Google kann Android-Passwörter nicht zurücksetzen

Google hat Meldungen zurückgewiesen, nach denen es Android-Passwörter aus der Ferne zurücksetzen kann. Diese gingen auf einen Bericht des New Yorker Bezirksstaatsanwalts Cyrus Vance zurück, der eine solche Hintertür zumindest für Android-Geräte vor der Version 5 Lollipop behauptete.

Adrian Ludwig, bei Google für die Android-Sicherheit verantwortlich, nimmt dazu auf seiner Google+-Seite Stellung. Er führt von ihm gelesene Meldungen an, nach denen 75 Prozent der Android-Geräte aus der Ferne von Google entsperrt werden können. Das entspreche aber nicht den Tatsachen, wie durch Einblick in den veröffentlichten Quellcode zu sehen sei.

„Google ist nicht in der Lage, die Entsperrung irgendeines Geräts zu ermöglichen, das mit einer PIN, einem Passwort oder einem Fingerabdruck geschützt wurde“, schreibt Ludwig. „Das trifft unabhängig davon zu, ob das Gerät verschlüsselt ist oder nicht, und gilt für alle Versionen von Android.“

Google verfügt demnach auch über keine Methode für den Zugriff auf verschlüsselte Geräte. Das gelte für die seit Android 3.0 mögliche Verschlüsselung durch den Nutzer wie auch für die standardmäßige Verschlüsselung, die es seit Android 5.0 auf bestimmten Geräten gibt.

Der Google-Manager schränkt seine Aussage lediglich ein hinsichtlich einiger Geräte, die für die Entsperrung mit einem Muster konfiguriert wurden. Bis Android 5.0 gab es für den Muster-Lockscreen eine Option für die Wiederherstellung über das Google-Konto. Diese habe sich aber nie auf PIN oder Passwort bezogen. Wer also über ein älteres Modell verfüge und das Feature der Muster-Wiederherstellung nicht nutzen wolle, könne zum Schutz mit PIN oder Passwort wechseln und sie damit deaktivieren.

Noch immer lassen sich allerdings die meisten Android-Geräte nicht vor einem direkten Zugriff durch Behörden selbst schützen. Eine Verschlüsselung ab Werk hatte Google erst im Oktober für neue Geräte mit Android 6 Marshmallow verpflichtend gemacht. Allerdings gilt auch das nur für Geräte, die bei einer Verschlüsselung (AES, 128 Bit) noch einen Datentransfer von mindestens 50 MByte/s erreichen. Geräte, die ein Upgrade auf Android 6 erhalten, sind ebenfalls davon ausgenommen. Die ursprünglich bereits für Android 5 Lollipop geplante Verschlüsselung ab Werk sagte Google im März 2015 ab und legte die Verantwortung alleine in die Hände der Hersteller.