TikTok überwacht In-App-Browsereingaben und zwar alles was User:innen auf Webseiten tippen, auch Links und Buttons.

Der Sicherheitsforscher Felix Krause hat in einem Post darüber berichtet, das TikTok einen JavaScript-Code in die Webseite einbindet (JavaScript Injection), der alles was Anwender:innen im internen Browser tippen oder klicken mitschreibt. Dazu gehören auch Passwörter, Kreditkartennummern und andere Sicherheitsrelevante  Dinge. Es wird “Keypress” und “Keydown” geloggt.

Aus technischer Sicht betrachtet, schreibt Krause, handelt es sich um einen Keylogger, den TikTok da in seiner App verwendet.

In einem Interview mit Forbes gab Felix Krause an, dass dieses eine aktive Entscheidung von TikTok bzw. des Betreibenden Unternehmens ByteDance gewesen sein muss. Es sei keine triviale Leistung, so etwas zu implementieren und passiere nicht zufällig oder aus Versehen.

TikTok überwacht In-App-Browsereingaben

Ein TikTok-Sprecher gab Forbes gegenüber an, dass der Code nicht bösartig sei, sondern stattdessen für “Debugging, Fehlerbehebung und Leistungsüberwachung” verwendet wird.

Darüber hinaus behauptete TikTok, dass das JavaScript Teil eines Software-Entwicklungskits von Drittanbietern sei, gab aber nicht bekannt, welches oder welcher Hersteller dafür verantwortlich ist.

Ob und ich welcher Form TikTok die Tastatureingaben seiner Nutzer:innen tatsächlich abgegriffen hat und was damit passiert ist, kann Krause nicht sagen. Er ist aber sicher, dass TikTok es mit dieser Funktionalität jederzeit könnte.

Die Empfehlung lautet daher: Links aus TikTok lieber direkt im Browser des iPhones (Safari) zu öffnen. Auch wenn die App dies nicht unmittelbar unterstützt. Die gleiche Empfehlung gilt im Grunde für alle Apps mit In-App-Browser.

Quelle: Appleinsider, Forbes, Felix Krause