Forscher finden Sicherheitsrisiken bei Alexa Skills

Bild: Amazon

25.02.2021 - Mit den Sprachbefehlen "Alexa Skills" k�nnen User zahlreiche Extrafunktionen auf ihren Amazon-Sprachassistenten laden. Doch die bringen nicht nur Vorteile mit sich, sondern bergen oftmals Sicherheitsl�cken und Datenschutzprobleme.

von Dominik Grollmann

In einer Studie der Ruhr-Universit�t Bochum (RUB) und der North Carolina State University haben Wissenschaftler erstmalig das �kosystem der Alexa Skills untersucht. Diese Sprachbefehle werden nicht nur vom US-amerikanischen Tech-Unternehmen Amazon selbst, sondern auch von externen Anbietern entwickelt. User k�nnen sie direkt �ber einen von Amazon betriebenen Store herunterladen, teilweise werden sie auch automatisch von Amazon aktiviert. Aus den Stores in sieben L�ndern erhielten die Forscher insgesamt 90.194 Skills und analysierten diese.

Dabei stellten sie signifikante M�ngel f�r eine sichere Nutzung fest. "Ein erstes Problem besteht darin, dass Amazon die Skills seit 2017 teilweise automatisch aktiviert. Fr�her mussten User der Nutzung jedes Skills zustimmen. Nun haben sie kaum mehr einen �berblick dar�ber, woher die Antwort kommt, die Alexa ihnen gibt, und wer diese �berhaupt programmiert hat", erkl�rt Martin Degeling vom Lehrstuhl f�r Systemsicherheit der RUB. Dabei sei leider h�ufig unklar, wann welcher Skill angesteuert werde. Wer Alexa zum Beispiel um ein Kompliment bittet, kann eine Antwort von 31 verschiedenen Anbietern bekommen; welcher daf�r automatisch ausgew�hlt wird, ist nicht direkt nachvollziehbar. Dabei k�nnen Daten, die f�r die technische Umsetzung der Befehle ben�tigt werden, ungewollt an externe Anbieter weitergeleitet werden.

Neue Skills unter falschem Namen einstellen

"Wir konnten au�erdem nachweisen, dass Skills unter falschem Namen ver�ffentlicht werden k�nnen. So stellen beispielsweise bekannte Automobilkonzerne f�r ihre smarten Systeme Sprachbefehle zur Verf�gung. User laden diese im Glauben herunter, dass die Skills direkt vom Unternehmen stammen. Doch das ist nicht immer der Fall", so Martin Degeling. Zwar pr�fe Amazon in einem Zertifizierungsverfahren alle angebotenen Skills. Doch dieses sogenannte Skill Squatting, also das �bernehmen von schon vorhandenen Anbieternamen und -funktionen, falle oftmals nicht auf.

Die Forscher machten noch ein anderes Sicherheitsrisiko aus: "Wir konnten feststellen, dass die Skills von den Anbietern im Nachhinein noch ge�ndert werden k�nnen", erkl�rt Christopher Lentzsch vom Lehrstuhl f�r Informations- und Technikmanagement der RUB. Diese L�cke relativiert also auch die Sicherheit des vorherigen Zertifizierungsprozesses durch Amazon. "Angreifer k�nnten ihren Sprachbefehl nach einiger Zeit so umprogrammieren, dass sie beispielsweise nach den Kreditkartendaten der User fragen", so Lentzsch weiter. In der Pr�fung von Amazon fallen solche Aufforderungen in der Regel auf und werden nicht zugelassen - durch den Trick der nachtr�glichen �nderung des Programms kann diese Kontrolle umgangen werden.

Mangelhafte Datenschutzerkl�rungen

Zus�tzlich zu diesen Sicherheitsrisiken wies das Forscherteam au�erdem erhebliche M�ngel in den Allgemeinen Datenschutzerkl�rungen der angebotenen Skills nach. So haben nur 24,2 Prozent der Skills �berhaupt eine sogenannte Privacy Policy, in den besonders sensiblen Bereichen "Kids" und "Gesundheit und Fitness" sogar noch weniger.

Diskussion:

Kommentar hinzuf�gen
Schreiben Sie Ihre Meinung, Erfahrung, Anregung mit oder zu diesem Thema. Ihr Beitrag erscheint dann an dieser Stelle.

