Kabel Deutschland: Programm-Manager überträgt Passwörter im Klartext

Kunden von Kabel Deutschland sollen bei der Nutzung der Programm-Manager-App aufpassen. Denn diese hat eine schwere Sicherheitslücke, wie Heise Security berichtet. Die App für Android und iOS übertrage Nutzernamen und Passwörter beim Einloggen im Klartext. Durch eine so genannte Man-in-the-middle-Attacke können Angreifer so die Zugangsdaten abgreifen und damit auch die Kontrolle über den Kabel-Deutschland-Anschluss übernehmen.

Wird die App in einem öffentlichen WLAN Netz genutzt, etwa um den digitalen TV-Rekorder aus der Ferne zu programmieren, können die Angreifer die übertragenen Daten mitschneiden und daraus die Zugangsdaten zum Programm-Manager von Kabel Deutschland auslesen. Mit diesen Daten können sie sich allerdings auch in den Kundenbereich von Kabel Deutschland einloggen. Hier erhalten sie dann den Zugang zu den E-Mails und Cloud-Speicher des Nutzers oder können kostenpflichtige Angebote buchen und Rufumleitungen anlegen. Gerade letzteres kann dann zu hohen Kosten führen, was auch bei der Lücke in Fritz!Boxen ausgenutzt wurde.

Derzeit wird von der Nutzung der App abgeraten. Ein Update sei bereits in Arbeit: »Kabel Deutschland bereitet daher derzeit die Aktivierung der Verschlüsselung der Kommunikation zwischen App und Server vor«, erklärte ein Unternehmenssprecher gegenüber heise Security. Die Umstellung soll Mitte September erfolgen.