Nach Wiko wird auch Xiaomi beim Spionieren erwischt

Wenn man Robert Baptiste auf Twitter folgt, fragt man sich: "Was zum Teufel ist da nur los?" Ein namhafter Smartphone-Hersteller nach dem anderen fällt ihm auf; entweder durch fehlerhaft implementierte Software oder durch offenbar absichtlich hinterlassene Software, die zur Überwachung eingesetzt werden kann.

So @xiaomi I have some questions:
- Why this super intrusive app is present in an user build?
- Do you really need all this data?
- Any way to opt out from this data collection?

— Baptiste Robert (@fs0c131y) December 7, 2017

Was war vorgefallen? Die App Miui Deamon (zu finden in Settings -> Apps -> Menu -> Show system apps) auf manchen Xiaomi-Smartphones – unter anderem auf dem von uns getesteten Mi 6 – sammelt ungefragt Nutzerdaten. Konkret handelt es sich um...

• die Dauer, wie lang Ihr Euren Bilschirm anseht.
• den RAM.
• den internen Speicher.
• wie viel interner Speicher noch frei ist.
• die IMEI.
• Akku-Statistiken.
• GPU-Statistiken.
• Prozess-Statistiken.
• Bluetooth.
• Boot.
• Funk.
• Events, die den Bildschirm einschalten.

This application contains also a package called "performance". This package is able to collect activity stats, battery stats, graphics stats, proc stats... pic.twitter.com/R8up3aRpvO

— Baptiste Robert (@fs0c131y) December 7, 2017

Diese Daten werden nicht nur gesammelt, sondern zu allem Überfluss auch noch verschickt. Die Sammlung ist leider so angelegt, dass sie sich auf Euch persönlich zurückverfolgen lässt.

Hi @xiaomi 👋! Can we talk about your MiuiDaemon application?
This application is monitoring among other things Bluetooth, boot, broadcast, package, screen on events. Of course, all this data is sent to a China server. pic.twitter.com/vn2WVj7d5X

— Baptiste Robert (@fs0c131y) December 7, 2017

Xiaomi hat sich dazu noch nicht geäußert. Da es sich um eine System-App handelt, könnt Ihr ohne größeren Aufwand auch nichts gegen die Datensammlung unternehmen. Der Hersteller müsste ein Software-Update ausrollen, das die App entfernt. Ansonsten bliebe bloß der Weg über ein Custom-ROM, das zum Glück nicht zu kompliziert auf den Xiaomi-Geräten zu installieren ist. Dann sind zumindest die Lausch-Methoden in der System-Partition eliminiert.

Auch Wiko macht sich unbeliebt

Auch ein Gerät des in Frankreich äußerst populären Sparpreis-Smartphone-Herstellers Wiko hat der Landsmann Baptiste untersucht. Ähnlich wie bei OnePlus hat er entdeckt, dass sich Wiko-Geräte mit einer von der Qualitätssicherung übersehenen Wartungs-App rooten lassen.

Another adb root backdoor on the @WikoMobile U Feel Prime...🤦‍♂️

To obtain adb root on your Wiko U Feel Prime:

1. Plug your phone to your pc
2. Open a terminal
3. adb shell setprop persist.tinno.debug 1
4. adb shell
5. You're root! pic.twitter.com/HTiujNDGn1

— Baptiste Robert (@fs0c131y) December 7, 2017

Etliche weitere Wiko-Geräte wurden anhand dieses Schemas gerootet. Auf diese Weise lassen sich geschützte Informationen aus dem Speicher auslesen, was Euch unter Umständen teuer zu stehen kommt. Und nicht nur das...

<Thread> Hi @WikoMobile 👋! Let's talk about the Wiko Freddy phone.
This phone was released October 2016 and is now selling for 99.99€.
Because of the @WikoMobile and Tinno negligence, I'll show you how your data can be stolen even if your phone is protected by a lock screen. 1/ pic.twitter.com/No2E0DJ2wu

— Baptiste Robert (@fs0c131y) November 28, 2017

Auch der Sperrbildschirm lässt sich bei Wiko-Smartphones aufgrund der schlampigen Software-Implementierung leichter umgehen als bei anderen Geräten. Und Wiko ist gewiss nicht bekannt für schnelles oder gar langfristiges Ausliefern von Software-Updates zum Schließen ebensolcher Sicherheitslücken.

Damit nicht genug. Wiko hat nicht nur den Sperrbildschirm und den Root-Zugriff schlecht geschützt. Auch mit  Privatsphäre hat der Hersteller nichts am Hut. Die System-App System updates sendet Eure IMEI an einen US-Server und etliche private Nutzungsdaten an tinno.com, dessen IP-Adresse von Land zu Land springt.

Authoritäten sind gefragt

Jetzt müssen Gesetzgeber und Verbraucherverbände ran. Es kann nicht sein, dass selbst auf App-Ebene, also vor unserer Nase derlei Aktivitäten auf den frei verkäuflichen Geräten möglich sind. Bisherige Kontrollmechanismen scheinen nicht zu funktionieren; sei es aufgrund mangelnder Man-Power oder wegen fehlenden Know-hows.

Dass wir uns mit Facebook, WhatsApp und Google zu Milliarden freiwillig von unserer Privatsphäre verabschieden, ist eine Sache. Immerhin sind diese Dienste zur Nutzung gratis; ihr Finanzierungsmodell basiert auf unserer Einwilligung, ein Stück von uns selbst zurückzugeben.

Dass wir jedoch zusätzlich ungefragt von denen beschattet werden, deren Produkte wir mit hartem Geld gekauft haben, ist eine ganz andere Dimension von Frechheit. Und diese muss bald stoppen.