Vortr�ge zum Thema:

Bild: Thilo Kerner

Thilo Kerner (Sybit GmbH)

Wie Sie ein wirklich sinnvolles Management-Dashboard f�r Marketing und Vertrieb aufsetzen

Wie definieren Sie die wirklich wichtigen KPIs f�r Marketing und Vertrieb? Und wie steuern Sie dann mit diesen Ihre Marktbearbeitung erfolgreich? Thilo Kerner, Chief Revenue Officer der Sybit GmbH zeigt an Beispielen aus der konkreten Vertriebs- und Marketingpraxis, wie ein wirklich n�tzliches Marketing-Dashboard aussehen muss und wie Sie kennzahlengesteuertes Management im Unternehmen aufsetzen. Au�erdem liefert er Tipps und Strategien, um KPIs effektiv im Gesch�ftsalltag Ihres Unternehmens zu integrieren.

Vortrag im Rahmen der Daten & KI 2024. K�nstliche Intelligenz, Datengest�tztes Marketing und Vertrieb am 14.05.24, 10:00 Uhr

eBakery

Die eCommerce Agentur f�r Ihren digitalen Erfolg: Von der Planung bis zum Live-Betrieb Ihrer Idee sind wir als 360 Grad eCommerce Agentur stets an Ihrer Seite. Sie haben schon einen Shop? Dann optimieren wir ihn um Sie ganz nach vorne zu bringen. …

Campaign - part of Bertelsmann Marketing Services

Als Teil der Bertelsmann Marketing Services erarbeitet Campaign seit �ber 25 Jahren unterschiedlichste Marketing- und Kommunikationsl�sungen mit der passenden Technologie und Ergebnisanalyse. Ob digitaler oder klassischer Kommunikationskanal: Campaig…

MKM media - Selfmailer.com

Selfmailer.com ist spezialisiert auf personalisierte, individuelle Printprodukte und z�hlt mit seiner modernen und aufw�ndigen Maschinen- und Personalisierungstechnik in Deutschland zu den f�hrenden Dienstleistern im Bereich Adressierung, Versionalis…

SDV Medien+Service GmbH

Die SDV Medien+Service GmbH ist zusammen mit den Tochterunternehmen SDV Direct World GmbH und SDV Winter GmbH ein Full-Service-Dienstleister f�r Dialogmedien und Informationslogistik. SDV besch�ftigt in Dresden, Weidenberg und Bamberg insgesamt run…

Schober Information Group Deutschland GmbH

Die Schober Information Group Deutschland GmbH ber�t und unterst�tzt Kunden strategisch mit On- und Offline-L�sungen sowie bei der systematischen Umsetzung von crossmedialen Kommunikations-, Werbe- und Verkaufsstrategien.

real media technic STAUDACHER GmbH

Grafik/ Fotografie/ Video, Software-Spezialanwendungen/ -dienstleistungen, Datenbanksysteme, Media-/Vermarktungsleistungen, Marketing, Direkt-Marketing (Kreation / Konzeption), Handelsmarketing

Business Data Solutions GmbH & Co. KG

Wir revolutionieren Daten- und Lead Management durch fortschrittliche Datenanalysen und KI-gest�tzte Technologien. Unsere Expertise in Big Data von �ber 10 Mio. Domains erm�glicht pr�zise, auf Machine Learning basierende L�sungen f�r spitze Leads, ei…

Deutsche Post Adress GmbH & Co.KG

Die Deutsche Post Adress ist der in Deutschland f�hrende Anbieter von L�sungen zur Adressaktualisierung und -recherche. Das Gemeinschaftsunternehmen der Deutschen Post und Bertelsmann bietet zahlreiche Produkte und Services, mit denen Unternehmen ihr…

gkk dialogGroup GmbH

Wir glauben daran: nichts begeistert mehr als gute Dialoge. Begeisterung ist der Antrieb von allem - und begeisternde Dialoge sind die Grundlage f�r Fortschritt. Als f�hrende Customer Experience Management - Agentur Deutschlands gestalten wir die Zuk…

panadress marketing intellignce GmbH

panadress marketing intelligence geh�rt zu den f�hrenden Marketing-Data-Providern in Deutschland. Wir unterst�tzen unsere Kunden, Marketing und Vertrieb kundenzentriert auszurichten, um ihre Marktposition zu st�rken und weiter auszubauen. Mit der Pow…