[Christoph]

Wer seinen Mail-Account jemals mit einem aktuellen BlackBerry benutzt hat hat, sollte ernsthaft darüber nachdenken, sein Passwort zu ändern: Bei der Einrichtung eines Mail-Accounts schickt BlackBerry 10 die eingegebenen Zugangsdaten ungefragt an den Hersteller.

Der Sicherheitsexperte Marc Heuse hat heise Security kürzlich über eine interessante Beobachtung informiert: Wenn man unter BlackBerry 10 einen neuen Mail-Account konfiguriert, kommuniziert das Smartphone verschlüsselt mit dem Server discvoeryservice.blackberry.com. Verschafft man sich über einen Web-Analyse-Proxy wie Burp Einblick in die verschlüsselten Pakete, ist das Erstaunen groß: Nach Eingabe der Mail-Adresse wird diese sofort an BlackBerry übertragen und im nächsten Schritt folgt auch noch das Passwort. Parallel zu Marc Heuse ist offenbar Frank Rieger auf das Problem aufmerksam geworden; seine Erkenntnisse hat er in seinem Blog veröffentlicht.

Die Zugangsdaten werden zwar verschlüsselt über HTTPS übertragen, weshalb man sie ein Datenschnüffler auf dem Transportweg schwerlich mitlesen kann. BlackBerry kann sie jedoch sehr wohl entschlüsseln. Was dort mit den Zugangsdaten geschieht, darüber kann man nur spekulieren.

Angesichts der aktuellen Entwicklungen rund um PRISM dürfte die Tatsache, dass die Accountdaten und das Passwort ohne deutlich erkennbare Vorwarnung an ein US-Unternehmen weitergegeben werden, bei vielen Nutzern Bauchschmerzen verursachen. Wer auf Nummer sicher gehen will, sollte sein Passwort ändern. Das ist freilich nur dann effektiv, wenn man es anschließend nicht wieder in den Einrichtungsassistenten des BlackBerry einträgt.

BlackBerry ist traditionell vor allem im Business-Umfeld beliebt und dort kann man sich mit den Zugangsdaten zum Mailkonto allzu oft auch unter anderem ins VPN einwählen (Single-Sign-On). Angesichts der Datenweitergabe müssen Firmen den Einsatz der Geräte wohl neu bewerten.

BlackBerry hat sich bislang nicht zu dem Problem geäußert; eine Antwort auf unsere Presseanfrage steht noch aus.

Quelle: http://www.heise.de/newsticker/meldu...s-1919718.html