Die App Sarahah ist in wenigen Wochen regelrecht explodiert. Mit mehr als 18 Millionen Downloads weltweit scheinen die Nutzer die Möglichkeit zu genießen, anonymes Feedback zu teilen – aber hinter der vermeintlichen Unterhaltung steckt auch eine dunkle Seite. Der Sicherheitsforscher Zachary Julian hat entdeckt, dass Sarahah lädt sämtliche Telefonkontakte und E-Mail-Adressen ins Internet hoch. Sein Verhalten wurde unter iOS und Android bestätigt, aber der Entwickler erklärte, dass die Datenübertragung mit einer verlassenen Funktion zusammenhänge, die nie vollständig deaktiviert wurde.
In den letzten Tagen habe ich gesehen, wie mehrere meiner Kontakte Screenshots mit den „Kritiken“ veröffentlichten, die sie über die App Sarahah erhalten. Abgesehen davon, dass ich nicht sehr beeindruckt bin (die App hat zahlreiche Leistungs- und Stabilitätsprobleme), deutet alles darauf hin, dass die Höflichkeit in Wirklichkeit eine Übung in Heuchelei ist. Es gibt jedoch einen noch ernsteren Aspekt: Die App liebt es, private Informationen zu sammeln. Wenn eine App populär wird, beschließen verschiedene Sicherheitsexperten, ihr Verhalten zu analysieren, und was der Forscher Zachary Julian entdeckte, ist nicht gerade schön.
Die heimliche Datensammlung
Julian bereitete ein Samsung Galaxy S5 mit Android Lollipop 5.1.1 und der Überwachungssoftware Burp Suite vor, die den Datenverkehr auf dem Gerät (ein- und ausgehend) abfängt. Mit Hilfe von Burp Suite bestätigte er, dass Sarahah sämtliche Kontakte und E-Mail-Adressen des Nutzers ins Internet hochlädt. Unter neueren Android-Versionen und späteren iOS-Builds verlangt die App die Erlaubnis, „auf Kontakte zuzugreifen“, aber in den meisten Fällen erfolgt der Upload ohne Vorwarnung. Als ob das nicht genug wäre, entdeckte Julian, dass Sarahah die Kontakte erneut sendet, wenn der Nutzer die App eine Weile (weniger als 48 Stunden) nicht öffnet.
Die Reaktion des Entwicklers
Die Fachpresse versuchte, mit den Verantwortlichen von Sarahah zu sprechen, und nach kurzem Schweigen teilte ihr Gründer Zain al-Abidin Tawfiq per Twitter mit, dass das Auslesen der Kontakte in einem zukünftigen Build entfernt werde und ursprünglich für die Einführung einer Funktion gedacht war, mit der man „deine Freunde finden“ kann. Angeblich litt diese Funktion unter „mehreren technischen Problemen“, und der Partner, der damit beauftragt war, sie aus der App zu entfernen (der übrigens nicht mehr bei Sarahah arbeitet), hat es nie getan. Gleichzeitig wurde die Funktion auf dem Server bereinigt, und die Datenbanken speichern keine Kontakte. Natürlich ist diese Aussage ohne eine vollständige Offenlegung des Sarahah-Codes und das entsprechende Audit nicht zu überprüfen. Wer nach einer solchen Entdeckung weiterhin Sarahah nutzen möchte, sollte die mobile App aufgeben und über die Website darauf zugreifen.
