Carrier IQ gibt Sammeln von SMS zu

Rootkit-Anbieter Carrier IQ hat nach eigenen Angaben „aus Versehen“ Textnachrichten von Nutzern gesammelt und gespeichert. Das geht aus einem Dokument (PDF) hervor, das die Funktionsweise seiner Software erklärt.

„Carrier IQ hat entdeckt, dass aufgrund eines Fehlers in manchen einzigartigen Situationen – wenn etwa ein Nutzer während eines Anrufs oder bei gleichzeitiger Datenübertragung eine SMS empfängt – Kurznachrichten unbeabsichtigter Weise im Traffic der Vermittlungsschicht enthalten gewesen sein können, die vom IQ-Agenten aufgefangen wird“, heißt es vonseiten des Unternehmens. „Diese Nachrichten waren verschlüsselt und in den Schicht-3-Traffic eingebettet; sie lassen sich nicht von Menschen lesen.“

In seiner Erklärung gab Carrier IQ einen Einblick, wie sein Sammelwerkzeug für metrische Daten funktioniert. Die installierte Software bezeichnet es als „IQ-Agenten“. Er lässt sich von Netzwerkbetreibern dazu verwenden, Informationen über die Handynutzung zu sammeln und zu übertragen. Provider sind demnach in der Lage, zu bestimmen, welche Daten gespeichert werden – und diese einem bestimmten Gerät zuzuordnen.

„Das Profil legt fest, welche der verfügbaren metrischen Daten gesammelt werden, und gibt Instruktionen, wie sie vor dem Hochladen verarbeitet werden sollen“, heißt es in dem Dokument. Ein solches Profil könne etwa den IQ-Agenten anweisen, den Breitband-Datendurchsatz der vorangegangenen 24 Stunden zusammenzufassen. Übertragen lässt sich ein neues Profil – beziehungsweise eine Liste der zu speichernden Daten – über den Provider, sobald sich ein Gerät mit einem Netzwerkserver verbindet.

Systemadministrator und Blogger Trevor Eckhart hatte Anfang Dezember die Software von Carrier IQ auf seinem HTC Sensation entdeckt. Der Sicherheitsexperte Dan Rosenberg analysierte sie umfassend und kam zu dem Schluss, dass sie nicht in der Lage ist, Tastatureingaben von Smartphones aufzuzeichnen oder die Inhalte privater SMS-Nachrichten und E-Mails zu übermitteln. Carrier IQ war zuvor vielerorts als „Sphäsoftware“ und „Spionageprogramm“ kritisiert worden.