Tinder: Unverschlüsselte Bilder machten Aktivitäten im gemeinsamen WLAN sichtbar

Forscher zeigten 2018, dass Tinders mobile Apps Bilder unverschlüsselt übertrugen. Jemand im selben WLAN konnte sehen, welche Profile der Nutzer ansah und wie er nach links oder rechts wischte. Tinder behob den Fehler noch im selben Jahr.

Was geschah

Das Sicherheitsunternehmen Checkmarx zeigte, dass Tinders iOS- und Android-Apps Profilbilder ohne HTTPS-Verschlüsselung übertrugen. Eine Person im selben WLAN-Netzwerk konnte die Bilder sehen, die dem Nutzer angezeigt wurden, und sie sogar austauschen. Der übrige Datenverkehr war verschlüsselt, aber die Datenpakete waren unterschiedlich groß. Dadurch ließen sich Wischbewegungen und Matches dennoch auslesen. Die Forscher entwickelten ein Demonstrationstool, das die gesamte Sitzung rekonstruierte. Noch im selben Jahr bestätigte Match Group schriftlich, dass die Bilder nun verschlüsselt übertragen und die Wischdaten so angepasst worden waren, dass alle Aktionen gleich große Datenpakete erzeugten.

Was ist dokumentiert

• WIRED beschreibt eine funktionierende Demonstration, die zeigte, dass Bilder abgefangen und ausgetauscht sowie Wischbewegungen ausgelesen werden konnten.
• PCMag gibt die schriftliche Bestätigung von Match Group wieder, dass die Fehler im Februar und Juni 2018 behoben wurden.

Was ist nicht festgestellt

• Es ist nicht belegt, dass Nutzer tatsächlich von böswilligen Angriffen betroffen waren.
• Es handelt sich um eine technische Schwachstelle, nicht um eine Entscheidung eines Gerichts oder einer Aufsichtsbehörde.
• Der Fehler wurde behoben und sollte nicht als heute noch aktiv dargestellt werden.

Was das für Sie bedeutet

1. Dies ist ein historischer Fehler und kein Beweis dafür, dass Tinder heute unsicher ist.
2. Der Fall zeigt, dass es nicht genügt, Bilder zu schützen. Auch Daten darüber, was du in der App tust, können dich preisgeben.
3. Sei bei sensiblen Apps in offenen Netzwerken wie dem WLAN in Cafés und Hotels besonders vorsichtig.