Apple Airtags: Tracker sollen sich leicht hacken lassen
Ein Sicherheitsforscher hat die Tracking-Hardware Apple Airtags gehackt. Theoretisch lassen sich so leicht Nutzerdaten stehlen.
Jüngst präsentierte Apple die Airtags, mit denen sich Gegenstände und mehr verfolgen lassen. Die Airtags funktionieren nur in einem begrenzten Radius, dem Find-My-Netzwerk. Innerhalb des Find-My-Netzwerks sollen weder Apple noch die Gerätebesitzer Informationen über die getrackte Hardware erhalten. Im Verloren-Modus wird die Webseite found.apple.com aufgerufen, damit der Finder direkt dem Besitzer melden kann, wo seine Gegenstände sind. Nun ist es einem Sicherheitsforscher von Stack Smashing gelungen, die Apple Airtags zu hacken und die URL auszutauschen.
Stalking leicht gemacht
Wenn ein Finder nun sein Smartphone mittels NFC an den Apple Airtag hält, wird automatisch der Verloren-Modus aktiviert und man sieht eine Apple-Webseite, auf der man mit dem Besitzer in Kontakt treten kann. Theoretisch ist es möglich, dass ein Hacker den Controller im Apple Airtag flasht und statt der Apple-Webseite eine beliebige URL aufrufen lässt, wenn sich der Tracker im Verloren-Modus befindet. So könnten Kriminelle etwa eine Webseite anzeigen lassen, um an persönliche Daten des Finders heranzukommen. Allerdings haben die Apple Airtags noch ein weiteres Datenschutz-Problem.
So konnte ein Redakteur der Washington Post einfach herausfinden, wie die Heimatadresse eines Airtag-Besitzers lautet. Wenn man ein Airtag mit einem iPhone gekoppelt hat und es außerhalb der Reichweite des zugehörigen Apple-Smartphones ist, wird automatisch ein Countdown gestartet, der bis zu drei Tage dauert. So wurde Geoffrey Fowler von einem Kollegen gestalkt, der den Tracker in die Tasche von Fowler legte. Über die kostenlose App "Find My" konnte der Arbeitskollege eine Woche lang nahezu jeden Schritt von Fowler verfolgen. Zudem übermittelte der Airtag auch die zum jeweiligen Standort gehörende Adresse an seinen Besitzer.
Wie funktioniert ein Apple Airtag?
In den Apple Airtags stecken sowohl ein Bluetooth-, als auch ein Ultrabreitband-Chip. So kann man Gegenstände damit orten, allerdings nur dann, wenn sich andere Apple-Geräte gerade in der Nähe befinden, die dann den Standort des ungefähr Münzgroßen Airtags an den Besitzer übermitteln. Als Verschlüsselung nutzt Apple einerseits Public-Key-Verfahren und andererseits Ende-zu-Ende-Verschlüsselung, damit nur der Besitzer Einblick hat, wo sich sein Airtag gerade befindet. Alternativ zur Nutzung mit einem iPhone kann man die Airtags auch mit Android-Geräten verwenden.
Falls aber jemand die Airtags öffnet und die Kontakte zur auswechselbaren CR2032-Knopfzelle unterbricht, wird das Tracking unterbrochen. Laut Apple sind die Tracker nur für Gegenstände gedacht und sollten nicht verwendet werden, um Menschen oder Haustiere zu verfolgen. Die Besonderheit bei den Apple Airtags ist der UWB-Chip, welcher eine präzise Ortung ermöglichen soll, vorausgesetzt man sucht den Airtag mit einem iPhone mit integriertem U1-Chip. Falls man hingegen kein Gerät mit UWB, wie etwa ein iPhone 11 oder neuer, besitzt, kann man auch keine Lokalisierung via Ultrabreitband nutzen. Ein einzelner Apple Airtag kostet 35 Euro, wobei hierbei kein Anhänger enthalten ist und zusätzlich gekauft werden muss.
Ebenfalls lesenswert: Apple Airtags: Bitte keine Kinder oder Haustiere tracken
Sammlung zu leicht hackbaren Apple Airtags:
- Wie Sicherheitsforscher herausgefunden haben, lassen sich die neuen Apple Airtags leicht hacken. So können Angreifer die URL austauschen, die im Verloren-Modus den Findern eines Airtag angezeigt werden.
- Statt auf einer Apple-Webseite könnten Betrüger eine andere URL starten lassen, sobald ein Smartphone mittels NFC einen Airtag gefunden hat. So könnte der Hacker beispielsweise versuchen, an persönliche Daten zu kommen.
- Ein weiteres Datenschutz-Problem der Apple Airtags ist der automatische Alarm, wenn sich die Tracker außerhalb der Reichweite des gekoppelten iPhones befinden. So lässt sich dann beispielsweise eine Person verfolgen, wenn man den Airtag in die Tasche der Person gelegt hat.
Quellen: Twitter, The Washington Post, Golem, Apple
