Montag, 27.09.2021
 
Seit 02:30 Uhr Zwischentöne
StartseiteForschung aktuellSicherheitslücke bei E-Book Kindle entdeckt06.08.2021

SchadsoftwareSicherheitslücke bei E-Book Kindle entdeckt

Sicherheitsforscher von Checkpoint haben im Kindle-Lesegerät von Amazon Sicherheitslücken entdeckt. Damit können Angreifer das gesamte Amazon-Konto übernehmen. Und die E-Books lassen sich für die organisierte Kriminalität oder Geheimdienste perfekt zum Ausspionieren einsetzen.

Von Peter Welchering

Hören Sie unsere Beiträge in der Dlf Audiothek
Kindle-Lesegerät in einer Bibliothek: Flops beim Publikum gibt es auch im E-Book-Bereich nicht zu knapp. (dpa / picture alliance / Thomas Eisenhuth)
Präparierte E-Books können Schadsoftware auf Kindle-Lesegeräte schleusen (dpa / picture alliance / Thomas Eisenhuth)
Mehr zum Thema

Sicherheitslücke bei Amazons Alexa Millionen Nutzer könnten ausspioniert worden sein

Fahrassistenzsysteme gehackt Tempo 85 statt Tempo 35

Endlich mal erklärt Braucht man noch Bücher aus Papier?

Das Kindle-Lesegerät für E-Books ist recht beliebt und weit verbreitet. Viele Millionen Leser setzen es ein, um bei Amazon und anderen Anbietern Krimis, Studienbücher oder Sachbücher runterzuladen und zu lesen. Und über genau diese elektronischen Bücher können digitale Angriffe ausgeführt werden.


Welche Schwachstellen haben die Sicherheitsforscher gefunden?

Im Prinzip handelt es sich um elektronische Bücher, in denen Schadsoftware steckt. Die Angreifer bieten ein solches schadstoffversuchtes E-Book zum Herunterladen an. Und wer das macht, der lädt auch Schadsoftware mit herunter, die dann das Lesegerät regelrecht ausspioniert und alle auf dem Gerät gespeicherten Informationen ausliest – inklusive Passwörter und Zugangsdaten zu Amazon-Konten. Das haben Analysten des Sicherheitsunternehmens Checkpoint herausgefunden. Amazon hat diese Sicherheitslücken inzwischen geschlossen, aber die Branche ist erheblich aufgeschreckt.

Warum ist die Aufregung in der Branche so groß?

E-Books als Digitalbomben oder Spionagewerkzeuge bringen eine ganz neue Qualität ins das Geschäft mit Cyberkriminalität. Und nicht nur für die organisierte Kriminalität gibt es hier ganz neue Möglichkeiten, sondern auch für Militärs. Denn bei solchen Angriffen kann die Zielgruppe sehr genau ausgewählt werden. Das können Bürger eines Staates sein oder Menschen mit bestimmten beruflichen oder anderen Interessen.

Das Foto zeigt einen Rechner von innen. Man sieht mehrere Platinen von oben.  (picture alliance / ap /  Jenny Kane) (picture alliance / ap / Jenny Kane)Ransomware: Gehackt, bestohlen, erpresst
Auch in kriminellen Kreisen gibt es bestimmte Trends. Einer davon heißt Ransomware. Dabei werden Daten geklaut und die Opfer dann erpresst. Mittlerweile sind auch deutsche Unternehmen betroffen und ein Ende der Angriffe ist nicht abzusehen – im Gegenteil.

So wird zum Beispiel ein Buch in deutscher Sprache überwiegend von Deutschen, Schweizern oder Österreichern gelesen, ein Buch in rumänischer Sprache mit einem hohen Grad an Wahrscheinlichkeit von Rumänen. Ein E-Book über neue Covid-19-Impfstudien würde sich an ein eher medizinisch gebildetes Publikum richten, eines über aktuelle Rechtsprechung eher an Juristen. Und diese sehr differenzierte Zielgruppenauswahl ist für Nachrichtendienste wie auch für die organisierte Kriminalität sehr attraktiv. Denn deren Absicht besteht darin, ganz bestimmte, ausgewählte Ziele anzugreifen oder auszuspionieren - anstatt mit digitalen Schrotkugeln zu schießen.

