Golem.de-Test mit Kaspersky: So sicher sind Fototerminals und Copyshops

Wie gefährlich ist es, mit beschreibbaren USB-Sticks und SD-Karten Fotos und Dateien ausdrucken zu lassen? Golem.de hat zusammen mit dem Sicherheitsunternehmen Kaspersky getestet, ob auch Windows-XP-Terminals ohne Virenscanner sicher sind.

Artikel von Friedhelm Greis, Werner Pluta und Peter Steinlechner veröffentlicht am 12. Mai 2015, 12:03 Uhr

Ein Kodak-Fototerminal (Bild: Friedhelm Greis/Golem.de)

Es gibt sie in fast allen Drogerien und Elektronikfachmärkten: Fototerminals, auf denen sich schnell und einfach eigene Bilder auf Papier verewigen lassen. Doch wie gefährlich ist es, dort seinen USB-Stick oder eine SD-Speicherkarte einzustecken? Um dies herauszufinden, hat Golem.de zusammen mit dem Sicherheitsunternehmen Kaspersky Lab 70 Terminals und Computer in Copyshops in Berlin, Hamburg und München getestet. Zudem haben wir die Anbieter nach ihren Sicherheitskonzepten gefragt und diese mit den Testergebnissen verglichen. Das Ergebnis war eindeutiger als erwartet. Wobei einzelne Anbieter offenbar selbst nicht genau wissen, was ihre Geräte mit den Sticks der Kunden machen.

Für den Test präparierten die Experten von Kaspersky Lab in Ingolstadt 70 Sticks mit jeweils zwei Bilddateien, die auf den Terminals und in den Copyshops ausgedruckt werden sollten. Jeder Stick wurde dabei nur einmal verwendet. Getestet wurden unter anderem Terminals von Kodak, Orwo, Cewe und Fujifilm in Drogerien wie dm und Rossmann und Fachmärkten wie Saturn und Media Markt sowie diverse Copyshops, die in der Regel Windows-Rechner nutzen. Anschließend durchsuchte Kaspersky Lab die Sticks nach Computerviren, die von den Rechnern eingeschleust worden sein könnten.

Laufwerke mit begrenztem Schreibzugriff

Auf Anfrage von Golem.de versicherten Orwo Net, Cewe, Fujifilm und Kodak, dass die Laufwerke ihrer Terminals schreibgeschützt seien. "Die SD-Karten der Kunden werden durch die SD-Kartenlesegeräte im Read-only-Modus geladen, wodurch ein Schreibvorgang seitens des Terminals auf die Karte ausgeschlossen ist", teilte beispielsweise Orwo Net mit. Bei den USB-Sticks werde der Read-only-Modus durch Softwarekomponenten realisiert. Was bei Windows recht einfach mit Hilfe eines Registry-Eintrags möglich ist.

In dem Test stellte sich jedoch heraus, dass die Laufwerke von Orwo und Fujifilm gleichwohl die USB-Sticks verändert und dort den letzten Zugriff auf das Laufwerk hinterlegt hatten. Orwos Datenschutzbeauftragter Wilfried Röder sagte nun, das Unternehmen wolle an seinen Terminals "gezielte Änderungen vornehmen (zum Beispiel Installation spezieller Treiber/Einträge in der Registry), um den genannten Sachverhalt zu beseitigen".

Anders bei Geräten von Kodak und Cewe. Dort war der Zeitstempel generell unverändert. Cewe teilte mit, dass es auf allen Fotostationen ein Embedded Linux verwende. Die Laufwerke seien read-only gemountet. Das System sei "für den unbeobachteten, autarken Betrieb konzipiert, das Betriebssystem ist darauf abgestimmt und gehärtet". Bei den Kodak-Terminals sind die SD- und USB-Laufwerke von der Firmware her nur für einen Lesezugriff ausgelegt, wie das Unternehmen mitteilte.

Mehrere Firmen benutzen noch Windows XP

Mit seinem Linux-System ist Cewe die Ausnahme. Die anderen Anbieter setzen durchweg auf Windows-Geräte, wobei selbst XP-Rechner noch im Einsatz sind, wie Recherchen von Golem.de ergeben haben. Kodak veröffentlichte noch im November 2014 ein Update für seine Picture-Kiosk-Software, die ausdrücklich auch für Windows XP bestimmt war. Bei großen Kunden wie Rossmann und dm sind laut Kodak jedoch Terminals mit einer Professional-Embedded-Version von Windows 7 im Einsatz. Nur noch ganz wenige Systeme würden im Fachhandel mit Windows XP betrieben. Aus Hardware-Gründen sei kein Update auf Windows 7 möglich.

Fujifilm machte keine Angaben zu seinem Betriebssystem, während Orwo Net eine "speziell konfigurierte Version von Windows" nutzt. Auf Orwo-Geräten in Drogerien fanden sich Aufkleber, die Windows XP als Betriebssystem auswiesen.