Schlupfloch bei Hinge & Bumble legt Standorte von Benutzern offen

„Entgegen der anfänglichen Annahme ist das Wischen nach rechts, um ein Date zu finden, möglicherweise nicht so sicher und könnte Ihre Standortinformationen potenziellen Stalkern preisgeben.“

Einer Studie zufolge wurden bei verschiedenen Dating-Apps gravierende Sicherheitsmängel festgestellt. Darunter sind auch beliebte Optionen wie Bumble, die möglicherweise die Privatsphäre der Nutzer gefährden könnten.

Laut einem Forscherteam der KU Leuven, einer Universität in Belgien, weisen diese Anwendungen Sicherheitslücken auf, die den Standort eines Benutzers auf bis zu zwei Meter genau verraten können.

Im Rahmen der Studie untersuchten die Forscher die 15 beliebtesten Dating-Apps. Dabei stellte sich heraus, dass Plattformen wie Badoo, Bumble, Grindr, happn, Hinge und Hily Schwachstellen aufwiesen, die von Angreifern ausgenutzt werden konnten, um mithilfe einer als Oracle Trilateration bekannten Methode genaue Standorte zu ermitteln.

Oracle Trileration ist eine Technik, bei der die Person, die versucht, jemanden zu orten, zunächst eine fundierte Vermutung über den möglichen Aufenthaltsort anstellt. Anschließend bewegt sie sich in drei verschiedene Richtungen, bis die Anwendung anzeigt, dass das Ziel nicht mehr in Reichweite ist. Dadurch erhält sie drei Referenzpunkte, die sie nutzen kann. Anhand dieser drei Punkte kann sie den genauen Standort des Ziels genau bestimmen.

Filter wie Alter, Größe, Beziehungstyp und andere werden normalerweise verwendet, um eine ideale Übereinstimmung zu ermitteln. In Kombination mit Oracle Trilateration kann der Entfernungsfilter jedoch den Standort des Benutzers offenlegen.

Trotzdem haben die meisten Plattformen Schritte unternommen, um die Bedenken auszuräumen, und die Genauigkeit der Koordinaten reduziert. Dieses Unterfangen sollte es schwieriger machen, Benutzer über eine Entfernung von mehr als einem Kilometer hinaus zu verfolgen.

Im Mai 2023 informierte Dmytro Kononov, CTO und Mitbegründer von Hily, TechCrunch, dass ihnen die Schwachstelle bekannt geworden sei und sie daraufhin eine interne Untersuchung durchgeführt hätten.

„Laut Kononov wiesen die Ergebnisse zwar auf das Potenzial für Trilateration hin, doch in der Praxis war es nicht praktikabel, diese für Angriffe zu nutzen. Das liegt daran, dass unsere internen Mechanismen speziell darauf ausgelegt sind, Spam zu verhindern, und unser Suchalgorithmus auf logischen Überlegungen basiert.“

„Trotzdem haben wir ausführliche Gespräche mit den Autoren des Berichts geführt und gemeinsam neue Geokodierungsalgorithmen entwickelt, die das Potenzial für derartige Angriffe vollständig eliminieren. Diese aktualisierten Algorithmen werden nun seit über einem Jahr erfolgreich eingesetzt“, erklärte er.

Trotzdem erlaubt Grindr weiterhin die Standortverfolgung in einem Umkreis von 111 Metern. Das Unternehmen behauptet, es habe diese Funktion absichtlich so konzipiert, dass Benutzer in unmittelbarer Nähe miteinander verbunden werden können, und könne sie daher nicht entfernen.