Apple-Hack: Das FBI ist unschuldig

Der App-Entwickler Blue Toad bestätigte dem Sender NBC am Montag, dass die Sammlung der sogenannten Unique Device Identifier (UDID) aus seinen Datenbanken kam. Die Daten seien in den vergangenen zwei Wochen gestohlen worden. Das widerspricht der Darstellung des Hacker-Kollektivs Antisec, es habe die UDID-Nummern im März vom Computer eines FBI-Agenten heruntergeladen. 

Antisec hatte vergangene Woche rund eine Million Datensätze mit Seriennummern von iPhones und iPads und zum Teil weiteren Informationen veröffentlicht. Sie waren demnach Teil einer grösseren Sammlung aus rund zwölf Millionen Nummern. Das FBI wies schnell zurück, die Daten gesammelt zu haben. Auch sei nichts von einem Einbruch in einen der FBI-Computer bekannt. Apple erklärte ebenfalls, man habe der US-Bundespolizei keine UDID-Nummern ausgehändigt. 

UDID-Problematik

Die Seriennummern von iOS-Geräten wie dem iPhone und dem iPad wurden früher von Programm-Entwicklern dazu verwendet, einzelne Geräte zu identifizieren und ein massenhaftes Kopieren ihrer Apps zu unterbinden. Ausserdem griffen Werbenetzwerke auf diese UDID-Nummern zurück. Apple verweigert seit Februar Programmen die Zulassung, die weiterhin die Geräte-ID abfragen. 

Blue Toad, ein Entwickler von Apps für Verlage, will das Benachrichtigen der Nutzer jetzt seinen Kunden überlassen. Firmenchef Paul DeHart betonte, von den veröffentlichten Informationen gehe kaum Gefahr für die Nutzer aus. «Die UDID-Nummern allein bringen keinen Schaden, soweit wir wissen», sagte er NBC. 

Der Vorfall dürfte dennoch die Diskussion über die Sicherheit von Daten bei App-Entwicklern befeuern. In Verbindung mit anderen Daten kann man anhand der UDID-Nummern prinzipiell nachverfolgen, welche Apps eine Person nutzt oder wo sie sich aufhält. Eine Apple-Sprecherin stellte klar: «Entwickler haben keinen Zugang zu Account-Informationen von Kunden, Passwörtern oder Kreditkarten-Informationen, ausser wenn ein Nutzer sie selbst dem Entwickler mitteilt.»

Merkwürdige Forderung

Blue Toad war von einem Sicherheitsexperten alarmiert worden. Er hatte in den veröffentlichten Daten Hinweise auf die Firma gefunden. Eine Überprüfung der Server bestätigte dann den Einbruch. Antisec, das der Anonymous-Bewegung zugerechnet wird, hatte dem FBI vorgeworfen, im grossen Massstab Daten von Mobilfunknutzern gesammelt zu haben. 

Angeschmiert fühlen darf sich jetzt ein Journalist der amerikanischen Klatsch-Blogs Gawker, Adrian Chen. Antisec hatte für alle weiteren Informationen die seltsame Bedingung aufgestellt, dass er sich in einem rosa Ballettkleidchen mit einem Schuh auf dem Kopf ablichten lässt. Chen machte das - doch die weiterführenden Angaben blieben aus. Und nun scheint auch noch die gesamte FBI-Theorie widerlegt.