Sicherheitslücke in Smartphones: Bewegungssensor verrät PIN und Passwörter

San Francisco (USA) - Wer sein Smartphone für Online-Banking, Web-Einkäufe oder als elektronische Geldbörse nutzt, muss besonders gut aufpassen. Denn der eingebaute Bewegungssensor kann die auf das Display getippten Zahlen und Buchstaben mit hoher Genauigkeit erkennen - dank der durchs Tippen ausgelösten feinen Schwingungen. PINs, TANs und Passwörter lassen sich so mit einer App für das Betriebssystem Android erschnüffeln, die amerikanische Computerexperten entwickelten. Sie berichteten über diese Sicherheitslücke vergangene Woche auf der Fachkonferenz "HotSec 11" in San Francisco.

"Wir nutzen das Keybord für die Eingabe vieler Informationen mit hohem Wert, wie Passwörter, PINs und Kreditkartennummern", erläuterten Liang Cai und Hao Chen von der University of California in Davis. Wird der direkte Zugriff auf die eingetippten Zeichen über sogenannte Keylogger bereits durch entsprechende Sicherheitsmaßnahmen im Smartphone erschwert, sind die Daten des integrierten Bewegungssensors noch viel einfacher anzapfbar. Mit dem neu entwickelten "Touchlogger" ermittelten die Forscher nun die winzigen Bewegungen des Smartphones, die beim Fingerdruck auf ein Nummernfeld entstehen. Dabei wackelt das Gerät zwar nur wenige Millimeter, doch lässt sich daraus auf den Ort des Fingertipps auf dem Display und damit auf die gewählte Zahl zurückschließen.

In ihren Versuchen analysierten Cai und Chen 449 Eingaben und erzielten eine Trefferrate von über 70 Prozent. Das klingt nach wenig, doch mit nur wenigen Versuchen lässt sich aus diesem Datensatz eine korrekte PIN erraten. Da bei einer Volltastatur viel mehr Tasten angezeigt werden als in einem Nummernfeld, war hier die Trefferrate deutlich geringer. Doch bei Web-Tablets mit größeren Touchscreens lassen die winzigen Bewegungen wiederum genauer auf die richtige Taste schließen.

Hacker könnten nun über scheinbar attraktive und kostenlose Apps diesen "Tastenschnüffler" auf Smartphones verbreiten. Dieser Weg, Schadprogramme in die Geräte zu integrieren, findet zunehmend mehr Hackerfreunde. So berichtete jüngst die Sicherheitsfirma Symantec, dass sie 2011 bereits 19 Schadprogramme für das Android-Betriebssystem entdeckt hätten, nach nur fünf im gesamten Jahr 2010. Smartphone-Hersteller könnten das Ausschnüffeln von sensiblen Daten über den Bewegungssensor künftig mit weiteren Sicherheitsmaßnahmen in den Betriebssystemen erschweren.