Pannen bei Google und Microsoft: Vermeintlich anonymisierte Screenshots verraten Privates

Moderne Foto-Tools können Teile von Ausweiskopien oder Kontoauszügen unkenntlich machen. Doch Google und Microsoft schlampten bei ihren Programmen: Scheinbar Entferntes lässt sich wieder sichtbar machen.

Ausweismuster mit ausgestrichenen Details: Digitale Spuren blieben dennoch

Foto: Bundesgesetzblatt

Es gehört zu den Grundlektionen der Medienkompetenz und des persönlichen Datenschutzes: Bevor man Dokumente wie eine Ausweiskopie, einen Kontoauszug oder den Screenshot einer E-Mail verschickt, deckt man private, für den jeweiligen Fall aber irrelevante Informationen wie E-Mail-Adressen oder Telefonnummern ab oder beschneidet das Bild so weit wie möglich. Selbst der Screenshot eines Browserfensters kann unangenehme Folgen haben, falls sichtbar wird, auf welchen anderen Webseiten  man unterwegs ist. Sicherheitsforscher konnten nun jedoch die unkenntlich gemachten Stellen mancher Bilder nachträglich wieder vervollständigen.

Betroffen waren zunächst die Pixel-Smartphones von Google. Die Sicherheitsforscher Simon Aarons und David Buchanan hatten Anfang des Jahres entdeckt, dass die Software auf den Vorzeige-Smartphones des Internetkonzerns Informationen nicht vollständig überschrieb. Aus scheinbarem Datenmüll am Ende einer Datei konnte man mit genug Know-how abgedeckte oder abgeschnittene Informationen wieder herstellen.

Empfohlener externer Inhalt

An dieser Stelle finden Sie einen externen Inhalt von Twitter, der den Artikel ergänzt und von der Redaktion empfohlen wird. Sie können ihn sich mit einem Klick anzeigen lassen und wieder ausblenden.

Externer Inhalt

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Externer Inhalt

Zur Datenschutzerklärung

Die Forscher meldeten das Problem im Januar an Google. Der Konzern reagierte daraufhin mit einem Sicherheitsupdate, das im März ausgerollt wurde. Das Problem daran: Das Update sorgt zwar dafür, dass von jetzt an bearbeitete Screenshots nicht mehr nachträglich entziffert werden können. Die bisher erstellten Screenshots bleiben jedoch für Neugierige weiterhin auslesbar.

Damit Nutzerinnen und Nutzer nachvollziehen können, ob ihre privaten Daten nun für jedermann lesbar sind, haben die Entdecker der Sicherheitslücke eine Website online  gestellt, mit der man nachprüfen kann, welche verborgenen Daten in einem Screenshot stecken. Die Probe zeigt: Der Trick klappt nicht bei allen Bildern und sie werden auch nicht vollständig wiederhergestellt. Zuweilen reicht der Detailgrad aber dafür aus, Angaben wieder lesbar zu machen. Buchanan selbst fand heraus, dass er über den bearbeiteten Screenshot einer E-Mail, den er über die Chat-Plattform Discord geteilt hatte, an seine Privatadresse gelangen konnte. »Das ist ziemlich schlimm«, kommentierte der Sicherheitsforscher.

Auch Windows 11 betroffen

Wie »Bleeping Computer« berichtet , ist Google mit seiner Sicherheitspanne nicht allein. Auch das in Windows 11 enthaltene »Snipping Tool«, mit dem man einfach Screenshots erstellen kann, weist demnach einen fast identischen Fehler auf. Wie auf den Google-Telefonen werden Dateien nach Änderung nicht vollständig überschrieben, sodass gelöschte Bildinformationen wiederhergestellt werden können. Nach der Beschreibung tritt der Fehler nur bei Dateien im PNG-Format auf, nicht bei JPG-Dateien.

Immerhin: Plattformen wie Twitter konvertieren hochgeladene Bilder vor der Veröffentlichung, um Speicherplatz zu sparen. Der Nebeneffekt: Die verborgenen Informationen können aus Twitter-Bildern nicht wieder hergestellt werden. Dies gilt allerdings nicht für alle Plattformen: Discord zum Beispiel überträgt die Dateien unangetastet. Auch wer bearbeitete Bilder per E-Mail versendet hat, hat den Empfängern mitunter unfreiwillige Einblicke gegeben.

Wie kann man sich schützen? Die einfachste Möglichkeit ist es, geänderte Bilddateien unter einem neuen Namen abzuspeichern. Wer ganz auf Nummer sicher gehen will, kann von der anonymisierten Bilddatei einen weiteren Screenshot oder ein Handyfoto machen. Auf diese Weise landen die Daten, die man verbergen möchte, gar nicht in der Bilddatei.

tmk