TikTok überwacht In-App-Browsereingaben

[Michael Reimann]

Michael Reimann
TikTok überwacht In-App-Browsereingaben und zwar alles was User:innen auf Webseiten tippen, auch Links und Buttons.

Der Sicherheitsforscher Felix Krause hat in einem Post darüber berichtet, das TikTok einen JavaScript-Code in die Webseite einbindet (JavaScript Injection), der alles was Anwender:innen im internen Browser tippen oder klicken mitschreibt. Dazu gehören auch Passwörter, Kreditkartennummern und andere Sicherheitsrelevante Dinge. Es wird "Keypress" und "Keydown" geloggt.

Aus technischer Sicht betrachtet, schreibt Krause, handelt es sich um einen Keylogger, den TikTok da in seiner App verwendet.

In einem Interview mit Forbes gab Felix Krause an, dass dieses eine aktive Entscheidung von TikTok bzw. des Betreibenden Unternehmens ByteDance gewesen sein muss. Es sei keine triviale Leistung, so etwas zu implementieren und passiere nicht zufällig oder aus Versehen.
TikTok überwacht In-App-Browsereingaben


Ein TikTok-Sprecher gab Forbes gegenüber an, dass der Code nicht bösartig sei, sondern stattdessen für "Debugging, Fehlerbehebung und Leistungsüberwachung" verwendet wird.

Darüber hinaus behauptete TikTok, dass das JavaScript Teil eines Software-Entwicklungskits von Drittanbietern sei, gab aber nicht bekannt, welches oder welcher Hersteller dafür verantwortlich ist.

Ob und ich welcher Form TikTok die Tastatureingaben seiner Nutzer:innen tatsächlich abgegriffen hat und was damit passiert ist, kann Krause nicht sagen. Er ist aber sicher, dass TikTok es mit dieser Funktionalität jederzeit könnte.

Die Empfehlung lautet daher: Links aus TikTok lieber direkt im Browser des iPhones (Safari) zu öffnen. Auch wenn die App dies nicht unmittelbar unterstützt. Die gleiche Empfehlung gilt im Grunde für alle Apps mit In-App-Browser.

Quelle: Appleinsider, Forbes, Felix Krause

Den Artikel im Magazin lesen.

 

[Carcharoth]

Betrifft übrigens nicht nur TikTok, sondern auch Instagram (die waren anfangs Woche deswegen in den Schlagzeilen) und Facebook.

 

[SORAR]

TikTok ist so oder so das Krebsgeschwür unter den Social Media. Den Hype darum verstehe ich bis heute nicht. Sinnfreie und schrille 15-Sekunden Videos, weil die degenerierte Zielgruppe über keine längere Aufmerksamkeitsspanne mehr verfügt? Etwas mehr Aufklärung wäre angebracht, aber nungut.

 

[Bitnacht]

Ich dachte immer TikTok würde nur Videos aufnehmen und zeigen. Dass die Kommentarfunktion dann auch noch einen In-App-Browser enthält, überrascht mich erstmal. Andererseits ist es vielleicht so, dass das Ganze in Wirklichkeit ohnehin nur eine Web-App ist und sie den Keylogger sogar für ihre eigene Programmsteuerung benutzen.

 

[Michael Reimann]

Betrifft übrigens nicht nur TikTok, sondern auch Instagram (die waren anfangs Woche deswegen in den Schlagzeilen) und Facebook.

Ja fast genau so. Allerdings werden "nur" Taps auf Buttons, Links und Images mitgeloggt. Soweit ich weiß keine direkten Eingaben. Schlimm ist es aber auch. Dafür erlaubt Instagram wenigstens das Öffnen im Systembrowser.

Ich dachte immer TikTok würde nur Videos aufnehmen und zeigen. Dass die Kommentarfunktion dann auch noch einen In-App-Browser enthält, überrascht mich erstmal. Andererseits ist es vielleicht so, dass das Ganze in Wirklichkeit ohnehin nur eine Web-App ist und sie den Keylogger sogar für ihre eigene Programmsteuerung benutzen.

Es gibt wohl auch Werbeanzeigen in TikTok, die dann im internen Browser geöffnet werden. Wenn das dann zum Beispiel ein Shop wäre, dann könnte TikTok nicht nur erfahren, was jemand kauft, sondern auch gleich die Zahlungsinformationen erhalten. Äußerst praktisch. Also für TikTok 😁

 

[Thaddäus]

Hat wer etwas anderes erwartet?

Wenn etwas kostenlos ist bist du das Produkt.

 

[saw]

degenerierte Zielgruppe

Findest du so etwas okay?

 

[Michael Reimann]

Hat wer etwas anderes erwartet?

Wenn etwas kostenlos ist bist du das Produkt.

Naja das ist schon etwas heftiger, als "ein paar" Metadaten. Und nein, das erwarte ich nicht. So schlau bin ich vorher nicht.

 

[Thaddäus]

Ich sags ungern, aber diesen Social Media Unternehmen, gerade wenn sie noch unter dem Verdacht stehen der chinesischen Regierung nahezustehen, traue ich fast alles zu.

 

[MichaNbg]

Findest du so etwas okay?

vor allem zeigt er, dass er sich nie mit tiktok beschäftigt hat. ja, da gibt es viel richtigen Müll und auch politische Propaganda gerade von ganz rechts bis gesellschaftszersetzend libertär.
(von den ganzen gefährlichen Challenges mal abgesehen)

Aber es gibt auch viele ernsthafte Content Creator, die dort minutenlange Videos hochladen. Eine bildgewordene Doktorarbeit darf man da jetzt nicht erwarten. Es ist aber nicht so, dass dort nur 15sekündige Farbepilepsie und Hirntod vorherrscht.


