Schnurlose Kopfhörer können dafür genutzt werden, um genaue Bewegungsprofile von Menschen zu erstellen. In Oslo hat der IT-Enthusiast Bjørn Martin Hegnes für ein akademisches Projekt an verschiedenen Stellen der Stadt mit Bluetooth-Empfängern die dort vorbeikommenden Geräte mitgeschnitten. Dafür radelte er über einen Zeitraum von 12 Tagen mehr als 300 Kilometer durch die Stadt. Mit den Empfängern konnte Hegnes die komplette Innenstadt von Oslo beobachten, sie können über eine Entfernung von bis zu 100 Metern Signale erfassen.
Etwa 1,7 Millionen Bluetooth-Nachrichten hat Hegnes auf diese Weise gesammelt und mit Martin Gundersen vom norwegischen Rundfunk „NRK beta“ geteilt. Gundersen arbeitet immer wieder zum Thema Tracking. Im vergangenen Jahr hatte er anhand von Standortdaten, die von kommerziellen Apps gesammelt werden und die er vollkommen legal bei Datenbrokern kaufte, sich selbst de-anonymisiert – der Beweis, dass damit eine engmaschige Überwachung möglich ist, die Rückschlüsse auf das Privatleben der Betroffenen zulässt.
Statische MAC-Adresse ist wiedererkennbar
Im Datensatz von Hegnes fand Gundersen mehr als 100 Kopfhörer, die er sich genauer anschaute. Darunter waren Modelle von bekannten Firmen wie Bose, Jabra, Bang & Olufsen, Sennheiser und JBL. Identifizieren lassen sich diese Geräte über die so genannte MAC-Adresse, welche diese bei Bluetooth-Anfragen mitschicken. Sie wird benötigt, damit die Geräte miteinander kommunizieren können. Bei alten Geräten ändert sich diese Nummer nicht und lässt so eine eindeutige Zuordnung zu. Neuere Geräte ändern die MAC-Adresse von Zeit zu Zeit und erschweren damit derartige Angriffe auf die Privatsphäre.
Gegenüber dem norwegischen Rundfunk sagten die Hersteller Jabra und Bang & Olufsen, dass die betroffenen Geräte schon älter seien. Sennheiser kündigte gegenüber NRK beta an, dass die nächste Generation wechselnde MAC-Adressen haben werde. Begründet wird die statische Adresse damit, dass ältere Bluetooth-Standards sonst die Geräte nicht erkennen könnten und die Nutzer:innen darunter leiden würden. JBL und Bose antworteten nicht auf die Presseanfrage von NRK.
Der IT-Experte Hegnes warnt Nutzer:innen außerdem davor, Geräten Namen zu geben, die den eigenen Vor- oder Nachnamen enthalten. „Das könnte die Identifizierung noch einfacher machen“, sagte er gegenüber dem NRK. Im untersuchten Datensatz hatten 36 Personen ihren Geräten den vollen Vor- und Nachnamen gegeben, viele weitere Geräte enthielten Vornamen oder Nachnamen. In der Versuchsanordnung von Hegnes waren die Bluetooth-Empfänger an seinem Fahrrad montiert und damit immer in Bewegung. Mit fest installierten Geräten an verschiedenen Orten in der Stadt wäre es hingegen möglich, dauerhaft Profile der Menschen zu erstellen, die dort regelmäßig vorbei kommen.
Einen der Menschen, der seinem Gerät den vollen Namen gegeben hatte, kontaktierte die Redaktion. Er sagte gegenüber dem Medium: „Es ist unangenehm zu wissen, dass andere, die man nicht kennt, einen über Bluetooth verfolgen können. Das ist mir nie in den Sinn gekommen.“
Liste der betroffenen Geräte laut Recherche von NRK beta:
- Bang & Olufsen: Beoplay E8, Beoplay H7, Beoplay H8i, Beoplay H9
- Jabra: Elite Active 65t, Jabra Elite 65e, Jabra Evolve 75e
- Bose: QuietComfort 35, QuietComfort 35 II
- JBL: JBL Reflect Mini NC
- Sennheiser: Momentum True Wireless 2, Momentum 3
Dazu gibt es bereits kommerzielle Lösungen die im Handel und bei Tourismusförderern schon im Einsatz sind. Da werden Geräte anhand der Macadresse gezählt und auf Besucherströme geschlossen.
Danke für die Mitteilung! Mir war schon zuvor vage bewusst, dass Bluetooth gut zum Tracken sei, aber dass es so umfangreich funktioniert, gruselt mich.
Müsste es in der Zwischenüberschrift „Statistische MAC-Adresse ist wiedererkennbar“ nicht „Statisch“ heißen? In diesem Fall, würde ich allerdings auch aufgrund ihres statistischen Wertes, das bestehende Adjektiv gelten lassen.
Danke für den Hinweis. Es muss natürlich „statisch“ heißen, das war ein Tippfehler oder die Auto-Korrektur.
