Adware Superfish: Lenovo einigt sich mit FTC und zahlt 3,5 Millionen Dollar Strafe

Im Jahr 2014 hatte Lenovo Rechner verkauft, auf denen das Programm VisualDiscovery des Adware-Anbieters Superfish installiert war. Über die vorinstallierte Adware Superfish konnten Hacker die Systeme von Nutzern angreifen. Nachdem einige Nutzer gegen Lenovo wegen der Verbreitung der Software geklagt hatten, entfernte Lenovo die Software anfang 2015 wieder von den Rechnern. Jetzt hat sich Lenovo mit der US-Wettbewerbsaufsicht geeinigt. Lenovo wird 3,5 Millionen Dollar Strafe bezahlen und werde künftig die Erlaubnis von Nutzern abfragen, bevor solche Programme auf den Rechnern installiert werden.

„Lenovo hat die Privatsphäre der Nutzer verletzt, als es über eine vorinstallierte Software auch sensible Informationen abgriff, ohne den Anwender darüber zu informieren oder die Erlaubnis dafür einzuholen“, kommentierte FTC-Chairman Maureen Ohlhausen in einer Mitteilung .

Lenovo kommentierte die Einigung mit der FTC. Der Hersteller weise zwar die Vorwürfe der FTC zurück, sei aber zufrieden, diese Sache nach mehr als zweieinhalb Jahren aus der Welt schaffen zu könnnen. Es seien auch keine Fälle bekannt, in denen Unberechtigte über die Software auf die Systeme von Nutzern zugriffen, wie Lenovo gegenüber der Nachrichtenagentur Reuters in einer Email erklärt.

Die besagte Software Superfish stellte nicht nur ein Sicherheitsleck dar, sondern unterdrückte auch die Meldungen von Browsern, wenn Nutzer bösartige Seiten aufriefen. Die Software wurde den Nutzern zudem ungefragt untergejubelt. Die Software wurde auf mehreren Hunderttausend Geräten vorinstalliert. Verschiedene Sicherheitslösungen erkannten die Software als Schädling, zumal diese auch sensible Nutzerinformationen wie etwa Sozialversicherungsnummern auf den Geräten ausspähte und diese an die Server von Superfish sendete, wie die Federal Trade Commoission mitteilt.

Auf einer Web-Seite von LastPass können Anwender überprüfen, ob sie von der Adware betroffen sind. (Screenshot: CNET.de)

Die Superfish-Malware hatte es durchaus in sich. Die Software nutzte ein selbstsigniertes Root-Zertifikat, um mit HTTPS verschlüsselten Traffic zu entschlüsseln. So konnte die Adware alle Verbindungsdaten sämtlicher besuchter Websites mitlesen, um dann entsprechende Werbung anzeigen zu können.

Da das Zertifikat des Softwareherstellers Superfish in die Liste der Systemzertifikate von Windows aufgenommen ist, konnte es auch von anderen für bösartige Man-in-the-Middle-Angriffe benutzt werden.

Erste Beschwerden über Superfish auf Lenovo-Laptops tauchten im September 2014 auf. Eine der Klägerinen habe ihr Yoga-2-Laptop von Lenovo für geschäftliche Zwecke wie die Kommunikation mit Kunden gekauft. Beim Verfassen eines Blogeintrags für einen Kunden habe sie auf dessen Website “Spam-Werbung” mit “spärlich bekleideten Frauen” entdeckt. Nachdem sich auch auf anderen Websites unerwünschte Pop-up-Fenster geöffnet hätten, habe sie angenommen, auf ihrem Computer befinde sich eine Spyware oder sie sei gehackt worden. In Internetforen sei sie dann allerdings auf ähnliche Probleme anderer Besitzer von Lenovo-Laptops und die Adware Superfish als Ursache gestoßen.

In einem offenen Brief hatte sich Lenovo-CTO Peter Hortensius bei Kunden entschuldigt, die zwischen September 2014 und Februar 2015 ein Lenovo-Laptop mit Superfish gekauft haben. “Wir haben die Berichte über die Sicherheitslücke der Software gesehen und sofort Maßnahmen ergriffen, um sie zu entfernen”, heißt es darin. “Das Problem hat selbstverständlich bei unseren Kunden, Partnern, denen, die sich für Lenovo interessieren, unserer Branche und der Technologie im Allgemeinen für Unruhe gesorgt. Dafür würde ich mich gerne entschuldigen.”

Derzeit ist nicht bekannt, ob die betroffenen Nutzer durch die Zahlung an die FTC entschädigt werden. Lenovo hatte 2015 zudem mit einem Sicherheitsleck in einer Systemsteuerungssoftware zu kämpfen. Auch andere Hersteller wie Dell waren von vergleichbaren Problemen betroffen.

[Mit Material von Martin Schindler, silicon.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.