Eilikos Roboter, ein winziger KI-Anhänger für Taschen, ließ Hacker alles mitlesen, was Nutzer ihm sagten. Nach wochenlangem Schweigen hat Energize Lab, das Unternehmen hinter dem Spielzeug, eine Erklärung veröffentlicht. Darin heißt es, eine externe Sicherheitsfirma werde beauftragt, der externe Zugriff auf die Server werde gesperrt und Gesprächsprotokolle sowie Nutzerprofile würden nicht mehr gespeichert. Außerdem hat das Unternehmen die Fernsteuerungsschnittstelle deaktiviert, über die sich Antworten über das Internet ändern ließen.
Was wird geändert?
Energize Lab hat eine eigene Sicherheits-E-Mail-Adresse eingerichtet (security@energizelab.com), die nun betreut wird. Nach Angaben des Unternehmens wurde der gesamte externe Zugriff auf seine Backend-Systeme gesperrt und wurden alle Zugangsdaten erneuert. Die Funktionen für Langzeitgedächtnis und benutzerdefinierte Avatare sind so lange nicht verfügbar, bis eine Sicherheitsprüfung sie für unbedenklich erklärt. Bereits gespeicherte Gesprächsprotokolle, Nutzerprofile und Avatarbilder werden gelöscht. Das Unternehmen weist jedoch darauf hin, dass es diese Funktionen später möglicherweise wieder aktiviert, sofern sie abgesichert werden können.
Was ist noch unklar?
Der Sicherheitsforscher Sammy Azdoufal sagt, er könne weiterhin auf ungesicherte Audioaufnahmen und Fotos zugreifen, die unter öffentlich erreichbaren Webadressen gespeichert seien. Außerdem habe er nach wie vor uneingeschränkten SSH-Zugriff auf die Roboter. Das deutet darauf hin, dass die Aussage, der gesamte externe Zugriff sei gesperrt, derzeit noch nicht zutrifft. Das Unternehmen hat keinen Zeitplan dafür vorgelegt, wann die unabhängige Prüfung abgeschlossen sein oder wann – beziehungsweise ob – die Datenerfassung dauerhaft wieder aufgenommen wird.
Warum es wichtig ist
Für Besitzer des Eiliko-Roboters bedeutet der Plan des Unternehmens, keine Gesprächsdaten mehr zu speichern, dass persönliche Unterhaltungen seltener nach außen gelangen können. Da es aber offenbar weiterhin Sicherheitslücken gibt, sollten Nutzer davon ausgehen, dass bereits vom Gerät erfasste Daten möglicherweise offengelegt wurden – bis die Prüfung abgeschlossen ist.
