a’crop’alypse: Bildschirmfotos des Google Pixel verraten alles

Wer vielleicht erst kürzlich ins iPhone-Lager gewechselt ist und dafür tief in die Tasche greifen musste, der freut sich sicher über eine kurze Bestätigung, die richtige Entscheidung getroffen zu haben. Diese kommt aktuell von Simon Aarons, der eine schwerwiegende Datenschutzlücke bei den Pixel-Geräten des Suchmaschinen-Riesen Google ausgemacht hat.

Fast alle Pixel-Genrationen betroffen

Aarons hat der Problem den Spitznamen a’crop’alypse gegeben und fasst die Auswirkungen der Schwachstelle auf seinem Twitter-Konto zusammen. Die grob verkürzte Variante: Anwender die Bildschirmfotos auf ihrem Pixel-Smartphone mit der von Google bereitgestellen Markup-App beschnitten oder auch geschwärzt haben, ehe Kontoauszüge, Fotoinhalte oder Nachrichtenverläufe weitergereicht wurden, müssen damit rechnen dass die Empfänger der Screenshots alle Inhalte wiederherstellen können – auch eigentlich entfernte und übermalte Bildbereiche.

Web-Demo macht versteckte Inhalte sichtbar

Von dem Fehler, der Bildbereiche wieder sichtbar macht, die zuvor eigentlich verworfen werden sollten, sind alle Pixel-Smartphones vom Pixel 3 bis zum Pixel 7 Pro betroffen. Eine entsprechende Online-Demo zum Wiederherstellen entsprechender Bildschirmfotos ist auf acropalypse.app verfügbar und erlaubt es nun von Pixel-Besitzern erhalten Screenshots der vergangenen Jahre auf versteckte Inhalte hin zu prüfen und diese wieder Sichtbar zu machen.

Der Screenshot (links) zeigte nur Makronährstoffe, a’crop’alypse stellte die Frühstücksdaten (rechts) wieder her

Wer sich für die Hintergründe der datenschutztechnisch bedenklichen Schwachstelle interessiert, sollte den Blogeintrag Exploiting aCropalypse von David Buchanan studieren.

Herunter gebrochen auf das eigentliche Problem muss man sich nur folgendes merken: Werden Screenshots auf dem Pixel zugeschnitten und gespeichert, wir die vorhandene Datei von der bearbeiteten Datei überschrieben. Dabei werden größere Reste der Originaldatei jedoch weder angetastet noch entfernt.