Bumble, Badoo, Hinge, Hily: Nutzer konnten auf 2 Meter genau geortet werden

Forscher der KU Leuven stellten fest, dass Entfernungsfilter in mehreren Dating-Apps den nahezu exakten Standort eines Nutzers verraten konnten. Die Unternehmen sagen, die Schwachstellen seien nach der Meldung 2023 behoben worden.

Was geschah

Forscher der KU Leuven analysierten 15 standortbasierte Dating-Apps und veröffentlichten ihre Ergebnisse im August 2024 auf der USENIX-Security-Konferenz. Sie stellten fest, dass Badoo, Bumble, Hinge und Hily in ihren Entfernungsfiltern exakte Entfernungen verwendeten. Ein Angreifer konnte ein Testkonto Schritt für Schritt bewegen, bis das Ziel in drei Richtungen aus dem Filter fiel, und dann die Position des Ziels berechnen. Die Forscher nennen dies „oracle trilateration“. Laut TechCrunch konnte so ein Nutzer auf etwa 2 Meter genau geortet werden, selbst wenn die Entfernung in der App verborgen war. Happn gab genauere Entfernungen preis, als es anzeigte, und Grindr-Nutzer konnten auf etwa 111 Meter genau geortet werden. Tinder und LOVOO waren nicht verwundbar. Nach ihrer Analyse im Januar 2023 meldeten die Forscher ihre Ergebnisse allen 15 Anbietern, und TechCrunch berichtete, dass alle kontaktierten betroffenen Apps die Funktionsweise der Entfernungsfilter geändert hatten.

Was ist dokumentiert

• KU Leuven / USENIX-Security-Paper: Badoo, Bumble, Hinge und Hily waren anfällig für oracle trilateration; Grindr (auf etwa 111 m genau) und Happn ermöglichten ebenfalls Standortrückschlüsse.
• TechCrunch: Bumble sagt, Anfang 2023 informiert worden zu sein und die Probleme behoben zu haben, auch bei Badoo; Hinge sagt, Anfang 2023 Maßnahmen ergriffen zu haben; Hily sagt, die Meldung im Mai 2023 erhalten zu haben; Happn sagt, ein zusätzlicher Schutz habe die Technik wirkungslos gemacht; Grindr sagt, bestimmte Standortinformationen seien nötig, um Nutzer in der Nähe zu verbinden.

Was ist nicht festgestellt

• Ob ein Nutzer tatsächlich von einem Angreifer mit dieser Methode geortet wurde.
• Happn sagt, die Technik sei gegen seine App wirkungslos gewesen.

Was das für Sie bedeutet

1. Schalte die Entfernungsanzeige aus, wenn die App das erlaubt, und nutze die App nicht zu Hause oder am Arbeitsplatz, wenn deine Sicherheit gefährdet ist.
2. Gib in deinem Profil oder in frühen Chats nicht preis, wo du wohnst.
3. Wenn du gestalkt wirst, erwäge, standortbasierte Apps zu pausieren, und wende dich an die Polizei.