Die LastPass-Android-App enthält 7 Tracker von Drittanbietern 😬

Letzter Pass

Wenn es um die Kontosicherheit geht, ist die Verwendung eines Passwort-Managers im Allgemeinen eine gute Idee. Aber was passiert, wenn dieser Passwort-Manager Ihre Aktivitäten verfolgt und es Ihnen nicht einmal mitteilt? Laut dem Sicherheitsforscher Mike Kuketz verfügt die LastPass-Android-App über sieben eingebettete Tracker, und LastPass weiß möglicherweise nicht, welche Daten sie sammeln.

Wie erstmals von The Register entdeckt, verwendete Kuketz Tools von Exodus Privacy, um die LastPass-Android-App zu untersuchen, und entdeckte sieben in ihren Code eingebettete Tracker:

• AppsFlyer
• Google Analytics
• Google CrashLytics
• Google Firebase Analytics
• Google Tag-Manager
• MixPanel
• Segment

Während Exodus Privacy das Vorhandensein von Trackern bestätigt, garantiert das nicht, dass sie irgendetwas tun. Also verfolgte Kuketz die Netzwerküberwachung, während er ein neues LastPass-Konto einrichtete. Er entdeckte, dass die App die Server fast aller Tracker erreichte, ohne vorher um Erlaubnis zu fragen.

Eine weitere Untersuchung deutet nicht darauf hin, dass die Tracker irgendwelche Benutzernamen- oder Passwortdaten übertragen haben, aber es scheint zu wissen, wann der Benutzer ein Passwort erstellt und welchen Typ. Kuketz sagt, dass das Einfügen eines solchen Tracking-Codes in einen Passwort-Manager (oder eine ähnliche sicherheitsorientierte App) nicht akzeptabel ist, da die Entwickler nicht genau wissen können, was der Tracking-Code sammelt. Das liegt daran, dass Tracker oft proprietären Code verwenden, der nicht zur Einsichtnahme offen ist.

Die Datenmenge scheint umfangreich zu sein und enthält Informationen über das verwendete Gerät, den Mobilfunkanbieter, die Art des LastPass-Kontos und die Google-Werbe-ID des Benutzers (wird verwendet, um Daten über den Benutzer über Apps hinweg zu verbinden). Es sind genug Daten, um ein umfangreiches Profil um die privatesten Informationen, die Sie speichern, zu erstellen.

Laut Exodus Privacy verwenden andere Passwort-Manager nicht so viele Tracker. Bitwarden hat zwei, RoboForm und Dashlane haben vier und 1Password hat keine. Warum LastPass so viele verwendet, ist nicht klar.

In einer Erklärung gegenüber The Register sagte ein LastPass-Sprecher: „… keine sensiblen personenbezogenen Benutzerdaten oder Tresoraktivitäten könnten durch diese Tracker geleitet werden.” Der Sprecher sagte weiter, dass Sie die Analyse im Einstellungsmenü deaktivieren können. Dennoch könnte es zwischen diesem Bericht und der kürzlich vorgenommenen Änderung, die LastPass vorgenommen hat, um Benutzer der kostenlosen Stufe zu zwingen, zwischen Desktop- und mobiler Synchronisierung zu wählen, an der Zeit sein, zu einer anderen Alternative wie Bitwarden oder 1Password überzugehen.

über das Register