Forscher warnen:

Verheerende Schwachstelle in Olympia-App entdeckt

(Bild: Beijing Financial Holding Group, Krone KREATIV)

Kanadische Experten haben Sicherheitsmängel in der chinesischen Olympia-App „My2022“ kritisiert. Wegen einer „einfachen, aber verheerenden Schwachstelle“ in der Verschlüsselungstechnik könnten persönliche Informationen bei der Übertragung abgefangen werden, warnten Forscher des renommierten Citizen Lab der Universität von Toronto am Dienstag in einem Bericht.

Athleten und andere Teilnehmer der Olympischen Winterspiele vom 4. bis 20. Februar in Peking müssen die Anwendung auf Geheiß der Organisatoren zur Vorbeugung gegen die Pandemie benutzen. In ihr werden Gesundheitsdaten wie Krankheitsgeschichte, Impfstatus, PCR-Testergebnisse, tägliche Temperaturmessungen in den 14 Tagen vor den Spielen, frühere Reisen sowie Passdetails gespeichert. Die App bietet auch Funktionen wie Text- und Audio-Chat, Medaillenspiegel, Nachrichten, Wetter und Datentransfer.

Bug oder Feature?
Die Forscher fragten, „ob die Verschlüsselung für Überwachungszwecke absichtlich sabotiert wurde oder ob der Fehler aus Nachlässigkeit der Entwickler entstanden ist“. Die Experten entdeckten auch für eine mögliche Zensur eine Liste mit 2422 heiklen Schlagwörtern, die aber nicht aktiviert worden sei. Es gehe unter anderem um Tibet, Xinjiang und mögliche Kritik an der Kommunistischen Partei. Die als „illegal“ beschriebenen Wörter sind meist in Chinesisch, aber auch Uigurisch oder Tibetisch. Dazu zählten „Dalai Lama“, „Tian‘anmen“, „Koran“ oder „zwangsweiser Abriss“.

Warum die Funktion nicht aktiviert ist, sei unklar. Doch könnte sie über ein Update zum Einsatz kommen, warnten die Forscher. Solche Listen seien häufig in chinesischen Apps eingebaut. „My2022“ erlaube Nutzern auch, „politisch heikle“ Inhalte zu melden.

„Große amtliche Verschwörung“ wenig wahrscheinlich
Über die Ursachen der Verschlüsselungsmängel konnten die Forscher nur spekulieren. Da die meisten sensitiven Informationen in der App ohnehin an amtliche Stellen gingen, wäre es wenig hilfreich, wenn die Behörden „ihre eigenen Daten“ abfangen würden. Eine „große amtliche Verschwörung“ halten sie daher für wenig wahrscheinlich. Eine Hypothese sei, dass die Verschlüsselung bewusst eingeschränkt worden sei, damit die App auch über Chinas Netze funktioniere, die stärker als in anderen Ländern Überwachungstechnologie einsetzten.

Probleme bislang nicht beseitigt
Die Organisatoren der Spiele seien bereits am 3. Dezember informiert und gebeten worden, die Mängel innerhalb von 45 Tagen zu beheben. Bis Dienstag habe es keine Antwort gegeben. Auch seien die Probleme nicht beseitigt worden. Daher habe sich Citizen Lab zur Veröffentlichung ihrer Erkenntnisse entschieden.

(Bild: AFP)

„Wir sollten nicht naiv sein“
Die Enthüllungen bestätigen nun lang gehegte Befürchtungen der Vereinigung Athleten Deutschland. „China hat seinen Überwachungsapparat perfektioniert, lässt Kritiker verschwinden und begeht eklatante Menschenrechtsverletzungen“, hieß es in einer Mitteilung am Mittwoch. „Wir sollten nicht naiv sein und für uns undenkbare Szenarien leichtfertig abtun.“ Stattdessen müssten die Organisatoren und das IOC auf alle erdenklichen Szenarien vorbereitet sein - seien es mögliche Manipulationen von Corona-Tests, Überwachung und Ausspähung oder Repressalien gegen kritische Athleten.

„Das IOC sollte aus reiner Vorsicht entsprechende Vorkehrungen treffen und bestmöglich vorbereitet sein, um die Rechte der Athletinnen und Athleten zu wahren und alle Beteiligten zu schützen“, hieß es weiter. Offensichtlich kämen das IOC und die Organisatoren ihrer Fürsorgepflicht jedoch unzureichend nach, wie der jüngste Bericht offenbare. „Es ist unerklärlich und verantwortungslos, dass das IOC die Teilnehmenden verpflichtet, eine App mit solch schwerwiegenden Sicherheitslücken zu nutzen“, kritisierte die Vereinigung. Umso wichtiger sei es, dass die Athleten keine persönlichen Geräte für die Spiele einsetzten.

Daten abfangbar
Die Schwachstelle liegt nach Angaben der Forscher darin, dass das Programm nicht die Sicherheitszertifikate überprüft und somit nicht bestätigt, dass die Daten wirklich an den bestimmungsgemäßen Server gehen. So könnte sich jemand zwischenschalten und den Absender täuschen, die Daten an einen anderen Server zu schicken, um sie abzufangen. Einige Daten werden nach Angaben der Experten auch ohne jede Verschlüsselung gesendet, was ein Ausspionieren schon bei ungesicherten WLAN-Netzen oder durch Internetanbieter ermögliche.

Die App wurde im Auftrag des Organisationskomitees von der staatlichen Beijing Financial Holdings Group gebaut. Diese gibt selbst offen an, die Daten mit einer Reihe amtlicher Stellen wie den Organisatoren, Sicherheits- und Gesundheitsbehörden, dem Internationalen Olympischen Komitee und anderen zu teilen, die an der Umsetzung der Maßnahmen gegen Covid-19 beteiligt seien.

„Saubere“ Smartphones für Athleten
Aus Sorge um die privaten Daten stellen mehrere Länder ihren Athleten nach Presseberichten „saubere“ Mobiltelefone zur Verfügung, um „My2022“ darauf zu installieren. Die chinesischen Organisatoren wiesen Spionagevorwürfe zurück. Sie hielten sich strikt an die Gesetze zum Schutz persönlicher Informationen. Citizen Lab hob aber hervor, dass die unsichere Datenübertragung nicht nur gegen Anforderungen der App-Stores von Google und Apple verstoßen könnte, sondern auch gegen Chinas eigene Gesetze zum Schutz der Privatsphäre.