Welche Daten konnten ausspioniert werden?

Rechnungsdaten zum Beispiel, bis hin zum verknüpften Amazon-Konto. Und da zahlreiche Amazon-Nutzer ihr Kundenkonto nur mit einem einfachen Passwort geschützt haben, das auch auf dem Kindle-Lesegerät liegt und ausspioniert werden konnte, konnte so auch auf das Amazon-Konto zugegriffen werden. Wer Zugriff auf das Amazon-Konto hat, kann auf Rechnung des Lesegerät-Besitzer und Inhabers dieses Kundenkontos einkaufen. Aber wie viele Menschen tatsächlich betroffen waren, weiß man nicht.

Wie kann ich mich davor schützen?

Die Sicherheitsforscher raten dazu, für das Amazon-Konto eine Zwei-Faktor-Authentifizierung einzurichten. Bei der muss nicht nur ein Passwort eingegeben werden, um sich am Kundenkonto anzumelden, sondern zusätzlich auch noch zum Beispiel eine Bestätigungs-Transaktionsnummer, die man aufs Handy geschickt bekommt.

Ein Mann mit Kapuze und Guy Fawkes- Maske sitzt vor einem Computer  (Unsplash/ Clint Patterson) (Unsplash/ Clint Patterson)Identitätsmissbrauch: Schutz im Internet wird immer wichtiger
Immer häufiger missbrauchen Fremde die Identitäten von Verbrauchern. Mit ergaunerten Daten werden im Internet Waren bestellt, Nutzerkonten eingerichtet und kostenpflichtige Verträge abgeschlossen. Ein paar Vorkehrungen kann man noch treffen, auch wenn es bereits passiert ist.

Wie merke ich, ob mein Kindle betroffen ist?

Nach dem Herunterladen der Schadsoftware wird beim Ausnutzen dieser Sicherheitslücken der Bildschirm des Lesegerätes gesperrt. Wer das bemerkt, sollte sich direkt mit Amazon in Verbindung setzen. Amazon hat diese Sicherheitslücke inzwischen geschlossen und ein Sicherheitsupdate bereitgestellt. Bei einer bestehenden Internetverbindung wird dieses Update mit der nüchternen Bezeichnung 5.13.5 automatisch installiert.

Außerdem empfehlen Sicherheitsexperten, E-Books nur aus bekannten Quellen herunterzuladen und bei besonders günstigen Angeboten vorsichtig zu sein. Insgesamt sind die Hersteller hier in der Pflicht. Denn das Gefahrenpotential von schadsoftwareverseuchten E-Books ist schon länger bekannt. Erst jetzt allerdings sind konkrete Sicherheitslücken dazu nachgewiesen worden.

Was müssen die Hersteller tun?

Oft enthalten dieses E-Books multimediale Inhalte oder interaktive Fragebögen. Dahinter stecken immer sogenannte aktive Elemente. Diese müssen nach dem Herunterladen isoliert und auf Schadsoftware geprüft werden. Dafür existiert bereits entsprechende Software, die alle aktiven Elemente ermittelt und dann genau analysiert, welche Aktionen diese Elemente auslösen.

Es wird auch schon darüber diskutiert, was passiert, wenn solch ein Angriff nicht über ein E-Book auf einem Kindle-Lesegerät stattfindet, sondern auf einem Tablet oder Smartphone, auf dem ein E-Book-Reader installiert ist. Wenn solch ein Gerät dann in einem Unternehmensnetzwerk hängt, kann das gesamte Unternehmensnetzwerk angegriffen werden. Und das bereitet den Sicherheitsexperten echtes Kopfweh.

Das könnte sie auch interessieren

Entdecken Sie den Deutschlandfunk