Sicherheitslücken ab Werk: Klage soll zu besseren Informationen für Smartphone-Käufer führen

Die Verbraucherzentrale NRW hat beim Landgericht Köln Klage gegen eine Filiale von MediaMarkt eingereicht. Anlass ist ein in der Filiale verkauftes Android-Smartphone, in dessen Software beim Verkauf 15 Sicherheitslücken steckten, auf die nicht hingewiesen wurde. Die Schwachstellen im Cynus T6 des koreanischen Hersteller Mobistel wurden bisher auch nicht beseitigt.

Das Cynus T6 wurde von MediaMarkt im August 2016 mit Android 4.4 verkauft. Diese Version von Googles Mobilbetriebssystem war damals bereits fast drei Jahre alt. Nach dem Testkauf durch die Verbraucherzentrale NRW wurde das Gerät vom Bundesamt für Sicherheit in der Informationstechnik (BSI) untersucht. Dabei wurden insgesamt 15 Schwachstellen entdeckt. Mindestens eine davon ermöglichte es, Schadcode aus der Ferne einzuschleusen und auszuführen und so die Kontrolle über das Gerät zu übernehmen.

Das BSI kontaktierte Mobistel im September 2016 wegen der Sicherheitslücken. Bisher hat das Amt jedoch noch keine Antwort erhalten. Auch wurden die weder die Fehler beseitigt noch das Mobilbetriebssystem des Cynus T6 aktualisiert, erklärt BSI-Sprecher Joachim Wagner. Die Verbraucherzentrale NRW klagt nun gegen MediaMarkt, weil Käufer nicht über den Mangel informiert wurden.

Gegenüber der Süddeutschen Zeitung erklärt Christine Steffen von der Verbraucherzentrale NRW, die Klage sei noch “in einem frühen Stadium”, sie könnte für Smartphone-Käufer aber von “grundsätzlicher Bedeutung” sein.

Zur Klage gegen den Händler anstatt den Hersteller des Telefons oder den Anbieter des Betriebssystems habe man sich entschieden, da Händler für “Verbraucher der unmittelbare Vertragspartner sind”. Damit seien sie verpflichtet, Käufer über Sicherheitslücken zu informieren. “Es kann nicht sein, dass ich ein neuwertiges Gerät in einem Markt kaufe, das mit Sicherheitslücken behaftet ist, die auch im Nachhinein, wenn ich es in Betrieb nehme, nicht geschlossen werden und ich das nicht weiß”, so Steffen gegenüber der SZ.

BSI-Sprecher Wagner erklärt, die sehr eng gefasste Klage könne möglicherweise dazu beitragen, die Aufmerksamkeit der Öffentlichkeit auf das breiter angelegte Problem zu lenken. “Für die Klage mussten wir ein Beispiel wählen. Wir hoffen, dass das ein Signal senden wird. Wir wissen, dass das kein ungewöhnliches Beispiel ist, weil auch gerade jetzt viele Smartphones mit Sicherheitslücken verkauft werden.”

Auch in den USA beschäftigen sich Behörden mit dem Thema Sicherheitsupdates für Smartphones. 2016 fragten FCC und FTC dort unter anderem bei Apple, Google, HTC, LG, Microsoft und Samsung an, warum nicht alle Geräte mit Patches versorgt werden. Die Hersteller sollten zudem die Faktoren nennen, anhand der sie entscheiden, welche Sicherheitslücken geschlossen werden.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de