[spartan-b292]

Wer Skype nutzt, hat damit auch sein Einverständnis erklärt, dass die Firma alles mitlesen darf. Wie heise Security feststellte, macht das mittlerweile von Microsoft übernommene Unternehmen von diesen Rechten auch tatsächlich Gebrauch. Zumindest im Chat verschickte https-URLs erhalten kurze Zeit später unangemeldeten Besuch aus Redmond.

Ein Leser machte uns darauf aufmerksam, dass ihm nach einem Skype-Chat unter Kollegen ungewöhnlicher Netzwerkverkehr gemeldet wurde. Der Server wies auf eine mögliche Replay-Attacke hin. Wie sich herausstellte, hatte eine IP-Adresse aus Redmond auf die zuvor verschickten https-URLs der Firma zugegriffen. heise Security stellte die Situation nach. Auch wir schickten uns gegenseitig URLs. Eine der https-Test-URLs enthielt Anmeldeinformationen, eine andere verwies auf private Dateifreigaben eines Cloud-Dienstes. Einige Stunden nach unseren Postings konnten wir es dann in den Server-Logfiles sehen:
65.52.100.214 - - [30/Apr/2013:19:28:32 +0200]
"HEAD /.../login.html?user=tbtest&password=geheim HTTP/1.1"

Auch wir hatten Besuch aus Redmond – von einer auf Microsoft registrierten IP-Adresse – bekommen und zwar bei allen verschickten https-URLs. Solche Verweise auf verschlüsselte Web-Seiten enthalten häufig eindeutige Sitzungsdaten oder andere vertrauliche Informationen; die ebenfalls verschickten, einfachen http-URLs blieben hingegen unangetastet. Microsoft nutzte bei den Zugriffen sowohl die enthaltenen Anmeldeinformationen als auch die speziell erstellte URL für eine private Dateifreigabe eines Cloud-Dienstes.

Auf Anfrage von heise Security, was dieses Vorgehen zu bedeuten hat, antwortete Skype mit einer Passage aus seinen Datenschutzrichtlinien:

"Skype nutzt gegebenenfalls innerhalb von Sofortnachrichten und SMS automatisiertes Scannen zur Bestimmung von (a) vermutlichem Spam und/oder (b) URLs, die bereits als Spam-, Betrugs- oder Phishing-Links identifiziert wurden."

Wie das Unternehmen durch einen Sprecher beteuerte, werden Nachrichten gescannt, um Links zu Spam- und Phishing-Seiten zu filtern. Die Fakten sprechen aber gegen diese Erklärung. Spam- und Phishing-Seiten lauern normalerweise nicht auf https-Seiten. Die eher betroffenen http-URLs ohne Eigentümerinformationen fasste Skype hingegen nicht an. Außerdem verschickt Skype Head-Requests, die lediglich Verwaltungsinformationen des Servers abrufen. Um Webseiten auf Spam oder Phishing zu untersuchen, müsste Skype jedoch die Inhalte der Seiten überprüfen.

Im Januar hatten bereits Bürgerrechtler in einem offenen Brief in Frage gestellt, wie sicher die Kommunikation über Skype seit der Übernahme durch Microsoft ist. Die Autoren des Briefes, darunter unter anderem die Electronic Frontier Foundation und Reporter ohne Grenzen, befürchten, dass Skype sich wegen der durch die Übernahme erfolgten Umstrukturierung den US-Gesetzen zum Abhören von Gesprächen beugen und somit Behörden und Geheimdiensten Zugriff auf die Gespräche gewähren müsse.

Unser Fazit: Wer Skype benutzt, muss sich nicht nur damit einverstanden erklären, dass Microsoft alle übertragenen Daten quasi nach Belieben nutzt. Er muss davon ausgehen, dass dies tatsächlich geschieht und der Konzern auch nicht verrät, was genau er mit diesen Daten anstellt. (kbe)

Quelle: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[hardware_freak]

Omg... das macht jede Software und jede Siete wie Facebook GMail (eig alle Google Dienste) usw.

Das dient aber unter anderem auch dazu das man Phishing usw. Softwareseitig erkennt und der Link beim Empfänger nie ankommt. Das ist ja so schlimm denn wenn jemand etwas in Web stellt, will er bestimtm nicht, das es jemand anders sieht. Für sowas muss man die Leute von heise echt eine geben.

[spartan-b292]

Genau. Deshalb soillte man die oben genannten Dienste genau so wenig verwenden wie Skype.

[digi]

Mich wundern solche Nachrichten immer, als ob keiner die AGBs liest. Wenn es denn einer mal tut und das öffentlich macht, werden alle gleich panisch..
Ohh welch Skandal, hätte ich das vorher gewusst..

[oder]

Ok,aber jetzt wirds wieder Zeit,daß ihr mit paar guten aktuellen ALternativen rausrückt Cryptocat soll ja angeblich auch nicht wirklich so sicher sein,was gibts denn grad neues oder was noch gut ist und der Umstieg für paar bauern noch einfach genug ist ?

[spartan-b292]

Für IM würde ich XMPP (Jabber) mit OTR oder PGP Verschlüsselung vorschlagen.

[Your_Conscience]

Darum gibt es also so viele Videos von Teenagern im Internet, die es vor der Cam treiben.

Aber war es nicht eigentlich so, dass Skype alles verschlüsselt versendet?

[Schnickers4me]

die "Android"-User können wohl ein Lied davon singen und wissen genau, wovon Du sprichst