Datenleck: App leakt zwei Millionen WLAN-Passwörter

Eine ungeschützte Datenbank einer Android-App verrät die Zugangsdaten von zwei Millionen WLANs. Eigentlich sollten sich Nutzer der App nur unkompliziert mit öffentlichen Hotspots verbinden können, doch die Datenbank enthält auch die Zugangsdaten zu vielen privaten Wi-Fis.

Artikel veröffentlicht am 23. April 2019, 11:46 Uhr, Moritz Tremmel

Ob dein Wi-Fi auch in dem Datenleck ist? (Bild: Bernard Hermant/Unsplash)

Mit der Android-App WiFi Finder sollen sich Nutzer mit Hotspots in ihrer Umgebung verbinden können - und die Passwörter von Hotspots hochladen können, damit sich auch andere Nutzer automatisch mit diesen verbinden können. Die Passwörter wurden von der App im Klartext in einer Datenbank gespeichert, die ungeschützt über das Internet erreichbar war. Laut einem Bericht von Techcrunch entdeckte der Sicherheitsforscher Sanyam Jain das Datenleck - in dem sich nicht nur Hotspots, sondern auch die Zugangsdaten zu privaten WLANs befunden hätten. Die Datenbank wurde mittlerweile vom Netz genommen.

Die Datenbank enthielt die Namen (SSID, Service Set Identifier) von rund zwei Millionen Wi-Fi-Netzwerken, dazu die Passwörter im Klartext sowie die Geokoordinaten. Zudem wurde die BSSID (Basic Service Set Identification) gespeichert, eine eindeutige ID der einzelnen Accesspoints.

Die App behauptet zwar, nur die Passwörter zu öffentlichen Hotspots anzubieten, laut Techcrunch befanden sich in der Datenbank jedoch auch unzählige Heimnetzwerke. Beispielsweise habe man viele WLANs in reinen Wohngegenden verorten können. Jeder App-Nutzer habe beliebige, ihm zur Verfügung stehende Zugangsdaten zu Wi-Fis hochladen können - eine Erlaubnis des Netzwerkeigentümers sei hierfür nicht erforderlich gewesen. Möglicherweise sind die Zugangsdaten zu den privaten Netzwerken in der Datenbank also ohne das Wissen der Eigentümer der jeweiligen WLANs in der Datenbank gelandet.

Kein Kontakt zu Entwickler

Techcrunch versuchte über zwei Wochen, den Entwickler des WiFi Finders zu erreichen - ohne Erfolg. Anschließend kontaktierten sie den Webhoster Digital Ocean, auf dessen Servern die Datenbank gespeichert war. Dieser reagierte prompt: Binnen eines Tages war die Datenbank nicht mehr aus dem Internet zu erreichen.

In der Datenbank seien keine Kontaktdaten zu den jeweiligen Netzbetreibern hinterlegt, daher habe man diese nicht kontaktieren und auf das Problem hinweisen können, schreibt Techcrunch. Mehrere 10.000 WLANs hätten sich in den USA befunden. Wie die restlichen WLANs weltweit verteilt waren, verrät der Bericht nicht. Die App verzeichnet laut Googles Playstore über 100.000 Installationen.