Account-Cloning: Ermittler überwachen verschlüsselte Messenger ohne Staatstrojaner

[HWL News Bot]

Deutsche Ermittlungsbehörden setzen zur Überwachung verschlüsselter Messenger zunehmend auf eine Methode, die ohne klassische Spionagesoftware auf dem Smartphone auskommt. Beim sogenannten Account-Cloning wird einfach ein zusätzlicher Zugang zu einem bestehenden Messenger-Konto eingerichtet. Auf diese Weise können Behörden nicht nur laufende Nachrichten mitlesen, sondern unter Umständen auch auf ältere Chats, Kontakte und weitere Kontodaten zugreifen.
... weiterlesen

 

[Schmufix]

Und wie authorisieren sie das zusätzliche verknüfte Gerät ? Also bei Signal muss man dafür einen QR Code scannen.
Mal kurz das Handy klauen oder was.

 

[Rudi Ratlos]

Das nennt man übrigens auch "Identitätsdiebstahl" und stellt eine Straftat dar.

Ich mein ja nur....

Aber klar, daß Außer-"Five-Eyes"-Geh-Heim-Dienste eigene Methoden entwickeln müssen, da sie im Gegensatz zu NSA & Co nicht im Grünen Salon von Whatsapp sitzen und einfach so live mitlesen können. Und ja, das ist ein Fakt, und davon laß ich mich auch nicht abbringen, denn "komischerweise" haben Whatsapp, Facebook & Co nie Probleme mit den US-Behörden bekommen , wie etwa Lavabit, weil sie ihre Kunden per Verschlüsselung vor Überwachung schützen. Und da bei Erstgenannten die Schlüsselverwaltung von der Erstellung bis zur Weitergabe an Gruppenmitglieder zum gemeinsamen Chatten auf den Servern von WA & Co stattfinden....

 

[Botcruscher]

Gekoppelte Geräte werden doch eigentlich angezeigt...

 

[Mr.Mito]

Und wie authorisieren sie das zusätzliche verknüfte Gerät ? Also bei Signal muss man dafür einen QR Code scannen.
Mal kurz das Handy klauen oder was.

Steht bei Heise etwas genauer.

Überwachung ohne Staatstrojaner: Wie Behörden bei WhatsApp und Signal mitlesen

Laut einem Leak kapern Zoll und BKA Messenger-Konten über offizielle Web-Funktionen. Die rechtlich riskante Methode gleicht Attacken ausländischer Akteure.

www.heise.de

Um die Autorisierung zu erlangen, fangen sie unverschlüsselte Bestätigungs-SMS über eine klassische Telefonüberwachung ab oder nutzen den physischen Zugriff auf ein Gerät. Polizeibeamte können dazu etwa bei Zeugenvernehmungen unbemerkt einen QR-Code einscannen.

Also ja, im Endeffekt mal kurz das Handy klauen o.Ä.

@Botcruscher

Dazu muss man ja gezielt nachschauen, was scheinbar viele nicht tun. Nach der News vielleicht öfters.

 

[King Loui]

Dazu muss man ja gezielt nachschauen, was scheinbar viele nicht tun. Nach der News vielleicht öfters.

Wenn ich daran denke, dass Spitzenpolitiker hier und in den USA wildfremde Menschen mit in ihre Gruppenchats einladen... Ich glaube 99% der Nutzer schaut niemals auch nur einmal in die Einstellungen von solchen Programmen.

 

[Snake7]

Und wie wird mein Handy entsperrt um den QR-Code zu scannen oder ähnliches?.

Macht er wieder überhaupt keinen Sinn

 

[FirstAid]

Und wie wird mein Handy entsperrt um den QR-Code zu scannen oder ähnliches?.

Macht er wieder überhaupt keinen Sinn

Du verwechselt hier die Polizei mit einem eifersüchtigen Partner/in,

der nachts heimlich das Handy vom Nachttisch klaut und den Daumen auf den Sensor drückt. In der Realität läuft das völlig anders ab.

Entweder findet die Kopplung bei einer Hausdurchsuchung oder Festnahme statt,

wo das Smartphone im Überraschungsmoment oft schon entsperrt auf dem Tisch liegt oder die Beamten es direkt sichern.

Oder es läuft komplett remote!

