Der Zähler auf der Homepage läuft im Sekundentakt: Auf mehr als 141 Millionen Mobiltelefonen, so rühmt sich die Software-Firma Carrier IQ (CIQ), ist inzwischen Software der kalifornischen Firma installiert. Glaubt man dem IT-Sicherheitsexperten Trevor Eckhart, handelt es sich möglicherweise um 141 Millionen ausspionierte Handys.
Eckhart streitet bereits seit Wochen mit Carrier IQ. Das Programm der Firma dient eigentlich dazu, Providern Infos über Handyempfang und abgebrochene Gespräche zu liefern, damit diese ihren Service verbessern können.
Mitte November veröffentlichte der 25-Jährige jedoch einen Beitrag, dessen Fazit sich nach einem Datendebakel anhört: Demnach zeichnen Handys mit der CIQ-Software detailliert Nutzeraktivitäten auf, zum Beispiel, Anrufnummern und SMS-Texte, Informationen über Apps, die ein User öffnet oder den aktuellen Aufenthaltsort. Weil das Programm sich wie Rootkit-Schadsoftware im Handy-Betriebssytem verstecken könne, sei die Spionagefunktion nicht ohne weiteres zu erkennen.
Nicht jedes Handy läuft mit der CIQ-Software: Meist wird das Programm zur Systemdiagnose in "Operator-Smartphones" eingesetzt, also Mobiltelefonen, die Hersteller direkt für Mobilfunkanbieter bauen und entsprechend modifizieren. Diese erhalten dann häufig bestimmte Programme und ein Logo des Providers auf ihre Hülle. Noch ist unklar, ob die Software von Anbietern außerhalb der USA installiert wurde.
Das Unternehmen dementierte seinerzeit schnell, die Software für Spionagezwecke zu missbrauchen. In einer Stellungnahme ( hier als pdf) hieß es, man sammle anonymisiert "operative Infomationen". Diese könnten zum Beispiel Providern helfen, Verbindungsprobleme aufgrund schwacher Netzleistung auszumachen und zu beheben. "Wir zeichnen nicht auf, welche Tasten gedrückt werden und liefern keine Überwachungswerkzeuge", heißt es in der Mitteilung.
Suchwörter und SMS aufgezeichnet
Eine Unterlassungsklage gegen Eckhart und die Forderung nach 150.000 Dollar Schadenersatz wegen Verleumdung zog CIQ nach einer Intervention der Bürgerrechts-Organisation Electronic Frontier Foundation zurück und entschuldigte sich dafür.
Aus der Welt ist die Sache damit allerdings nicht, im Gegenteil: In einem neuen YouTube-Video führt Eckhart nun detailliert vor, was das CIQ-Programm protokolliert. So zeigt er, wie es die Eingabe von Suchwörtern bei Google aufzeichnet - obwohl diese sogar im verschlüsselten https-Modus abgeschickt werden. Auch gewählte Rufnummern und die Inhalte von verschickten SMS-Nachrichten speichert die Software.
Mit dem Video scheint Eckhart zumindest die Behauptung von CIQ zu widerlegen, man zeichne keine sensiblen Informationen wie Tastatureingaben auf. Gleichzeitig ist unklar, ob das CIQ-Programm wirklich solch detaillierte Daten an die Provider sendet oder nur die vom Unternehmen beschriebene Auswertung vornimmt.
Allerdings verstößt wahrscheinlich alleine das Speichern dieser Informationen gegen geltendes Datenschutzrecht, soweit Nutzer dem nicht ausdrücklich zugestimmt haben.
Programm kaum entfernbar
Eckhart benutzte für seinen Test ein HTC-Handy des amerikanischen Providers Sprint mit Android-Betriebssystem. Carrier IQ soll allerdings auch auf Smartphones von Nokia, Research In Motion (RIM; BlackBerry-Hersteller) und Samsung laufen. sueddeutsche.de hat bei den genannten Herstellern nachgefragt. Nokia antwortete dazu: "Derzeit kursieren Berichte nach denen Software von CarrierIQ auf Nokia Endgeräten gefunden worden sei", heißt es in einer aktuellen Stellungnahme. "Diese Berichte sind falsch, da CarrierIQ keine Produkte für Nokia Geräte ausliefert."
Auch auf HTC-Geräten in Europa wird die Software nach Aussage des taiwanesischen Unternehmens nicht verwendet. Vodafone, T-Mobile und E-Plus haben ebenfalls erklärt, die Software nicht einzusetzen.
In welchen Ländern Provider die umstrittene Software überhaupt nutzen, ist unbekannt. Das Unternehmen hat eine entsprechende Anfrage bislang nicht beantwortet. Trevor Eckhart hat inzwischen eine App zur Verfügung gestellt, mit deren Hilfe Nutzer ihr Android-Handy testen können.
Nach Eckharts Aussage lässt sich das gefundene Programm allerdings nicht ohne weiteres deinstallieren - ihm zufolge muss das entsprechende Handy-Betriebssystem entfernt werden, um die CIQ-Software loszuwerden.
Update, 1. Dezember, 11 Uhr: Das IT-Blog Mashable berichtet, dass die Software inzwischen auf sehr vielen Smartphone-Modellen in den USA gefunden wurde. Auch auf dem iPhone soll das Programm installiert sein, von dort aber keine Daten senden. Eine Stellungnahme von Carrier IQ steht weiter aus.