Nutzer der Garmin Messenger-App sehen sich Sicherheitsrisiken im Bereich der Privatsphäre gegenüber, da die Anwendung übermäßig auf das SMS-Verifizierungssystem als einzige Methode für den Kontozugriff setzt, was zur Offenlegung sensibler Chats gegenüber früheren Nutzern führen kann.
Das Problem wurde durch einen Bericht eines Nutzers auf der Plattform Reddit bekannt. Dieser entdeckte, dass bei der Installation der App auf einem neuen Telefon und der Eingabe seiner aktuellen Telefonnummer der gesamte vorherige Chatverlauf allein durch die Eingabe des per SMS gesendeten Verifizierungscodes wiederhergestellt werden konnte, ohne dass das herkömmliche Garmin-Kontopasswort erforderlich war. Dieses Verhalten eröffnet eine schwerwiegende Sicherheitslücke im Zusammenhang mit dem Mechanismus der "Nummern-Recycling", den Telekommunikationsunternehmen anwenden.
Warum stellt dies eine reale Gefahr dar?
Telekommunikationsunternehmen weisen aufgegebene Telefonnummern routinemäßig neuen Teilnehmern zu. Aufgrund der aktuellen Funktionsweise der Garmin Messenger-App könnte jede Person, die eine Telefonnummer erhält, die zuvor jemand anderem gehörte, in der Lage sein, die Chats des Vorbesitzers allein durch die Verifizierung der Nummer per SMS wiederherzustellen.
Die Gefahr dieses Fehlers vervielfacht sich aufgrund der Art und Weise, wie die App genutzt wird; Abenteurer und Sportler verlassen sich darauf, um Geodaten, Reisepläne und Bewegungsdetails in abgelegenen Gebieten zu teilen. Der Zugriff einer unbefugten Partei auf diese Daten ist nicht nur eine Verletzung der Privatsphäre, sondern könnte auch eine direkte Bedrohung für die körperliche Sicherheit der Nutzer darstellen, indem ihre Standorte verfolgt oder ihre zukünftigen Ziele bekannt werden.
Die Reaktion von Garmin und der aktuelle Stand
Berichten zufolge teilte der Garmin-Support mit, dass dieses Verhalten "wie vorgesehen funktioniert", stimmte jedoch zu, die ihnen übermittelten Ergebnisse zu überprüfen. Der bekannte Sporttechnologie-Rezensent Ray Maker (bekannt als DC Rainmaker) kontaktierte das Unternehmen ebenfalls und bestätigte, dass Garmin die Angelegenheit an das zuständige Team weitergeleitet hat. Bisher wurde jedoch weder eine baldige Fehlerbehebung bestätigt noch das Vorhandensein einer Sicherheitslücke offiziell eingeräumt.
Was müssen Sie tun, um Ihre Daten zu schützen?
Der Bericht stellte klar, dass die bloße Deinstallation der App vom Telefon die Verknüpfung Ihrer Telefonnummer mit dem Konto nicht aufhebt. Um die Risiken eines Datenlecks beim Wechsel oder der Aufgabe Ihrer Telefonnummer zu vermeiden, sollten Sie die folgenden Schritte innerhalb der App ausführen:
- Öffnen Sie die Garmin Messenger-App.
- Gehen Sie zu den Einstellungen (Accounts).
- Wählen Sie die Verwaltung des Garmin Messenger-Kontos (Manage Garmin Messenger Account).
- Führen Sie den Befehl zum Löschen des Garmin Messenger-Kontos (Delete Garmin Messenger Account) aus.
Garmin bestätigt, dass dieser Schritt die Verknüpfung der Nummer mit dem Konto aufhebt, ohne Ihr inReach-Abonnement zu kündigen.