Sicherheit

Chromecast und Google Home leaken Standortdaten: Update erst Mitte Juli

Die Google-Geräte Chromecast und Google Home erlauben eine umfassende Standortabfrage über manipulierte Webseiten. Google plant ein Update: bis Mitte Juli.

Spionage

© Gajus / shutterstock.com

© Gajus / shutterstock.com

Google arbeitet derzeit an einem Update für seine Streaming-Geräte Chromecast und den Smart-Speaker Google Home. Die Firma Tripwire hat eine Sicherheitslücke in beiden Geräten ausgemacht, mit der Angreifer detaillierte Standortinformationen über ihr Opfer erlangen können. Eine Schwäche bei der Geräte-Autorisierung erlaubt einer präparierten Webseite – das kann auch einfache Werbung oder nur ein manipulierter Tweet sein – eine Liste aller verfügbaren WLANs in der Nähe anzuzeigen und diese an Googles Standortdienst zu leiten.

Googles Standortdienst funktioniert deutlich genauer als beispielsweise das Tracking über eine IP-Adresse. Eine Standortabfrage über die IP-Adresse gibt Angreifern lediglich eine Region mit einem Radius von wenigen Kilometern, in der sich das Opfer befindet. WLAN-Daten und feste Positionen, die Google verarbeitet, lassen Angreifer  den Standort eines Nutzers auf wenige Meter genau ermitteln und in der Folge für gezielte Angriffe missbrauchen.

Craig Young von Tripwire sagte gegenüber dem Sicherheitsexperten Brian Krebs: „Ein Nutzer müsste lediglich einen Link öffnen, während er im gleichen Netzwerk angemeldet ist, wie sein Chromecast oder Google Home. Der Link müsse lediglich etwa eine Minute geöffnet sein, um den Standort möglichst genau zu bestimmen.“

Lesetipp: Fire TV, Apple TV und Chromecast im Test

In einem Demo-Video zeigt Young seinen Fund – siehe unten. In Tests mit dem Google-Standortdienst war es ihm möglich, Geräte eindeutigen Straßen und Hausnummern zuzuordnen. Das würde beispielsweise deutlich realistischere Phishing-Angriffe und Erpressungsversuche erlauben. Young hat Google bereits im Mai über seinen Fund unterrichtet. Ohne Reaktion. Auf erneute Nachfrage von Krebs ließ Google verlauten, an einem Update zu arbeiten. Die Veröffentlichung ist gegenwärtig für Mitte Juli geplant.

Google Home/Chromecast Location Disclosure

Quelle: Tripwire
Tripwire zeigt die Sicherheitslücke in Chromecast und Google Home.

Mehr zum Thema

Geldautomat
PIN-Abfrage am Geldautomat

Noch im Sommer sollen Sparkassen-Automaten ein Update erhalten. Dann ändert sich aus Sicherheitsgründen die Reihenfolge der Schritte beim Geldabheben.
Sparkasse: Phishing-Mail
Persönliche Ansprache, kaum Fehler

Sparkassen-Kunden aufgepasst: Es gibt personalisierte Phishing-Mails mit echten Daten, die Kunden über eine angeblich eingeschränkte Kreditkarte…
Trojaner Computer Virus (Symbolbild)
Verschlüsselung per E-Mail

Das LKA warnt vor einem Erpressungs-Trojaner, der geschickt in einer Bewerbungs-E-Mail versteckt ist. Dieser verschlüsselt Dateien und fordert…
Antivirus-Test 2018 für KMU
Jetzt Updates prüfen

Nach Bewerbungen sind auch manipulierte Websites Einfallstore für den Erpressungs-Trojaner Gandcrab. Spielen Sie jetzt Updates für Windows und Flash…
Amazon Phishing-Mail Warnung Vebraucherzentrale
Verbraucherzentrale warnt

Aktuell kursieren Phishing-Mails, die es auf Amazon-Kunden abgesehen haben. Die Betrüger versprechen einen 15-Euro-Gutschein. Der Vorwand: Die DSGVO.