03. Dezember 2011
Posted in Internet News

CNet's Declan McCullagh tritt Berichten aggressiv entgegen ("Lnych Mob"), , die der Entdeckung eines Android-Entwicklers folgten. Dieser Entwickler hatte festgestellt, dass die von Carrier IQ hergestellte und auf Abermillionen Geräten eingesetzte Software in der Lage ist, jeden Tastendruck, jede Aktivität von Gerät und Nutzer zu erfassen und dabei selbst unerkannt zu bleiben.

An der Behauptung, dass die Software verdeckt arbeitet, wird von CNet nicht gerührt. Doch was die Keystroke Logger-Funktionalität angeht, widerspricht man früheren Berichten. Die Software sei nicht in der Lage, die erfassten Eingaben ("Keystrokes") zu speichern und an die Carrier zu übertragen. Eine Angabe, der aber an gleicher Stelle widersprochen wird. Denn wie es heißt, ist Carrier IQ beispielsweise dafür vorgesehen, die besuchten URLs (auch HTTPS) zu speichern und an Carrier zu übermitteln.

Auch SMS-Daten können übertragen werden, wenn der den Auftrag erteilende Carrier das wünscht. Doch wie es auch in einem neuen Statement von Carrier IQ heißt, betrifft das nicht die Inhalte der Textbotschaften: "...our software does not record, store or transmit the contents of SMS messages, email, photographs, audio or video". Die Kommentare zu McCullaghs Texten machen klar, dass die von ihm gelieferten Erklärungen die Situation nicht wirklich klären.

Carrier IQ erfasst alle Tasteneingaben für Prüf- und Diagnosezwecke, ist nach Darstellung von McCullagh aber nicht in der Lage, diese Daten zu speichern und zu transferieren. Gleichwohl ist Carrier IQ imstande, die ausgerufenen URLs in Log-Dateien zu erfassen, zu speichern und zu übertragen, was die Software auf Wunsch der Carrier auch tut.

Die Diagnose-Software wirkt nach Angaben des Herstellers als eine Art "Verbraucheranwalt", denn sie liefert Informationen an den Carrier, um dessen Leistung - die Bereitstellung des Netzes sowie des Support - zu verbessern. Gleichzeitig heißt es bezüglich der URL-Logs, dass diese Daten auch im WiFi-Modus übertragen werden. Was kaum dazu dienen kann, die Netzwerkquaität zu verbessern, denn das Carrier-Netz wird dann ja nicht genutzt. Wobei man hier ebensogut anmerken könnte, dass der Carrier selbst auch schon erfassen kann, welche URLs ein mobiles Gerät aufruft.

Wirklich erhellen kann McCullaghs Fürsprache für den Software-Hersteller damit nicht. Es bleibt festzustellen, dass Carrier IQ eine Software herstellt, die die verschiedensten Daten von Mobilfunkgeräten erfassen kann und dies im Auftrag der Carrier auch tut. Die Netzbetreiber halten sich bisher bedeckt, was die von ihnen angeforderten Daten angeht und Carrier IQ für seinen Teil versteckt sich hinter seinen Auftraggebern ("wir können mit den Daten nichts machen, die gehören uns nicht, sie gehören den Carriern").

Einblick in den Quellcode will man aus Angst vor der Konkurrenz nicht gewähren. Einzig eine Sicherheitsexpertin, die mit dem Unternehmenschef persönlich bekannt ist, darf Einblick nehmen, was sie für den McCullagh-Artikel auch tut. Sie kommt nach einer kurzen Untersuchung ("... ich hatte keine Zeit, den Code genauer zu überprüfen, aber ich sah mir das System-Design an und stellte ein paar verdammt harte Fragen...") zum Ergebnis, dass die Entwickler "große Diszipiln auf die angestrebten Ziele der Software verwandt haben". Das erwartet man von einem Software-Entwickler aber eigentlich immer.

Die Frage war eher gewesen, welche Funktionen die Software von ihrem Design her erfüllen kann und ob es Möglichkeiten des Missbrauchs gibt. Diese Fragen bleiben weiter offen, solange sich weder der Software-Hersteller noch seine Auftraggber in die Karten schauen lassen.