Superfish-Adware: Lenovo kommt mit 3,5 Millionen Dollar Strafe davon

Lenovo wird 3,5 Millionen Dollar Strafe bezahlen und werde künftig die Erlaubnis von Nutzern abfragen, bevor solche Programme auf den Rechnern installiert werden. Im Jahr 2014 hatte Lenovo Rechner verkauft, auf denen das Programm VisualDiscovery des Adware-Anbieters Superfish installiert war.

Diese Software stellte nicht nur ein Sicherheitsleck dar, sondern unterdrückte auch die Meldungen von Browsern, wenn Nutzer bösartige Seiten aufriefen. Die Software wurde den Nutzern zudem ungefragt untergejubelt. Mehrere Hunderttausend Geräte wurden mit dieser Software vorinstalliert. Verschiedene Sicherheitslösungen erkannten die Software als Schädling. Zumal diese auch sensible Nutzerinformationen wie etwa Sozialversicherungsnummern auf den Geräten ausspähte und diese an die Server von Superfish sendete, wie die Federal Trade Commoission mitteilt.

Nachdem bereits einige Nutzer gegen Lenovo wegen der Verbreitung der Software geklagt hatten, entfernte Lenovo die Software anfang 2015 wieder von den Rechnern.

“Lenovo hat die Privatsphäre der Nutzer verletzt, als es über eine vorinstallierte Software auch sensible Informationen abgriff, ohne den Anwender darüber zu informieren oder die Erlaubnis dafür einzuholen”, kommentierte FTC-Chairman Maureen Ohlhausen in einer Mitteilung .

Lenovo kommentierte die Einigung mit der FTC. Der Hersteller weise zwar die Vorwürfe der FTC zurück, sei aber zufrieden, nach mehr als zweieinhalb Jahren, diese Sache aus der Welt schaffen zu könnnen. Es seien auch keine Fälle bekannt, in denen Unberechtigte über die Software auf die Systeme von Nutzern zugriffen, wie Lenovo gegenüber der Nachrichtenagentur Reuters in einer Email erklärt.

Die Superfish-Malware hatte es durchaus in sich. Die Software nutzte ein selbstsigniertes Root-Zertifikat, um mit HTTPS verschlüsselten Traffic zu entschlüsseln. So konnte die Adware alle Verbindungsdaten sämtlicher besuchter Websites mitlesen, um dann entsprechende Werbung anzeigen zu können.

Da das Zertifikat des Softwareherstellers Superfish in die Liste der Systemzertifikate von Windows aufgenommen ist, konnte es auch von anderen für bösartige Man-in-the-Middle-Angriffe benutzt werden.

Erste Beschwerden über Superfish auf Lenovo-Laptops tauchten im September 2014 auf. Eine der Klägerinen habe ihr Yoga-2-Laptop von Lenovo für geschäftliche Zwecke wie die Kommunikation mit Kunden gekauft. Beim Verfassen eines Blogeintrags für einen Kunden habe sie auf dessen Website “Spam-Werbung” mit “spärlich bekleideten Frauen” entdeckt. Nachdem sich auch auf anderen Websites unerwünschte Pop-up-Fenster geöffnet hätten, habe sie angenommen, auf ihrem Computer befinde sich eine Spyware oder sie sei gehackt worden. In Internetforen sei sie dann allerdings auf ähnliche Probleme anderer Besitzer von Lenovo-Laptops und die Adware Superfish als Ursache gestoßen.

Lenovo-CTO Peter Hortensius hatte sich in einem offenen Brief bei Kunden entschuldigt, die zwischen September 2014 und Februar 2015 ein Lenovo-Laptop mit Superfish gekauft haben. “Wir haben die Berichte über die Sicherheitslücke der Software gesehen und sofort Maßnahmen ergriffen, um sie zu entfernen”, heißt es darin. “Das Problem hat selbstverständlich bei unseren Kunden, Partnern, denen, die sich für Lenovo interessieren, unserer Branche und der Technologie im Allgemeinen für Unruhe gesorgt. Dafür würde ich mich gerne entschuldigen.”

Ob die Betroffenen Nutzer durch die Zahlung an die FTC entschädigt werden, ist derzeit nicht bekannt. Lenovo hatte 2015 zudem mit einem Sicherheitsleck in einer Systemsteuerungssoftware zu kämpfen. Auch andere Hersteller wie Dell waren von vergleichbaren Problemen betroffen.