Das Medion Life S3600 ist ein Fitnesstracker-Armband, das neben diversen Sport-Modi, Schrittzähler und Herzfrequenzmessung auch den Schlaf des Benutzers tracken kann. Den S2000 Fitnesstracker hatten wir bereits 2018 auf den Sicherheitsprüfstand gestellt. Zeit, sich das aktuelle Modell des deutschen Elektronikkonzerns einmal näher anzuschauen.

Medion, einer der größten PC-Hersteller Europas, ist nicht nur im Bereich Computer und Unterhaltungselektronik angesiedelt. Das eng mit ALDI verbundene Unternehmen ist auch im eHealth-Bereich seit mehreren Jahren vertreten und verkauft auf diesem Gebiet vergleichsweise günstige Wearables, die sich, zumindest im Rahmen unseres Vergleichstests nicht vor teureren Mitbewerbern verstecken mussten.

Einrichtung

Bei dem ersten Öffnen der App kann der Benutzer wählen, ob er ein Medion-Benutzerkonto anlegen möchte oder nicht. Sollte er sich dagegen entscheiden, verbleiben sämtliche vom Gerät aufgezeichneten Daten auf dem Smartphones des Besitzers.

Medion Fitness App

Sofern kein Smartphone verbunden ist, ist das S3600 automatisch kopplungsbereit. Nachdem es von der App gefunden wurde, muss die Touch-Taste im Rahmen des Kopplungsvorgangs mehrere Sekunden gedrückt werden.

App

Die statische Analyse der Medion Fitness App (Version 1.5.4) zeigte, dass viele Drittanbietermodule in die App integriert sind. Die App-Berechtigungen scheinen auf den notwendigen Rahmen beschränkt zu sein, werden weiterhin auch in der Datenschutzerklärung erläutert. Einige Bibliotheken, beispielsweise die für die Bluetooth-Kommunikation mit dem Medion S3600, sind obfuskiert bzw. in Shared Objects ausgelagert, erschweren daher wirksam die Analyse der Funktionsweise durch Angreifer.

Trotz der zahlreichen Drittanbietermodule konnten im Rahmen der statischen Analyse keine nennenswerten Schwachstellen gefunden werden. Im Rahmen der dynamischen Analyse wurde die Kommunikation ins Internet sowie zum Fitnesstracker näher begutachtet.

Online-Kommunikation

Die Online-Kommunikation der Medion Fitness App war im Rahmen des Tests durchgehend verschlüsselt. Der Großteil der Kommunikation läuft über die Microsoft Azure Deutschland, es wird aber auch regelmäßig mit Facebook-Servern kommuniziert.

TLS1.2-verschlüsselte Kommunikation zu Microsoft Azure Deutschland

Bluetooth-Kommunikation

Die Bluetooth-Kommunikation ist vor neugierigen Augen geschützt, das Fitnessarmband wird unsichtbar geschaltet, während es eine Verbindung zum Smartphone hat. Wenn das Smartphone nicht in Reichweite ist, ist das Armband für jegliche Geräte sichtbar.

Aufgezeichnete Bluetooth-Kommunikation mit dem S3600 Fitnesstracker

Im Test haben wir die Bluetooth-Kommunikation zwischen App und Fitnesstracker mitgeschnitten und im Nachhinein von einem anderen Gerät nachvollzogen. Die Kommunikation scheint nicht verschlüsselt zu sein und folgt immer festen Mustern. In Teilen ist sie durch die oben benannte Authentifizierung geschützt, allerdings war es problemlos möglich, den Schrittzähler von einem anderen Smartphone aus auf Null zu stellen. Dies war durch ein Replay aufgezeichneter Werte gelungen. Weiterhin hat ein Verbindungsversuch über einen Bluetooth-LE-Scanner ausgereicht, um die Kopplung zwischen der Medion Fitness App und dem Tracker aufzuheben. Im Anschluss musste der Fitnesstracker aus der App gelöscht und neu gekoppelt werden.

Medion Life S3600 in der Medion Fitness App

Datenschutz

Die Datenschutzerklärung der Medion Fitness App (Stand: 01.07.2020) wurde von Medion nicht zum 01. Juli veröffentlicht, sondern erst ca. 2 Wochen später. Zuvor konnte von uns die frühere Version, Stand Mai 2018, gesichert werden. Ob eine Datenschutzerklärung rückwirkend geändert werden darf, sei einmal dahingestellt. Da sie in manchen Belangen verbessert wurde, werten wir dies in diesem Fall nicht negativ.

Die Datenspeicherung findet nahezu ausschließlich auf Servern in Deutschland (Microsoft Azure Deutschland) statt. Sofern es zur Ausführung anderweitiger Aufträge, z.B. Anmeldung via Facebook, notwendig ist, werden die jeweils notwendigen Daten aber auch in andere Länder, ggf. außerhalb der Europäischen Union, übertragen.

In ihrem Detailgrad sollte die Datenschutzerklärung Vorbildwirkung für andere Hersteller haben. Es wird von Medion genau aufgeschlüsselt, welcher Fitnesstracker welche Daten erfasst (S3600: Schritte, Distanz, Kalorien, Herzfrequenz, Schlaf). Auch Zweck und Art der Datenaufzeichnung über App-Berechtigungen werden detailliert benannt. Außerdem ist das Anlegen eines Accounts im Gegensatz zu vielen anderen Herstellern nicht zwingend notwendig.

Der einzige Punkt, der uns an der sehr ausführlichen Datenschutzerklärung fehlt, betrifft die in die App integrierten Tracker. Laut Exodus sind neben Google Firebase Analytics auch diverse Facebook-Module integriert, deren Zweck nicht vollumfänglich benannt wird.

Fazit

Der Medion Life S3600 Fitnesstracker hat in unserem Test zusammen mit der Medion Fitness App viele Punkte sammeln können. Im Bereich Datenschutz handelt Medion größtenteils vorbildlich, lässt aber Informationen zu integrierten Trackern vermissen. Die Datenübertragung der App ins Internet war zu jeder Zeit verschlüsselt, die Bluetooth-Kommunikation zwischen App und Fitnesstracker bietet allerdings noch Verbesserungspotenzial: Die Authentifizierung ist nicht vollumfänglich implementiert, weiterhin kann die Kopplung zwischen App und S3600 vergleichsweise einfach aufgehoben werden.