Kritische Daten sollten möglichst sicher übertragen werden - mit diesem Credo hat der Softwareentwickler Tony Webster das Blog "HTTP Shaming" gestartet - es warnt vor Diensten, die Datenübertragungen gar nicht oder unzureichend verschlüsseln.

"Schämt euch", dachte sich Webster, als er vergangene Woche auf seinem Mac mal wieder eine Reihe Apps entdeckte, die sensible Daten unverschlüsselt durchs Netz schickten. Bei "HTTP Shaming " legt der Entwickler seit diesem Erlebnis Sicherheitsmängel offen, manche davon mehr, manche weniger krass. Die betroffenen Anbieter will Webster mit seinem Blog zu etwas mehr Initiative und Verantwortungsbewusstsein erziehen.

Websters Online-Pranger ist bereits gut gefüllt, die Galerie ist auf unangenehme Weise beeindruckend: So verschlüsselt zum Beispiel die Webseite des amerikanischen Satelliten-TV-Providers Direct TV einen Teil der Account-Daten ihrer 20 Millionen Abonnenten nicht über das verschlüsselte Übertragungsprotokoll HTTPS.

Eine Firma hat schon reagiert

Der Download-Service des Geräteherstellers Ubiquiti dagegen verschlüsselt, aber er tut dies nicht konsequent: Webster merkt an, dass die auf der Webseite verteilten Firmware-Updates für Router zwar per HTTPS mit aktuellem SSL-Zertifikat übertragen werden könnten, Ubiquiti die Downloads aber über eine unsichere HTTP-Verbindung umleitet.

Ein weiteres Beispiel ist die Plattform TripIt: Das Reiseplaner-Tool macht es möglich, Infos über Flugzeiten und Reiserouten mit Kollegen zu teilen und in Kalenderanwendungen zu synchronisieren. Die Übertragung der Kalenderdaten erfolgt jedoch unverschlüsselt und kann zum Beispiel an offenen W-Lan-Netzwerken abgefangen werden. Nutzername, E-Mail-Adresse, ein Teil der Kreditkartennummer und andere Daten liegen im Prinzip offen - ein geschickter Angreifer könnte sogar Flüge umbuchen, so Webster.

Mit dieser Offenlegung hat der Programmierer übrigens einen ersten Erfolg erreicht: Am Montag schrieb TripIt über Twitter : "Wir nehmen Feedback sehr ernst. Wir arbeiten fleißig daran, Kalender-Feeds zukünftig über HTTPS zu senden."

Jede Menge Einsendungen

Tony Webster lädt Kollegen ein, sich an dem Blog zu beteiligen. Der Tech-Seite ArsTechnica  sagte er zu den bisherigen Einsendungen: "Ich bin überwältigt von der Menge der Zuschriften - im guten wie im schlechten Sinne. Manche sind recht unkritisch, aber ich habe auch sehr bedenkliche gesehen, vor allem solche, die finanzielle Daten betreffen."