FitBit Charge ohne Verschlüsselung der Fitness-Daten

Im nächsten Schritt überwachte AV-Test, wie die Daten auf der Smartphone-App eingehen beziehungsweise ob Daten nur auf der App des gepairten Smartphones einzusehen sind. Für Überraschung sorgte hier vor allem das FitBit Charge. Das Armband kommuniziert munter mit allen Smartphones in Reichweite und verlangt dabei weder nach einer PIN noch nach anderen Authentifizierungen. Dies ist besonders brisant, da die zugehörige FitBit-App standardmässig auf neueren HTC-Smartphones der Reihe One M8 und M9 vorinstalliert ist. Jeder Besitzer eines solchen Smartphones kann damit die Fitness-Daten von FitBit-Nutzern im Umfeld auslesen.

Auch die Companion-Apps auf dem Smartphone waren nicht frei von Fehlern. So gaben etwa die Apps von Polar und LG Log-Informationen aus. Diese können Angreifer dazu nutzen, die aufgezeichneten Daten auszulesen. Bei der Synchronisation mit Cloud-Diensten überzeugten hingegen alle getesteten Lösungen: die Übertragung erfolgte durch die Bank via HTTPS.

Insgesamt haben die Tester eine positive Bilanz zu den Fitness-Armbändern gezogen. Maik Morgenstern, CTO der AV-Test GmbH, betont allerdings: "Da Fitness-Tracker bei Krankenkassen und Versicherungskonzernen noch eine grosse Rolle spielen werden, müssen die Anbieter ihre Sicherheitskonzepte überarbeiten und verbessern."

Die besten Sicherheitskonzepte im Test wiesen das Sony Smartband Talk SWR30 und die Polar Loop auf. Schlusslicht war hingegen das Acer Liquid Leap.