Es geht um viele Millionen Passwörter. Über eine Backup-Funktion, die in den meisten Android-Smartphones aktiviert ist, werden Wlan-Zugangsdaten an die Google-Server übertragen. Ist dies geschehen, können sich Nutzer sogar mit einem fabrikneuen Android-Gerät sofort in allen bekannten Wlan-Netzwerken einloggen - sobald sie in ihrem Google-Account angemeldet sind, denn der Account kennt die Passwörter noch vom Backup.
Die Kehrseite dieser Bequemlichkeit: Google speichert die Passwörter unverschlüsselt auf den eigenen Servern. Und führt außerdem eine weltweite Datenbank mit den Bezeichnungen (SSID) von Wlan-Netzwerken, um so auch ohne GPS-Signal beispielsweise für Navigations-Apps die aktuelle Position bestimmen zu können. Führt man diese Datensätze zusammen, steht theoretisch jedes Wlan offen, in das sich einmal ein Android-Gerät eingeloggt hat.
Die Backup-Funktion in den Android-Geräten ist nicht neu, und Google verheimlicht ihren Zweck auch nicht: "App-Daten, Wlan-Passwörter und andere Einstellungen auf Google-Servern sichern", heißt es im Begleittext auf den Android-Geräten. Die Funktion ist bei den meisten ab Werk eingeschaltet. Zu finden ist sie in den Systemeinstellungen unter dem Menüpunkt "Sichern und zurücksetzen".
Micah Lee, Mitarbeiter der Bürgerrechtsorganisation Electronic Frontier Foundation, bemängelt jetzt, dass die Passwörter offensichtlich unverschlüsselt auf Googles Servern liegen - und damit auch kaum vor dem Zugriff beispielsweise von Geheimdiensten geschützt seien.
Dass Wlan-Passwörter zentral gespeichert werden, ist nicht ungewöhnlich. Auch in Apples iPhone ist mit der sogenannten Keychain-Funktion ähnliches integriert. Allerdings werden die Daten dort mit einem Schlüssel kodiert, der für jedes Smartphone einzigartig ist. Selbst Googles Browser Chrome bietet die Möglichkeit, gespeicherte Zugangsdaten vor der Synchronisation mit den Google-Servern mit einem nur dem Nutzer bekannten Passwort zu verschlüsseln. Eine solche Option fordert Lee auch für das Android-Betriebssystem.
So lang die Passwörter unverschlüsselt auf Googles Servern liegen, seien diese Informationen nicht vor den Anfragen staatlicher Behörden geschützt, schreibt Lee weiter.
Dass mit den vorliegenden Passwörtern in ein privates Netzwerk eingebrochen wird, ist zwar unwahrscheinlich - zumal der Täter sich dazu im Funkbereich des Wlans befinden muss. Für Organisationen oder große Konzernen ist das Risiko industrieller Spionage aber durchaus plausibel. Und gerade dort geht es nach Ansicht von Heise Online oft um mehr als nur Wlan-Zugänge. Demnach sei es in vielen Firmen üblich, per sogenanntem "Single Sign On" für Wlan, firmeneigenes VPN-Netz oder gar die persönlichen E-Mails des Mitarbeiters das identische Passwort zu verwenden.