Sie war schon von Anfang an bedenklich, jetzt spitzt sich die Situation noch einmal deutlich zu: Im Zuge einer neuen Initiative für künstliche Intelligenz (KI), plant Microsoft für alle neuen "Copilot+"-PCs eine umstrittene Funktion zu veröffentlichen. Recall, so der Name, zeichnet alle fünf Sekunden Bildschirmfotos auf. Damit können Nutzer, wohl aber auch Teile des Betriebssystems Windows vergangene Aktivitäten jederzeit abrufen. Was im Vorfeld bereits vermutet worden ist, wurde von Sicherheitsforschern und einem Hacker nun bestätigt: Das Feature lässt sich einfach durch unbefugte Dritte missbrauchen und ist in derzeitigem Zustand wohl eine Katastrophe für die Privatsphäre künftiger Windows-Nutzer.
Bei der Vorstellung versicherte CEO Satya Nadella, dass die Daten niemals das Gerät verlassen würden, weil alles lokal abgespeichert werde. Allerdings warnen Sicherheitsexperten davor, dass die Daten dennoch keinesfalls sicher sind. Wie Wired berichtet, haben Forscher einen ARM-Computer emuliert und in einer Vorschauversion von Recall entdeckt, dass die Screenshots in einer unverschlüsselten Datenbank gespeichert werden.
TotalRecall stellt Recall bloß
Dies könnte es Angreifern leicht machen, sensible Informationen abzugreifen. Hacker Alex Hagenah hat zur besseren Veranschaulichung sogar ein Tool namens TotalRecall entwickelt, das automatisch sämtliche von Recall aufgezeichneten Daten extrahieren kann. Laut Hagenah sei das ein plakatives Beispiel dafür, wie die Funktion missbraucht werden könne, und fordert Microsoft auf, vor der offiziellen Einführung entsprechende Sicherheitsmaßnahmen zu ergreifen.
TotalRecall nutzt die Tatsache, dass Recall die Daten offenbar in einem unverschlüsselten Datenbankformat speichert. Das Tool von Hagenah kann die Datenbank lokalisieren, kopieren und alle darin enthaltenen Informationen auslesen. Die Geschwindigkeit und Effizienz von TotalRecall, das innerhalb von Sekunden Daten extrahieren können soll, ist erstaunlich. Dass es schon vor dem offiziellen Release vergleichsweise simple Methoden gibt, Recall zu missbrauchen, sollte vor allem bei Microsoft die Alarmglocken schrillen lassen.
Neben diesen technischen Aspekten von Recall bleiben datenschutzrechtliche Bedenken aufrecht. Obwohl Microsoft angibt, dass die Funktion auch wieder deaktiviert werden könne und keine Daten an Server übertragen werden, lässt sich kaum wegdiskutieren, dass externe Angreifer umfangreiche Informationen aus den erfassten Screenshots gewinnen könnten. Dazu können Einblicke in persönliche E-Mails, vertrauliche Geschäftsinformationen oder ins Online-Banking zählen. Aber auch das Erfassen von Inhalten eigentlich verschlüsselter Nachrichten-Apps wie Signal und Whatsapp sind vorstellbar – unabhängig von den Datenschutzeinstellungen innerhalb dieser Apps.
Microsoft nach außen hin gelassen
Derzeit sieht es nicht so aus, als würde Microsoft in dieser Angelegenheit einlenken. Im Rahmen einer Konferenz am Stanford Institute for Human-Centered Artificial Intelligence erörterten Jaime Teevan, Chefwissenschafterin bei Microsoft Research, und Erik Brynjolfsson, Direktor des Stanford Digital Economy Lab, intensiv das umstrittene Überwachungstool. Brynjolfsson brachte erhebliche Datenschutzbedenken zur Sprache, die seit der Vorstellung von Recall aufgetreten sind, und forderte Teevan dazu auf, die Vor- und Nachteile dieser Art der Datennutzung zu diskutieren.
Teevan versicherte, dass Recall ausschließlich lokale Funktionen von Windows nutze und alle Daten auf dem Gerät des Nutzers gespeichert würden. Laut einem Bericht von The Register wich sie jedoch direkten Fragen erwartungsgemäß aus und betonte stattdessen die Chancen, die sich aus der Verwaltung und Nutzung großer Datenmengen ergeben. Bleibt "nur" noch die Frage offen, wessen Chancen damit wirklich gemeint sind. Microsoft wäre jedenfalls gut beraten, die Einführung von Recall zu überdenken und die Funktion zumindest gründlich zu überarbeiten, um sie vertrauenswürdiger zu machen. (bbr, 6.6.2024)