartwatches, drei „Basic Watches“, drei Fitnesstracker und ein Smart Ring. Um welche Hersteller und Modelle es sich handelt, legt der Bericht nicht offen.
Die Bewertung beschränkte sich dabei nicht nur auf die Sicherheit der Endgeräte, sondern auch der damit verbundenen Komponenten App und Hintergrundsysteme, „die typischerweise in Kombination mit dem Endgerät genutzt werden“.
Ergebnisse werfen nach Ansicht der Behörde „Fragen und Bedenken auf“
Ergebnis: Bei der technischen Bewertung wurden bei den zehn ausgewählten Wearables und deren Hintergrundsystemen wurden 110 Schwachstellen aufgedeckt, die als „mittel“ oder „hoch“ eingestuft wurden. Die Kategorie „hoch“ gilt für Schwachstellen, die „sehr kurzfristig behoben werden müssen“, die Kategorie „mittel“ für solche, die im Rahmen des regulären Patch-Zyklus behoben werden müssen. „Keines der Geräte war frei von jeglichen Schwachstellen“, schreibt das BSI. „In Anbetracht der Sensibilität der Daten und Informationen, die von den Wearables mit medizinischen Funktionen verarbeitet werden, werfen die Ergebnisse Fragen und Bedenken auf.“
Insbesondere bei der Implementierung von Maßnahmen zum Schutz der Daten durch die Hersteller zeige sich noch Verbesserungspotenzial. „Dies ist noch kritischer zu bewerten, wenn zusätzlich die recht begrenzte Zeit, die für die Tests zur Verfügung stand, berücksichtigt wird. Insgesamt scheinen die unter Umständen gravierenden Folgen einer Kompromittierung der Wearables für die Gesundheit der Nutzer nicht angemessen bedacht zu sein.“
Die Sicherheit und der Schutz von Wearables und ihren Komponenten sollte sowohl für Anbieter wie auch Verbrauchende ein wichtiges Anliegen sein, mahnt die Behörde – die den Bericht als „Ermutigung“ für die Hersteller verstanden wissen will, „die Entwicklungsprozesse und technischen Maßnahmen zum Schutz der Daten zu überprüfen“.
