Apples iMessage-Nachrichtendienst ist ein geschlossenes System: Nur mit Apple-Geräten lässt sich der Dienst nutzen – eine Web-Schnittstelle oder Android-App existiert nicht. In Regionen mit geringem iPhone-Marktanteil ist dies zu verschmerzen, doch blickt man in die USA, wird schnell deutlich, dass iMessage zu einem sehr wichtigen Kommunikationswerkzeug herangewachsen ist. Wollen Kunden Handys anderer Hersteller nutzen, müssen diese zwangsläufig auf iMessage verzichten – doch diesen Nachteil wollte der momentan sehr gehypte Handy-Fabrikant "Nothing" nicht hinnehmen.


Letzte Woche kündigte der Hersteller "Nothing Chats" an. Die App sollte es ermöglichen, dass sich Nutzer mit ihrer Apple-ID anmelden und daraufhin mit anderen iMessage-Teilnehmern unterhalten können. Grundsätzlich funktionierte dies, doch bereits kurz nach der Veröffentlichung der App kamen eklatante Sicherheitsmängel ans Tageslicht.

Keine Ende-Zu-Ende-Verschlüsselung
Vollmundig versprach Nothing, dass der auf der Sunbird-Technologie basierende Dienst komplett Ende-Zu-Ende-verschlüsselt sei. Doch bereits der Blick auf die von Sunbird bereitgestellte Plattform lässt schnell erkennen, dass dies nicht der Wahrheit entspricht, wie Sicherheitsforscher nun bestätigen: Die Übermittlung und den Empfang von iMessage-Nachrichten übernehmen Macs – welche die Nachrichten entschlüsseln und an die Nothing-App weitergeben. Bereits an dieser Stelle ist die Ende-Zu-Ende-Verschlüsselung unterbrochen. Auf der Nothing-Webseite war zu lesen, dass weder Sunbird noch Nothing die Nachrichten lesen können – eine glatte Lüge.

Öffentliche Firebase-Datenbank speichert Nachrichten und Bilder
Noch viel schwerer wiegt allerdings der zweite Mangel, welchen diverse Sicherheitsforscher ausmachten: Nothing bzw. Sunbird legen alle empfangenen Nachrichten und Medien-Dateien wie z.B. Bilder in Log-Dateien ab – komplett unverschlüsselt und für alle Mitarbeiter dauerhaft einsehbar. Ferner werden die Nachrichten auch in einer Google-Firebase-Datenbank gesichert, welche ebenfalls nicht verschlüsselt ist.

Nothing und Sunbird verzichten bei der Firebase-Datenbank auf eine Trennung der Daten einzelner Nutzer – und daher ist es ohne großen Aufwand möglich, nach der Anmeldung auf alle Daten inklusive Medien anderer Nutzer zuzugreifen. Dies bedeutet, dass man fremde Chats und Fotos anderer Nutzer mit einfachsten Mitteln auslesen kann.

Rückzieher
Nothing hat mittlerweile die eigenen Apps aus dem Google Play Store zurückgezogen – doch wie es zu diesen verblüffenden Mängeln bezüglich des Umgangs mit Nutzerdaten kommen konnte, lässt der Hersteller komplett offen. Nothing kündigte lediglich an, dass man den Start der App verzögert, um einige "Fehler" zu beseitigen.