Weihnachten steht vor der Tür und obwohl wir gerne Amazon Echo bestellt und datenschutzrechtlich auf Herz und Nieren geprüft hätten, haben wir noch keine Bestellmöglichkeit über Amazon erhalten (zur Bestellung ist derzeit noch eine Einladung von Amazon erforderlich). Zumindest geht es nicht nur uns so, denn auch die Redakteure von z. B. CNET waren darauf angewiesen, sich ihr Testprodukt bei ebay zu ersteigern.
Was ist datenschutzrechtlich so spannend an Amazon Echo?
Wie bereits in einem der letzten Beiträge dargestellt, handelt es sich bei Amazon Echo um eine Art persönliches Assistenzsystem, das am ehesten mit Siri, Cortana oder Google Now zu vergleichen ist. Allerdings läuft dieses Assistenzsystem nicht auf mobilen Endgeräten, sondern auf einem eigens hierfür vorgesehenen Produkt, welches einem kleinen Lautsprecher ähnelt. Dieser kann z. B. stationär im Wohnzimmer aufgestellt werden und lauscht per Mikrofon fortan auf sein Aktivierungscodewort „Alexa“. Wird dieses ausgesprochen, nimmt Amazon Echo weitere Sprachbefehle entgegen und kann z. B. Musik streamen oder über das aktuelle Wetter informieren. Ein Knopfdruck zur Aktivierung der Spracherkennung ist im Gegensatz zur Aktivierung von Siri oder Cortana nicht erforderlich – und spätestens an dieser Stelle wird es datenschutzrechtlich spannend.
Was wollen wir wie prüfen?
Unter anderem wollen wir prüfen, ob Amazon Echo tatsächlich erst dann Gesprächsdaten an externe Server übermittelt, nachdem das Codewort gefallen ist. Zudem interessiert uns, welche Inhalte über das Netzwerk übertragen werden. Aufgrund der uns noch nicht vorliegenden Spezifikationen sind hierzu momentan grundsätzlich zwei Szenarien denkbar:
Szenario 1:
Amazon Echo spricht über http/https mit den Amazon Servern. Hierbei spielt es prinzipiell keine Rolle, ob die Informationen als Get- oder Post-Parameter oder über eine Abstraktionsschicht, wie bspw. REST oder SOAP im xml-Format übertragen werden. In diesem Szenario könnte der Netzwerkverkehr über einen http-Proxy (bspw. http://portswigger.net/burp/) mitgelesen und sogar verändert werden. Sofern Amazon Echo eine verschlüsselte Verbindung über SSL/TLS aufbaut – wovon wir derzeit erst einmal ausgehen – ist es erforderlich, die Verschlüsselung auf dem Proxy kurzfristig aufzuheben. Das hierzu erforderliche Zertifikat müsste in diesem Fall im Amazon Echo hinterlegt und als vertrauenswürdig eingestuft werden. Sofern Amazon Echo, ähnlich wie auch Fire TV oder Kindle Fire HD, auf Android basiert, sollte dies ohne Schwierigkeiten möglich sein.
Szenario 2:
Der gesamte Netzwerkverkehr wird auf einem zentralen Router mitgelesen. Hierfür könnte bspw. ein Netzwerksniffer wie wireshark (www.wireshark.org) eingesetzt werden. Der Vorteil dieser Lösung liegt in der Vielseitigkeit. Die Analyse der übertragenden Informationen ist unabhängig vom eingesetzten Protokoll. Eine Beschränkung auf http(s) wie in Szenario 1 ist nicht vorhanden. Gleichwohl kann in diesem Fall – abhängig von der konkreten Implementierung – die Aufhebung einer etwaigen Verschlüsselung auf dem Router unter Umständen nicht möglich sein.
Ist das Bedienkonzept (Spracherkennung ohne Knopfdruck) neu?
Nein. So ermöglicht z. B. Google bereits seit der vorletzten Android Version (KitKat) im Zusammenspiel mit bestimmten mobilen Endgeräten Google Now-Spracheingaben ohne Knopfdruck. Zudem wurde vor einigen Tagen öffentlich, dass auch das neue Chromebook und somit Chrome OS Spracherkennung ohne Knopfdruck unterstützen wird.
Muss die zur Codeworterkennung erforderliche Spracherkennung nicht sowieso zwingend über externe Server laufen?
Auch hier ein klares Nein. Dass die Erkennung von Codewörtern nicht auf eine Spracherkennung in der Cloud angewiesen ist, zeigt sich ganz deutlich bei Geräten, die über keine Internetverbindung verfügen und dennoch in der Lage sind, auf Codewörter zu lauschen und sogar eine lokale Spracherkennung durchführen – etwa Nachrüstsets für Freisprecheinrichtungen von Autos.
Eine solche, lokale Spracherkennung des Codewortes, sollte auch für internetfähige Assistenzsysteme künftig zum Datenschutzstandard werden.
Sobald wir unser Exemplar des Amazon Echo erhalten, werden wir natürlich in unserem Blog von unseren Testergebnissen berichten.