Sicherheitslücke in Sextoy-App gibt E-Mail-Adressen preis

"Klar, warum nicht?"Bild: imago / NurPhoto

Sexspielzeug-App mit Sicherheitslücken: Nutzerdaten geleakt

Tim Kröplin

Folgen

Mit zunehmender Vernetzung schrumpfen private Räume. Algorithmen pulsieren im Takt unserer Bedürfnisse, Datenabfragen dringen mitunter in die intimsten Bereiche ein, jede Google-Suchanfrage wird minutiös erfasst und irgendwie verwertet. Es ist ein Trauerspiel.

All die Informationen geben wir aber freiwillig her. Wir teilen sie mit unserer Versicherung, Tech-Unternehmen und auch mit dem Bestelldienst unseres Vertrauens. Natürlich teilen wir sie auch mit Unternehmen, die analoge Produkte mit einer zusätzlichen App modern verkleiden.

Sicherheitsforscher stellt Sexspielzeug-Hersteller bloß

Zum Beispiel Lovesense, ein Sexspielzeug-Hersteller. Der vertreibt Produkte, deren Einsatz wirklich rein privater Natur ist, also für viele. Doch bei der App gibt es eine Sicherheitslücke.

Ein Sicherheitsforscher hat sie bei der App des Herstellers entdeckt. Angreifer:innen können darüber die E-Mail-Adressen der Nutzer:innen abgreifen und ihre Konten kapern, schreibt er in seinem Blog. Lovesense hat das bereits bestätigt.

Während einer Untersuchung ist ihm aufgefallen, dass er recht einfach an die Mail-Adressen anderer Nutzer:innen kommen konnte. Die verkürzte Erklärung: er schaltet in einem Entwickler-Interface (der API) einen anderen Nutzer via Eingabebefehl auf stumm und kurz darauf tauchte die E-Mail-Adresse der Person in einer Antwort auf.

Daraufhin entwickelte der Forscher ein Skript, um automatisiert Lovesense-Nutzernamen in E-Mail-Adressen umzuwandeln. Die Namen konnte er recht leicht in Foren und auf Lovesense-bezogene Seiten aufstöbern. Cam-Models machen diese etwa häufig öffentlich. Ein Fakt, vor dem der Forscher warnt.

Denn er konnte mithilfe der Mail-Adressen über die Lovesense-Connect-App Authentifizierungstoken generieren, mit deren Hilfe er Zugang zu den entsprechenden Konten bekam. Auf Dienste wie Streammaster und Cam101 konnte er so ebenfalls zugreifen.

Wird das Problem jemals gelöst?

Der große Haken: normalerweise gibt neben den Token ein Passwort als Zugangsschranke. Doch offensichtlich fällt das bei Lovesense weg. Auch, nachdem der Sicherheitsforscher das Unternehmen auf den Fehler aufmerksam gemacht hat.

Schon 2018 sei es das erste Mal aufgefallen. Seitdem gibt es immer mal wieder das Versprechen, eine Lösung zu finden. Bis heute ist das aber nicht der Fall. Der Sicherheitsforscher könnte mit seinem erneuten Hinweis vielleicht endlich ein Schließen der Lücke herbeiführen. Ob das auch klappt, ist aber fraglich.