Die Ermittler fangen über den Netzanbieter die SMS-Codes ab oder nutzen Software-Exploits,

um den digitalen Authentifizierungs-Token direkt aus dem Telefonspeicher zu kopieren.

Da muss überhaupt kein QR-Code mehr physisch gescannt werden, das System wird einfach aus der Ferne ausgetrickst.

 

[Schmufix]

Und wie wird mein Handy entsperrt um den QR-Code zu scannen oder ähnliches?.

Aja klassisches Phishing, der Verfassungsschutz informiert..

 

[Aragonion]

"Gut" respektive weniger "Gut" wenn dein Gerät komplimentiert ist ist eh Hopfen und Malz Lost.

Dafon abgesehen für Mich darf ein Messanger keinen Rufnummernzwang aufweisen, (endtoend ist eh pflicht ebenso wie sämtliche desktop wie mobile plattformen für akzeptanz) und wenn Ich Mir so ansehe wie viele email anbieter schon eine vorraus setzen mit teils wieder rufnummernzwang sollte man lieber mit Seed Phase arbeiten.

 

[oldsqlBeat]

Und wie wird mein Handy entsperrt um den QR-Code zu scannen oder ähnliches?.

Macht er wieder überhaupt keinen Sinn

Ach Jungchen, wenn du wüsstest wie leicht Hacker oder ähnliches an deine Daten kommen können.

 

[Olga23humorlos]

Bei diesem übergriffigen Staat wundert mich nichts mehr.

 

[Shutterfly]

Bei diesem übergriffigen Staat wundert mich nichts mehr.

So ein Profilbild und was von übergriffig erzählen, genau mein Humor

 

[Alles klar?]

Leute, ihr seht das viel zu eng. Das machen unsere staatlichen Stellen doch nur bei Terroristen, Kinderschändern und organisierter Kriminalität. Als Normalo hat man doch da nichts zu befürchten. Ironie Off.
Und da wundert man sich über steigende Tendenz zur Selbstzensur und schwindendes Vertrauen in die Demokratie.

 

[FirstAid]

So ein Profilbild und was von übergriffig erzählen, genau mein Humor

Was hat sein Profilbild mit der rechtlichen Grauzone von Account-Cloning zu tun?

Wenn Du sachliche Argumente zum Thema Überwachung hast, gerne.

Ansonsten ist das ein ziemlich schwaches Ad-hominem-Argument.

Netter Troll-Versuch. Wenn Du wieder beim Thema mitreden willst, sag Bescheid.

 

[Olga23humorlos]

Ad-hominem-Argument

Lange nicht gehört aber korrekt

Gut in meinem Beitrag steckte jetzt viel Frust da ich tatsächlich seit einigen Monaten einen üblen Streit mit einer Behörde führe den ich definiv vor Gericht gewinnen würde. Aber bisher kam es noch nicht dazu. Nur soviel: Werde unter Strafandrohung aufgefordert eine gewaltige Mauer am Ufer eines Bachs zu entfernen. Problem ist die Mauer ist gar nicht auf meinem Grundstück sondern auf dem der Stadt (nachweislich durch Vermessung). Auch habe weder ich noch meine Vorfahren sie errichtet. Das Grundstück auf dem sie steht war auch nie im Besitz meiner Familie . Aber diese Geschichte und diverse andere Dinge wo man von Behördenwilkür reden kann haben mein Vertrauen in diesen Staat extrem erschüttert.

Mich macht es massiv nachdenklich wenn zu solchen mitteln wie Handyüberwachung in welcher Form auch immer seitens der Behörden gegriffen wird. Auch nachdenklich macht es mich wenn ich sehe das in Tagesschau und anderen Nachrichten immer meinungsbildend, anstatt sachlich und nüchtern, berichtet wird...

Für mich ist dieser Staat hier nicht mehr der der er noch vor ein paar Jahren war. Der Esel hier ist ungefähr zur Jahreswende 2019/2020 aufs Eis tanzen gegangen und hat sich das Bein gebrochen. Unsere Politiker haben gemerkt sie können sich alles erlauben.

 

[Neuer1]

Ach Jungchen, wenn du wüsstest wie leicht Hacker oder ähnliches an deine Daten kommen können.

