Cybersicherheit: Ernsthafte 'blinde Stelle' beim Datenschutz von Heimroutern entdeckt

Analysten des internationalen Forschungszentrums Cybernews untersuchten die Datenschutzrichtlinien von 25 großen Heimrouter-Herstellern auf dem US-Markt und stießen auf ein unerwartetes Problem. Es stellte sich heraus, dass Technologiemarken zwar detailliert beschreiben, wie sie persönliche Daten der Nutzer sammeln, aber oft schweigen oder vage Informationen darüber geben, welche Daten die Geräte selbst erfassen. Der Mangel an Transparenz bei solchen Geräten, die das Haupt-Gateway für den gesamten Datenverkehr in einem Heimnetzwerk bilden, bereitet Experten für digitale Sicherheit Sorgen. Dies berichtet Ixbt.com berichtet.

Es ist erwähnenswert, dass diese Studie laut ixbt.com die tatsächliche technische Funktionsweise der Geräte, d. h. Netzwerkverkehr, Firmware oder das Verhalten der Hardware, nicht praktisch überprüft hat. Die Experten bewerteten lediglich die öffentlichen Rechtsdokumente und Datenschutzrichtlinien der Hersteller. Das Hauptproblem besteht darin, dass die meisten Marken keine separaten Dokumente für Router erstellen. Stattdessen wenden sie eine einzige allgemeine Richtlinie an, die für Online-Shops, mobile Apps, Cloud-Dienste, Überwachungskameras und Smart-Home-Geräte gedacht ist.

DNS-Anfragen und Internetverkehr bleiben ein Geheimnis

Eines der bemerkenswertesten Ergebnisse der Studie betrifft DNS-Anfragen. Keiner der 25 analysierten Hersteller gab direkt an, ob sein Router die Anfragen eines Benutzers an Domainnamen protokolliert. Obwohl DNS-Verkehr nicht den genauen Inhalt von Webseiten offenbart, kann die Historie der Domain-Anfragen viel über die Gewohnheiten, Interessen und Aktivitäten eines Benutzers aussagen.

Die gleiche Unsicherheit herrscht bei der Analyse des Internetverkehrs. Die Dokumente von 20 Unternehmen geben keine klare Antwort darauf, ob Deep Packet Inspection (DPI)-Technologie verwendet wird:

• Google Nest und Ubiquiti Cloud haben explizit erklärt, dass eine solche Analyse nicht verwendet wird.
• Amazon Eero, MSI Radix und AT&T Turbo Hotspot schließen die Möglichkeit der Nutzung dieser Technologie in bestimmten Konfigurationen nicht aus.

Der Prozess der Erfassung einfacher persönlicher Daten wie E-Mail-Adresse oder Kontoname wird in den Dokumenten jedoch wesentlich detaillierter beschrieben. 84 % der Unternehmen gaben an, E-Mails zu sammeln, und fast die Hälfte gab an, direkt vier Datenkategorien zu erhalten: Name, E-Mail, Telefonnummer und Postanschrift.

Geolokalisierung und Bewertungsergebnisse

Die Forscher widmeten auch der genauen Geolokalisierung des Geräts und Daten zu umliegenden Wi-Fi-Netzwerken besondere Aufmerksamkeit. Sieben Unternehmen gaben an, dass sie die Bestimmung des genauen Standorts des Geräts zulassen, während weitere sechs angaben, dies unter bestimmten Bedingungen zu tun. Nur D-Link und Amazon Eero erwähnten explizit Identifikatoren von Wi-Fi-Zugangspunkten in der Nähe (SSID und BSSID), die zur Bestimmung des physischen Standorts nützlich sein können.

Um den Grad an Zweifel und Unsicherheit zu bewerten, bewertete Cybernews jede Marke auf einer Skala von 0 bis 66 Punkten. Den Ergebnissen zufolge erzielten D-Link (56), Omada / TP-Link (55), Amazon Eero (53) sowie Xiaomi Mesh, Wyze und Cudy (jeweils 52 Punkte) die höchsten Werte. Die niedrigsten Werte erzielten Asus (34), MSI Radix (38) und Google Nest (39).

Experten betonen, dass dieses Ranking nicht die privatesten Router bewertet, sondern den Grad der Transparenz in den Rechtsdokumenten der Unternehmen. Bei Geräten, durch die der gesamte Datenverkehr eines Heimnetzwerks fließt, wirft eine solche rechtliche Unsicherheit jedoch ernsthafte Fragen hinsichtlich der Privatsphäre normaler Nutzer auf.