Anker gibt zu: Eufy-Kameras waren nicht Ende-zu-Ende verschlüsselt

Der chinesische Hersteller Anker bietet neben sehr guten Ladegeräten fürs iPhone und Macbook auch mit einer Marke Eufy Überwachungskameras an (wir haben einige Modelle getestet). Mit überzogenen Versprechen zum Schutz der Privatsphäre hat sich der Hersteller nun ein öffentliches Debakel geleistet.

Der Stein des Anstoßes ist die Ende-zu-Ende-Verschlüsselung der Livestreams und Videoaufzeichnungen der eigenen Kameras. „The Verge“ hat herausgefunden, dass für das Webportal bereitgestellte Links nicht verschlüsselt waren. Sie ließen sich (nach der Anmeldung, versteht sich) in der Inspektor-Ansicht des Browsers leicht herausfinden und mit anderen Personen teilen. Diese Personen konnten dann das Video im passenden Player wie VLC abspielen – ein Beweis für fehlende Verschlüsselung, denn sonst hätten sie einen undefinierten Datensalat vorgefunden, schließlich besitzen sie keinen passenden Schlüssel, der das Video an anderem Ende entschlüsseln kann.

The Verge deckt auf, wo Eufy geschummelt hat

Zwar beteuert der Hersteller, dass nur ein Prozent der Nutzer jemals das Webportal aufgerufen haben, die restlichen Wege wie Streams in der Eufy-App waren verschlüsselt. „The Verge“ zeigt auf, dass Anker bei der Recherche nicht immer mit offenen Karten gespielt hat. Statt Fragen zu der Verschlüsselung zu beantworten, hat der Hersteller die Versprechen hierzu auf seiner Webseite gelöscht. Erst nach einem Ultimatum des Portals, die Geschichte ohne Kommentar der Firma zu veröffentlichen, hat Anker die Fragen endlich beantwortet.

Lesetipp: Die besten smarten Überwachungskameras für Innen und Außen im Praxis-Test (2022)

Das ist nicht der erste Sicherheitsvorfall von Eufy: Im Mai 2021 hat ein Server-Update eine Kontoverwechslung verursacht, wegen der Nutzer auf Videos und Streams von den fremden Personen zugreifen konnten. Sie mussten nichts dafür tun, die Streams wurden auf den Displays der Eufy-App angezeigt. Nach Angaben des Herstellers waren von dem Fehler rund 700 Nutzer betroffen. Die Einblendung der fremden Konten und Videos dauerte ebenfalls wenige Minuten, die Admins haben das Update fast sofort zurückgerufen.