Fitness mit Tücken

Eine ungesicherte Datenbank mit über 61 Millionen Datensätzen im Zusammenhang mit Wearable-Technologie und Fitness-Diensten wurde online offengelegt. Am Montag stellte WebsitePlanet zusammen mit dem Cybersecurity-Forscher Jeremiah Fowler fest, dass die Datenbank GetHealth gehörte.

Das in New York ansässige Unternehmen GetHealth beschreibt sich selbst als „einheitliche Lösung für den Zugriff auf Gesundheits- und Wellness-Daten von Hunderten von Wearables, medizinischen Geräten und Apps“. Die Plattform des Unternehmens ist in der Lage, gesundheitsbezogene Daten aus Quellen wie Fitbit, Misfit Wearables, Microsoft Band, Strava und Google Fit abzurufen.

Am 30. Juni 2021 entdeckte das Team online eine Datenbank, die nicht passwortgeschützt war. Die Forscher gaben an, dass über 61 Millionen Datensätze in dem Datenspeicher enthalten waren, darunter große Mengen an Benutzerinformationen – von denen einige als sensibel angesehen werden könnten – wie Namen, Geburtsdaten, Gewicht, Größe, Geschlecht und GPS-Protokolle, neben anderen Datensätzen.

Bei einer Stichprobe von etwa 20.000 Datensätzen zur Überprüfung der Daten stellte das Team fest, dass die meisten Datenquellen von Fitbit und Apples HealthKit stammten.

„Diese Informationen waren im Klartext, während es eine ID gab, die scheinbar verschlüsselt war“, so die Forscher. „Der Geostandort war in „Amerika/New_York“ und „Europa/Dublin“ strukturiert und verriet, dass sich die Nutzer überall auf der Welt befanden. Die Dateien zeigen auch, wo die Daten gespeichert werden und wie das Netzwerk im Hintergrund arbeitet und konfiguriert wurde“, so das Team weiter.

Verweise auf GetHealth in der 16,71 GB großen Datenbank wiesen auf das Unternehmen als potenziellen Eigentümer hin, und nachdem die Daten am Tag der Entdeckung validiert worden waren, informierte Fowler das Unternehmen privat über seine Erkenntnisse. GetHealth reagierte schnell und das System wurde innerhalb weniger Stunden gesichert. Noch am selben Tag meldete sich der CTO des Unternehmens und teilte mit, dass das Sicherheitsproblem nun behoben sei.

„Es ist unklar, wie lange diese Datensätze offen lagen oder wer sonst noch Zugriff auf den Datensatz hatte“, so WebsitePlanet. „Wir unterstellen GetHealth, seinen Kunden oder Partnern kein Fehlverhalten. Wir unterstellen auch nicht, dass irgendwelche Kunden- oder Nutzerdaten in Gefahr waren. Wir waren nicht in der Lage, die genaue Anzahl der betroffenen Personen zu bestimmen, bevor die Datenbank für den öffentlichen Zugang gesperrt wurde.“