Forscher haben brisante Experimente mit Videospielern durchgeführt, nun präsentieren sie ein verstörendes Ergebnis: Versteckte Botschaften im Computer können das Gehirn dazu verleiten, über Headsets Geheimnisse wie PIN-Nummer und andere Bankdaten zu verraten.
Sogenannte EEG-Headsets messen mithilfe von Elektroden die Hirnströme. Spieler können allein mit der Kraft der Gedanken das digitale Ich steuern - statt mit Maus und Tastatur. Die Hightech-Geräte sind inzwischen für wenige hundert Euro zu haben.
Was wie Freizeitspaß wirkt, könnte jedoch ein erhebliches Sicherheitsrisiko bergen, warnen nun Forscher: Man könne die EEG-Headsets darauf programmieren, dem Gehirn innerhalb weniger Sekunden sensible Daten wie PIN-Nummern, Bankinformationen, Wohnort, Geburtstag oder Vertrautheit mit bestimmten Personen zu entlocken. Sollte es gelingen, solche Attacken in Software - zum Beispiel in Apps - einzubauen, könnte der Hack ins Gehirn Realität werden, mahnen die Wissenschaftler.
Ein Team um den Computersicherheitsexperten Ivan Martinovic von der Universität Oxford hat in einer Reihe von Experimenten gezeigt, dass Hacker ein einfaches Funktionsprinzip der Headsets ausnutzen können: Entdeckt das Gehirn in einer Fülle von Informationen plötzlich etwas von Interesse, feuern die beteiligten Nervenzellen ein Signal, dass von den Elektroden des Headsets etwa 300 Millisekunden später registriert werden kann. Dieses sogenannte P300-Signal wertet das Headset als Indiz dafür aus, dass der Nutzer mit besonderem Interesse auf die 300 Millisekunden vorher präsentierte Information reagiert hat.
Datenklau - bloß nicht an die PIN denken
Wird der Nutzer nun durch eine geschickt platzierte Frage dazu gebracht, beispielsweise an die erste Ziffer seiner Bank-PIN-Nummer zu denken und sieht dann eine Zufallsfolge von Ziffern über den Bildschirm flackern, ist ein P300-Signal etwa 300 Millisekunden nach der richtigen Ziffer zu erwarten.
Dieses Phänomen haben Martinovic und seine Kollegen mit 28 Studenten in einem ihrer Experimente getestet. Das Ergebnis erlaubt zwar längst noch keine zuverlässige Voraussage. Aber immerhin erkennt das Headset mithilfe der von ihm empfangenen Signale die richtige Ziffer ungefähr zehn Prozent häufiger als durch zufälliges Raten.
Mit anderen persönlichen Daten funktionierte das Gedankenlesen der Studie zufolge noch besser. Nachdem die Probanden mit einer kurzen Bildschirmnachricht dazu gebracht worden waren, an ihren Geburtsmonat oder ihren Wohnort zu denken, erriet der vom Headset verwendete Algorithmus die richtigen Antworten unter den vorbeiflackernden Monatsnamen oder Landkartenausschnitten in 43 Prozent beziehungsweise 32 Prozent der Fälle.
Vertrauliche Informationen aus dem Gehirn auslesen
"Die Trefferquoten sind zwar noch nicht besonders hoch", sagt Haynes. Aber die Studie sei eben mit einer Art Spielzeuggerät entstanden. Mit einem Hightech-Gerät könnten die Trefferquoten möglicherweise schon ganz anders aussehen.
Mario Frank von der University of California in Berkeley, der an der aktuellen Studie mitgewirkt hat, geht davon aus, dass auch die Genauigkeit der Videospiel-Headsets in Zukunft besser werden dürfte. Falls die Nutzerzahlen dann weiter in die Höhe gingen, könnten es Hacker leicht haben: Bei großer Nutzerzahl könnten sich selbst seltene Treffer lohnen. Und die Zahl der von Dritten programmierten Apps könnte so groß werden, dass die Herstellerfirma sie nicht mehr kontrollieren könnte.
Gefährliches Rollenspiel mit Avatar
Ein nicht ganz unwahrscheinliches Szenario, meint Frank: "Die Geräte sind ziemlich cool, es macht richtig Spaß, damit zu spielen. Und ähnlich wie bei den Smartphones jetzt kann man davon ausgehen, dass Programmierer gerade bei den Apps auch nicht ganz erlaubte Sachen probieren."
Technisch scheint es für potentielle Hacker einfach, die gewünschte Denkaufgabe und zugehörige Bilderfolge so in eine App einzuprogrammieren, dass sie während der Anwendung aufleuchten und das Headset die sensiblen Daten an den Programmierer weiterleitet. Damit so eine Hack-Attacke auch funktioniert, darf der Nutzer sie allerdings entweder nicht bemerken, oder sie muss so schnell wieder vorbei sein, dass die sensiblen Informationen bereits geknackt sind, bevor das Opfer abwehrend reagieren kann - etwa indem es das Headset abnimmt.
Für dieses Szenario waren die aktuellen Experimente mit jeweils etwa 90 Sekunden sicherlich nicht schnell genug. "Solange es keine Möglichkeit gibt, verlässlich zu kontrollieren, was die Headset-Nutzer sehen, mache ich mir keine Sorgen", sagt Joel Weinberger von der Adelphi Universität in Garden City (US-Bundesstaat New York).
Frank und seine Kollegen glauben allerdings, dass sich diese Hürde überwinden lässt. Eine Möglichkeit wäre es, die Attacke geschickt zu verstecken - etwa wenn sie in einem Rollenspiel von einem Avatar kommt, mit dem man sowieso schon in Kontakt ist und dessen Fragen man beantwortet.
Subliminal
Eine weitere Option, die das Team gerade im nächsten Schritt erforscht, haben sowohl Haynes als auch Weinberger schon erfolgreich für andere Zwecke eingesetzt: Man kann Probanden Bilder für so kurze Zeit zeigen, dass sie sich gar nicht bewusst werden, sie gesehen zu haben (Subliminal) - doch das Gehirn reagiert trotzdem darauf. "Sollte so etwas klappen", sagt Frank, "würden die Attacken noch genauer, da die Schadsoftware beliebig lange messen kann - ohne dass es das Opfer bemerkt."
Quelle: Computersicherheitsexpertenteam um Ivan Martinovic von der Universität Oxford
