iPhone: Hotspot-Login-App der Telekom ist Sicherheitsrisiko

Hotspot-Login-App als Sicherheitsrisiko
Foto: teltarif Wer einen kommerziellen WLAN-Hotspot am Smartphone nutzen möchte weiß, dass die Eingabe von Benutzernamen und Passwort oft eine etwas fummelige Angelegenheit ist. Die Deutsche Telekom macht es ihren Kunden indes einfach und stellt kostenlose Hotspot-Login-Apps für alle gängigen mobilen Betriebssysteme bereit. Einmal hier die Nutzerdaten eingetragen übernimmt diese App dann das Einbuchen in den Hotspot des Bonner Telekommunikationskonzerns.

Wie das Onlinemagazin heise berichtet, stellt aber genau diese Hotspot-Login-App zumindest beim Apple iPhone ein Sicherheitsrisiko dar. Die Anwendung kann über eine mobile Datenverbindung auch die Benutzerdaten des Kunden automatisch ermitteln und in die App eintragen. An diese Daten könnten - zumindest theoretisch - dann auch andere auf dem iPhone installierte Anwendungen gelangen, zumal alle erforderlichen Informationen entweder über die Datenverbindung übermittelt werden oder in der Hotspot-Login-App enthalten sind.

Hotspot-Login-App als Sicherheitsrisiko
Foto: teltarif Dem Bericht zufolge müsse eine datenhungrige iPhone-Applikation demnach nur eine entsprechende Anfrage nach den Daten starten um diese zu erhalten. Theoretisch müsse der Nutzer nicht einmal die Hotspot-Login-App installiert haben, da es ausreiche, die mobilfunkbasierte Abfrage zu starten und so dem Netz vorzutäuschen, die Anfrage komme von der Anwendung des Telekommunikationskonzerns.

heise: "Telekom weiß seit November vom Sicherheitsproblem"

Wie heise weiter berichtet hat iOS-Experte Andreas Kurtz, der die Sicherheitslücke entdeckt hat, schon im November die Telekom über das Problem in Kenntnis gesetzt. Der Konzern halte jedoch an seinem bisherigen Verfahren fest. Damit besteht nicht nur die Gefahr, dass die Hotspot-Benutzerdaten ausgelesen werden. Diese beinhalten standardmäßig auch die Handynummer des Kunden, die sich somit in der Folge für Spam-SMS und Werbe-Anrufe missbrauchen lasse.

Die Telekom argumentiert dem Bericht zufolge, das Ausnutzen dieser Sicherheitslücke bedürfe einer "besonderen Expertise sowie kriminelle Energie". Daher wolle das Unternehmen die Login-App unverändert anbieten und auch an der Möglichkeit, die Benutzerdaten automatisch zu ermitteln und einzutragen, nichts ändern. Dabei wäre das Sicherheitsrisiko schon damit ausgeschlossen, wenn es die Telekom dem Nutzer zumuten würde, seine Zugangsdaten generell selbst einzutragen statt diese automatisch ermitteln zu lassen.

Neben iOS ist die Hotspot-Login-App seit geraumer Zeit auch für Smartphones und Tablets mit dem Android-Betriebssystem von Google erhältlich. Erst kürzlich hatte der Bonner Telekommunikationsanbieter die Anwendung auch für Smartphones veröffentlicht, die auf dem Windows-Phone-Betriebssystem von Microsoft basieren. Bislang nicht bekannt ist, ob es auch bei den Apps für die anderen Betriebssysteme vergleichbare Sicherheitslücken gibt.