Sicherheit und Funk … Privatsphäre und Funk …
Ja, wirklich, ich stelle mir die Abfolge folgender Überraschungen etwa so vor:
– Einbrecher und Funk.
– Safehouse und Funk.
– Zeugenschutzprogramm und Funk.
– …
Die Dinger sind dich total nervig, man kann sie leicht verlieren und muss ständig laden.
Gegen ersteres gibt es bereits so Schnüre, die man sich dann um den Nacken legt.
Aber am genialsten sind diese Kopfhörer mit Kabel und Klinkenstecker, man kann sie nicht verlieren wenn sie mal aus dem Ohr fallen und muss sie niemals aufladen!
Außerdem sind sie wesentlich günstiger.
Brilliant diese Erfindungen des letzten Jahrhunderts, als hätte sich jemand was dabei gedacht.
Ich weiß nicht ob man die so leicht verliert. Zumindest die genannten Bose QC 35 sind keine kleinen Ohrstöpsel. Das sind Kopfhörer, da braucht man keine Schnüre.
Und selbst wenn man die über ein Klinken Kabel betreibt, muss man die aufladen, denn ohne Akku funktioniert ANC nicht.
ANC… wozu braucht man das? Das ist eine ernst gemeinte Frage!
Sofern ich mal den ÖPNV benutze, höre ich auch Musik oder Podcast. Auf dem Weg zum Haltepunkt ist das freilich sinnlos, weil der Verkehrslärm zu laut ist. ANC wäre dort aber gefährlich, weil man dann keine Autos (Lkw, Busse…) mehr hört, oder sehe ich das falsch?
Ich sehe es als problematisch an, in wie viele Geräte heutzutage Akkus verbaut werden. Macht der Akku nach paar Jahren schlapp, sind besonders kleine Geräte (wie solche Kopfhörer oder Smart Watches) praktisch Elektroschrott, denn man wird den Akku kaum wechseln können (oder kriegt Ersatz). Warum muss heute alles „wireless“ sein? In diesem Zusammenhang finde ich den (ironischen) Hinweis von „Kopfnicker“ auf den Nutzen eines Kabels nicht verkehrt…
Abgesehen davon zeigt das Problem mit dem Bluetooth-Tracking (mal wieder), dass nicht jede machbare Technik sinnvoll ist! Ich erinnere an die – viele Jahre zurück liegenden – Demonstrationen, wie über dutzende Meter Entfernung Verbindung zu Handys aufgenommen wurde, per Bluetooth, das angeblich nur eine geringe Reichweite hat… Empfehlung war: BT unterwegs ausschalten! Hat da schon wer an Tracking gedacht?
einige Smartphone haben keine Klinkeranschlüsse mehr und man muss auf diese Kopfhörer ausweichen.
…oder man boykottiert solchen Unfug…!
Man -MUSS- keineswes Geräte kaufen und nutzen, die die Privatsphäre verletzen (können).
Das eigentliche Problem sind die Faulheit (sich zu informieren) und der Bequemlichkeitsanspruch der Konsumenten und Anwender und deren blinde Technologiehörigkeit.
Inzwischen kommt das Problem dazu, dass Smartphones mit Hilfe der Politik fast obligatorisch gemacht werden.
Zunächst nicht wörtlich, aber bei der nicht vorhandenen Impfpflicht sind wir ja auch schon fast bei „PCR Test für non-gg im ÖPNV“, um ein Beispiel zu nennen.
Funk war schon immer riskant. Nicht umsonst ist Funk auch in hermetisch abgeriegelten Gebäuden nicht immer erlaubt. Nicht nur wegen Datenabfluss, sondern auch wegen der nicht kontrollierbaren Angriffsvektoren.
Dazu kommt die sicherheitstechnische Kastrierung der Consumerelektronik durch geschlossene Systeme einerseits, andererseits durch gestutzte oder überkomplexe Standards, usw., bis hin zum immer wiederkehrenden Ansatz des Verbots von Krypto.
Im Artikel steht das anhand der statischen MAC-Adresse getrackt werden könnte,
und deshalb eine dynamische besser sei. Sobald man seinem Gerät einen Individuellen Namen gibt scheint es ja wieder getrackt werden zu können.
Wenn die Realität für NERDs schon Hochkomplex wird,
wie sollen „normale“ Menschen damit umgehen können.
Medienkompetenz in den Schulen…………………………………………….MS Office
Betrifft auch viele Smartwatches, etwa Samsung Gear und Withings.
Sieht das mit WLAN nicht ähnlich aus?
Hier habe ich neben der MAC noch die Möglichkeit danach zu kategorisieren, zu welchen WLANs das Gerät eine Verbindung versucht. Auch damit läßt sich dann ein Profil erstellen.
Stimmt. Bei WLAN ist nicht nur die MAC Adresse interessant, sondern auch, nach welchen WLANs gesucht wird. Da dass unverschlüsselt übertragen wird, ist eine Fake-MAC sinnlos, wenn man sich anonymiseren will. Ausserdem verraten die gesuchten WLANs natürlich viel über den Anwender. Flughäfen, Hotels, Firmen,…
Zwei alte Regeln gelten auch heute – sogar mehr denn je:
1. Trenne ALLE drahtlosen Verbindungen, wenn du sie aktuell gerade nicht benutzt und schalte alle Sendefunktionan nur dann ein, wenn und nur solange du sie auch konkret benutzt.