Hab die App nach einigen Wochen trotzdem wieder gelöscht, habe da für mich persönlich keinen Nutzen draus gezogen.

 

[Bob___]

Ja fast genau so. Allerdings werden "nur" Taps auf Buttons, Links und Images mitgeloggt. Soweit ich weiß keine direkten Eingaben. Schlimm ist es aber auch. Dafür erlaubt Instagram wenigstens das Öffnen im Systembrowser.

Aber machen das nicht alle großen Unternehmen bei Ihren Web-Auftritten und analysieren wie lange der User auf welchen bereich mit seiner Maus verharrt blieb oder in welcher Reihenfolge er welche Buttons oder Artikel angeklickt hat, von wo nach wo die Maus geführt wurde, wie schnell er von einer Seite zur nächsten gewechselt ist... usw.?!
Ich bin nun nicht mehr in der Web-Entwicklung so tief drin, aber ich meine das wäre so in etwa der Stand der Dinge.

 

[ottomane]

Aber machen das nicht alle großen Unternehmen bei Ihren Web-Auftritten

Natürlich machen das viele, auch kleine. Das ist sozusagen Standard, aber nicht grundsätzlich bösartig.

TikTok scheint es aber auch auf fremden Webseiten zu machen, die du in dem TikTok-Browser öffnest, wenn ich das richtig verstehe.

Und weil es im Browser passiert, könnte es sein, dass sie auch Daten, die verschlüsselt übertragen werden, abgreifen und speichern. Technisch geht das.

 

[Michael Reimann]

Natürlich machen das viele, auch kleine. Das ist sozusagen Standard, aber nicht grundsätzlich bösartig.

TikTok scheint es aber auch auf fremden Webseiten zu machen, die du in dem TikTok-Browser öffnest, wenn ich das richtig verstehe.

Ja genau, TikTok fügt auf fremden Webseiten Javascript-Code ein der die Eingaben dort mitloggen kann.

Aber machen das nicht alle großen Unternehmen bei Ihren Web-Auftritten und analysieren wie lange der User auf welchen bereich mit seiner Maus verharrt blieb oder in welcher Reihenfolge er welche Buttons oder Artikel angeklickt hat, von wo nach wo die Maus geführt wurde, wie schnell er von einer Seite zur nächsten gewechselt ist... usw.?!
Ich bin nun nicht mehr in der Web-Entwicklung so tief drin, aber ich meine das wäre so in etwa der Stand der Dinge.

Auf der eigenen Webseite ist das in der Tat Standard. Also Tracking nicht Logging. TikTok nutzt den eigenen Browser als Einfallstor, um alles mitzuschreiben, was der Nutzer macht. Auf allen Webseiten, die darin aufgerufen werden.

 

[Benutzer 251455]

Wie gut, dass ich diese In-App-Browser nur selten nutze, sei es bei Twitter oder TikTok, wenn überhaupt. Und ins Online-Banking melde ich mich da auch nicht ein. Maximal lese ich darüber einen News-Artikel, oder so.

Ich will das nicht klein reden. Ich habe nur eben eine Risiko-Analyse für mich durchgeführt. 😁

 

[Bob___]

Ja genau, TikTok fügt auf fremden Webseiten Javascript-Code ein der die Eingaben dort mitloggen kann.

Auf der eigenen Webseite ist das in der Tat Standard. Also Tracking nicht Logging. TikTok nutzt den eigenen Browser als Einfallstor, um alles mitzuschreiben, was der Nutzer macht. Auf allen Webseiten, die darin aufgerufen werden.

Ah, verstehe. Danke für die Erklärung

 

[Apfelrix]

Besteht in iOS die Möglichkeit, Links generell in Safari zu öffnen? Ohne, dass man unten rechts auf das Safari-Icon tippen muss?

 

[Martin Wendel]

Besteht in iOS die Möglichkeit, Links generell in Safari zu öffnen? Ohne, dass man unten rechts auf das Safari-Icon tippen muss?

Nein, das ist nicht möglich.

 

[dtp]

Grundsätlich wohl nicht. Die aus dem im Ausgangsposting zitierten Link angefügte Tabelle zeigt ganz gut, was geht.

 

[Cu-R-Lee]

Sinnfreie und schrille 15-Sekunden Videos, weil die degenerierte Zielgruppe ....

Habe deinen Satz nicht zu ende gelesen , war mir zu lang . Aber 15 Sekunden finde ich auch viel zu lang ,7 würden es auch tun.
^^
IronieOff , Magst du es nicht , dann benutze es nicht , ist allen geholfen dann. Lass uns degenerierten den Spass.



@Michael Reimann , danke für deine Infos .

 

[SORAR]

vor allem zeigt er, dass er sich nie mit tiktok beschäftigt hat. ja, da gibt es viel richtigen Müll und auch politische Propaganda gerade von ganz rechts bis gesellschaftszersetzend libertär. (von den ganzen gefährlichen Challenges mal abgesehen)

Eben, all das reicht mir aus um mich nicht tiefer damit beschäftigen zu müssen, wenn obendrein noch der CCP-Faktor dazukommt, umso mehr. Natürlich soll jeder es nutzen wie er es mag. Aber dann bitte nicht einen auf surprise-pikachuface machen, wenn noch mehr Skandale herauskommen. Für ‚ernsthafte Contentcreator‘ gibt es übrigens immer noch Youtube, dessen Web-Gui auch ohne App sehr gut nutzbar ist.