Smar­te Gerä­te im Haus­halt sind im Jahr 2022 kei­ne Neu­heit mehr. Schon seit Jah­ren erobern Gerä­te mit ein­ge­bau­ten Sprach­as­sis­ten­ten die Woh­nun­gen auch hier in Euro­pa. Allen vor­an steht Ale­xa, der smar­te Assis­tent von Ama­zon. Wer das Gerät im Funk­ti­ons­um­fang erwei­tern will, kann dafür Zusatz­pro­gram­me instal­lie­ren, soge­nann­te “Skills”. Dass hin­ter so einem Skill auch kri­mi­nel­le Ener­gie ste­cken kann, schei­nen die wenigs­ten zu wis­sen.

Zu die­sem Schluss jeden­falls kamen For­schen­de des Horst-Gör­litz-Insti­tuts für IT-Sicher­heit (HGI) der Ruhr-Uni­ver­si­tät Bochum (RUB) und der North Caro­li­na Sta­te Uni­ver­si­ty (NC Sta­te). Sie unter­such­ten dafür zehn­tau­sen­de Skills und deck­ten gro­be Sicher­heits­män­gel auf. So stam­men längst nicht alle Skills von Ama­zon selbst, son­dern von Dritt­an­bie­tern. Ob die­se ver­steck­te Funk­tio­nen in ihre Pro­gram­me ein­ge­baut haben, ist für Nut­zer über­haupt nicht ersicht­lich. Zwar muss jeder Skill vor sei­ner Ver­öf­fent­li­chung einen Zer­ti­fi­zie­rungs­pro­zess bei Ama­zon durch­lau­fen. Sobald die­ser ein­mal bestan­den ist, küm­mert es Ama­zon aller­dings nicht, ob der Code nach­träg­lich geän­dert wird. Theo­re­tisch ist es also mög­lich, einen legi­ti­men Skill auf Ale­xa anzu­bie­ten und ihn anschlie­ßend mit schad­haf­tem Code aus­zu­stat­ten.

Vie­le Ale­xa Skills ohne Daten­schutz­er­klä­rung

Ein wei­te­res Pro­blem ist, dass der eigent­li­che Her­stel­ler eines Skills für End­nut­zer oft gar nicht ersicht­lich ist. Bei Gerä­ten wie Ale­xa oder auch in smar­ten Auto­mo­bi­len erwe­cken Zusatz­pro­gram­me oft den Ein­druck, sie wür­den vom Her­stel­ler des Gerä­tes sel­ber stam­men. Die­se Unsi­cher­heit wird noch ver­schlim­mert, weil Ama­zon vie­le sol­cher Pro­gram­me auto­ma­tisch akti­viert – ohne den End­nut­zer vor­her gefragt zu haben. Das war nicht immer so. Noch bis 2017 galt für Skills übli­cher­wei­se, dass Nut­zer erst ihre Zustim­mung geben müs­sen.

In Anbe­tracht der For­schungs­er­geb­nis­se erscheint es mehr als frag­wür­dig, dass Ama­zon die Sicher­heit von End­nut­zern sogar noch ver­rin­gert, anstatt sie zu stär­ken. Wei­ter­hin konn­te gera­de ein­mal ein knap­pes Vier­tel der unter­such­ten Skills eine Daten­schutz­er­klä­rung auf­wei­sen – kein gutes Bild für Pro­gram­me, die auf einem Mikro­fon lau­fen. Ob somit Daten abge­grif­fen wer­den und bei Dritt­an­bie­tern lan­den, ist so für nor­ma­le Ver­brau­cher gar nicht ersicht­lich. Wir raten des­halb, beim Instal­lie­ren und der Nut­zung von Zusatz­pro­gram­men lie­ber zwei­mal auf den ange­ge­be­nen Funk­ti­ons­um­fang zu bli­cken und im Zwei­fels­fall nur Skills mit einer Daten­schutz­er­klä­rung zu instal­lie­ren.

Hast Du auch Ale­xa daheim? Wie hältst Du es mit Pri­vat­sphä­re im Haus? Hin­ter­las­se uns dazu ger­ne einen Kom­men­tar!