2. Benutze drahtgebundene Verbindungen, wann und wo immer es möglich ist.
In der guten Version unserer Realität halten sich natürlich alle daran. Alles gut! Glück gehabt. Welche Art von Bestrafung lassen wir uns cleveren Regelmacher:innen und aktiven Regelversteher:innen in der fiesen, bösen aber deutlich realeren Realität für den Großteil unserer für die weitere Evolution verlorenen Mitmenschen einfallen? Es sollte eine finale, schnelle Lösung sein, wie ich finde. Sonst ist es weiter viel zu spät.
Das ist beim Gedankenspiel der der Punkt wo ich raus bin. ;) „Lasse doch schmoren…“
Wie wäre es mit einer freien nonProfit Software für MS + Android + Apfel, die folgende Parameter automatisch ändert:
1. MAC- Adressen
2. WLAN- Kennung
3. Bluetooth- Kennung
4. Festplatten- Nummern
5. Usw. … (Welche sonstigen Parameter können noch träcken???)
Der Nutzer kann selbst die Art der Änderung einstellen:
1. Alle x Minuten (1…60)
2. Alle x Stunden (1…720)
3. Sofort auf Befehl
4. bei Gerät einschalten
5. bei Gerät ausschalten
6. bei ausloggen aus Internet
7. bei neuen Browserabfrage
8. Usw. … (Was fällt euch noch ein???)
Oder gibt es bereits so etwas?
Auf einem stationären PC ist der Browser das mit Abstand größte (realistisch einzige) Trackingproblem.
Lösung: Googles Chrome nicht benutzen UND an ein Browser-Projekt spenden (denn Browserentwicklung ist extrem aufwendig und Google benutzt seine Macht um es noch aufwendiger zu machen). Ihr werdet was Privatsphäreorientiertes finden, SW-Bio-Diversität ist auch hier gut und wichtig (auch wenn es den Aufwand multipliziert).
Auf jedem anderen Gerät: Ein Computer, auf dem Ihr keine Administratorenrechte habt, ist nicht euer Computer sondern gehört dem Hersteller.
Auf dem Smartphone: Apple nicht benutzen. Smartphone kaufen, auf dem Ihr Administratorenrechte habt (realistischerweise irgendein Android). Auf einem Phone mit GrapheneOS (Android-Derivat) z.B. ist das Durchwechseln der Identifier schon implementiert. Es gibt sowas also. Und ja, Google Play funktioniert hier nur eingeschränkt, weil das Googles Absicht ist (siehe vorherigen Punkt).
Die Behörden müssten mal ein Subset von HTML nehmen, am Besten ohne CSS, sowie ohne aktive Inhalte, und als Darstellungssprache für Behördenvorgänge und Darstellung setzen. Formal verifiziert und ohne Ballast, auf Kleinstgeräten lauffähig.
Dann geht es ein kleines Stück in eine gangbare Richtung. Im Moment sind wir in einer gar nicht mehr so elastischen Blase am Rande einer der blödestmöglichen Ausdehnungen des Raums, in dem eigentlich eine Zivilisation mit Überlebenschance entstehen sollte, „befangen“.
Das aufgezeigte Problem betrifft alle nutzerorientierten Funktechnologien (BT, Wifi) und in erweitertem Sinne alle nutzerorientierten modularen Technologien (LAN, USB, Festplatten, eigentlich alle zwei Geräte, die sich verbinden lassen und sich gegenseitig wiedererkennen sollen).
Der Grund ihrer Existenz ist, dass sie technisch simpel zu realisieren waren/sind und den Datenverkehr auf einem geteilten Medium ordnen. Diese Eigenschaft kann auch mit temporären Identifiern erreicht werden.
Zur unaufgeforderten Klarstellung: Diese Identifier haben noch nie einen Sicherheitsaspekt bedient sondern dienen lediglich der (Zu-)Ordnung von Datenpaketen.
Wann geht es endlich los. Mit den maßlosen personalisierten und automatisch generierten Werbeflut. Seit den 80er hinterlasse ich meinen Name, meine Email und tausende digitalen Signaturen im Netz.
Die Schufa meint noch immer ich wäre 99,7 % sicher und nicht eine Verkaufsmail erreicht mich.
Lediglich unkontrollierte Dauerspam
Ich würde mich so freuen wenn mal was passenden kommt
DU wirst passend gemacht, nicht die Werbung :).
Halbscherz beiseite, das sind Strategische Daten, nicht nur Werbung. Sogar im einfachen Modell geht es dem Unternehmen nicht um Werbung, sondern um Profit, danach noch Stabilität für sich selbst, Instabilität für alles Gegenpotential, usw. Bis man da bei Werbung ist, sind eine Menge Meter zu bewerkstelligen.