No Way
PC, Windows etc ja, kein Problem an Daten zu kommen.
An mein iphone z.B welches gesperrt irgendwo liegt oder geklaut wird, keine Chance.
Zumal ich das Gerät aus der Ferne sperren / als geklaut setzen kann. Dann ist das Teil komplett gebrickt.

 

[FirstAid]

No Way
PC, Windows etc ja, kein Problem an Daten zu kommen.
An mein iphone z.B welches gesperrt irgendwo liegt oder geklaut wird, keine Chance.
Zumal ich das Gerät aus der Ferne sperren / als geklaut setzen kann. Dann ist das Teil komplett gebrickt.

Niedliche Vorstellung, aber Du verwechselst hier Hardware-Sicherheit mit Account-Sicherheit.

Beim Account-Cloning interessiert sich überhaupt niemand für Dein physisches iPhone.

Dein Handy muss niemand anfassen!

Ermittler fangen den SMS-Registrierungscode per Beschluss einfach direkt beim Netzbetreiber ab.

Sie koppeln ihren Behörden-PC als Zweitgerät, während Dein iPhone unberührt und gesperrt auf dem Tisch liegt.

Deine Fernsperre ist völlig nutzlos!

Wenn Du Dein iPhone aus der Ferne löschst oder brickst, betrifft das nur das Metall in Deiner Hand.

Das Messenger-Konto läuft auf den Servern weiter und das einmal eingeklinkte Behörden-Zweitgerät liest munter weiter mit.

Auch iPhones sind knackbar!

Wird das Gerät beschlagnahmt, lesen Forensik-Tools wie Cellebrite gesperrte iPhones reihenweise aus,

sofern sie seit dem letzten Einschalten einmal entsperrt wurden (AFU-Modus). Die Krypto-Schlüssel liegen dann nämlich im Arbeitsspeicher.

Das System von Apple wird gar nicht angegriffen.

Die Ermittler gehen über die Infrastruktur des Messengers und Deines Mobilfunkanbieters einfach an Dir vorbei.

 

[Neuer1]

Ist mir klar.
Ich sprach auch nicht von der WhatsApp Problematik.
Dass man dafür das Endgerät nicht benötigt ist klar.

Ich meinte jetzt normale Leute die dass iphone z.b klauen.
Oder auch "Hacker" wer sich für einen solchen hält, kann mit einem gesperrten iphone nichts anfangen wenn es um die Daten auf dem Gerät geht.
Auch das Gerät löschen und z.B selbst nutzen ist unmöglich.

 

[FirstAid]

Ist mir klar.
Ich sprach auch nicht von der WhatsApp Problematik.
Dass man dafür das Endgerät nicht benötigt ist klar.

Ich meinte jetzt normale Leute die dass iphone z.b klauen.
Oder auch "Hacker" wer sich für einen solchen hält, kann mit einem gesperrten iphone nichts anfangen wenn es um die Daten auf dem Gerät geht.
Auch das Gerät löschen und z.B selbst nutzen ist unmöglich.

Das ist ein klassisches Moving the Goalposts!

In Deinem vorherigen Beitrag ging es pauschal darum, dass Hacker bei einem gesperrten iPhone keine Chance hätten und das Gerät absolut sicher sei.

Nun wird das Argument auf den normalen Gelegenheitsdieb heruntergebrochen.

Das eigentliche Thema ist jedoch die relative Sicherheit im professionellen Kontext,

genauer gesagt die Zugriffsmethoden des Staates.

Und hier zeigen die Fakten durch das aktuelle Beispiel des Account-Cloning beim Zoll, dass weder das Apple-System noch ein gesperrtes Display Schutz bieten.

Ermittler und versierte Angreifer greifen nicht die Hardware an,

sondern leiten die verschlüsselte Kommunikation über die Netzwerk-Infrastruktur und die Messenger-Server einfach an Dir vorbei.

Wenn der Registrierungscode direkt beim Netzbetreiber abgefangen wird, nützt auch ein gesperrtes Gerät auf dem Tisch nichts.

Wenn wir über die Sicherheit von Smartphones diskutieren,

müssen wir zwischen dem Diebstahl auf der Straße und gezielten, professionellen Zugriffsmethoden unterscheiden.

Vor staatlichen Maßnahmen schützt das Apple-Marketing im Ernstfall eben nicht.