Der Sicherheitsforscher Xusheng Li hat am 22. Oktober Schwachstellen in passwortgeschützten Speichersticks veröffentlicht, darunter Produkte der chinesischen Hersteller Netac und SecZure. Bei SecZure öffneten zwei fest hinterlegte Passwörter die Dateien auf beiden getesteten Sticks. Schon zuvor hatte Li gezeigt, dass Lenovos Fingerabdruck-Stick ThinkPlus FU100 trotz beworbener AES-256-Verschlüsselung alle Daten im Klartext speicherte.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Li entwickelt beim US-Softwarehaus Vector 35 das Analysewerkzeug Binary Ninja und hat die neuen Funde im Firmenblog beschrieben.[1] Das chinesische Portal Ifeng griff den Fall am 2. November nach einem Bericht von Tom’s Hardware auf.[2] Einen Teil der Analysen erledigte das KI-Werkzeug Codex von OpenAI.
Das Wichtigste in Kürze
- Im Lenovo-Stick FU100 steckte eine gewöhnliche SD-Karte, der Fingerabdruck schaltete nur die USB-Verbindung frei.
- Lenovo bietet für vier ThinkPlus-Modelle kostenlos einen Umtausch oder ein Firmware-Update an, über eine Hotline in China.
- Die Netac-Software File Lock verschlüsselt mit einem festen Schlüssel, der im Programm selbst steht.
- Codex fand diesen Schlüssel nach einer einzigen Anweisung in sieben Minuten.
Was steckte im Fingerabdruck-Stick von Lenovo?
Li zerlegte den FU100 im Jahr 2025. Unter dem Gehäuse lag eine normale SD-Karte mit unverschlüsselten Daten, der Fingerabdruckleser entschied nur, ob sich der Stick am Rechner meldet.[3] Lenovo erhielt die Meldung am 2. August 2025 und versiegelte die Karte als Notlösung mit Epoxidharz. Beim externen Laufwerk TSD303 waren die Daten verschlüsselt, doch das Gerät schickte das richtige Passwort im Klartext über das USB-Kabel an Lenovos Programm, das den Vergleich übernahm. Erst die zweite Fehlerbehebung im Dezember 2025 prüft das Passwort im Laufwerk selbst.
Am 13. Januar 2026 stufte Lenovo die drei Schwachstellen CVE-2025-13453 bis CVE-2025-13455 als schwerwiegend ein.[4] Betroffen sind die Modelle FU100, FU200, TU800 und TSD303. Lenovo bietet den Umtausch oder ein Firmware-Update vor Ort an und rät, die Daten vorher zu sichern und den Stick zu löschen.
Warum schützt das Passwort die Dateien nicht?
Bei Netac, KakaSoft und Nexcopy entscheidet das Passwort nur, ob die Software eine Datei öffnet. In den Schlüssel fließt das Passwort nicht ein.[1] File Lock von Netac nutzt einen festen 32-Byte-Schlüssel aus dem Programmcode, schreibt das Passwort in Protokolldateien und verschlüsselt im Schnellmodus bei Dateien über 1.024 Byte nur Teile, etwa bei PDF-, Office- und ZIP-Dateien. Netac reagierte laut Li bis März 2026 nicht auf seine Meldung vom Oktober 2025.[3]
Auf SecZures Kopierschutz-Stick Yutiandun stieß Li auf zwei versteckte Konten mit den festen Passwörtern 123456 und SECZURE.COM. Li nennt das technisch eine Hintertür, eine böse Absicht lasse sich daraus nicht ableiten.[1] Auch die Dateien auf den Kopierschutz-Sticks von KakaSoft und Nexcopy entschlüsselte Codex ohne Passwort. SecZure, KakaSoft und Nexcopy informierte Li vorab nicht, weil sich ein Stick in fremder Hand weder zurückrufen noch aktualisieren lasse. Neu ist der Fehler nicht: Das Tübinger Sicherheitsunternehmen SySS knackte 2022 mehrere Sticks mit AES-Hardwareverschlüsselung.[5]
Ein Fingerabdruckleser, der nur die USB-Verbindung einschaltet, schützt keine einzige Datei auf dem Stick.
Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Firmen in der DACH-Region?
Geht ein Stick mit Kundendaten verloren, entfällt die Benachrichtigung der Betroffenen nach Art. 34 Abs. 3 DSGVO nur, wenn die Daten für Unbefugte unzugänglich sind, etwa durch Verschlüsselung.[6] Bei den genannten Modellen greift diese Ausnahme nicht. Die Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Art. 33 bleibt Pflicht, solange ein Risiko für die Betroffenen besteht. Die EU-Staaten wollen diese Meldepflicht künftig auf Fälle mit hohem Risiko beschränken.
- ThinkPlus-Sticks der ersten Generation im Bestand suchen und über Lenovo tauschen lassen.
- Dateien vor dem Kopieren selbst verschlüsseln, etwa mit Bitlocker To Go oder Veracrypt, bei denen der Schlüssel vom Passwort abhängt.
- Kopierschutz-Sticks so behandeln, als könne der Empfänger jede Datei lesen.
Quellen
6 Quellen anzeigenQuellen ausblenden
- Binary Ninja Blog, Xusheng LiDiscovering a Backdoor and Flaws in More Encrypted USB Drives (englisch)
- Ifeng Tech联想指纹加密U盘被曝形同虚设：拆开外壳就能读取数据 (Lenovos verschlüsselter Fingerabdruck-Stick wirkungslos: Gehäuse öffnen genügt, um die Daten zu lesen) (chinesisch)
- Xusheng LiBreaking Encrypted USB Drives with Time-Travel Debugging, Vortragsfolien RE//verse (englisch)
- Lenovo【安全公告】LEN-210545 ThinkPlus存储设备漏洞 (Sicherheitshinweis LEN-210545: Schwachstellen in ThinkPlus-Speichergeräten) (chinesisch)
- SySS Tech Blog, Matthias DeegHacking Some More Secure USB Flash Drives (Part I) (englisch)
- Europäische UnionVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 33 und 34
Mehr Newshunger?
- Knackt YellowKey BitLocker per USB-Stick? Offenbar ja
- Zwischenzertifikate von eMudhra kompromittiert: Jeder konnte die privaten Schlüssel berechnen
- Datenpannen: EU-Staaten wollen die Meldepflicht auf Fälle mit hohem Risiko beschränken
- US-Grenzbeamte durchsuchen 32 Prozent mehr Laptops und Handys
- PostgreSQL 19 verspätet sich, weil viel mehr Fehler gefunden werden
- Sicherheitslücke in ChatGPT: Ein geteilter Chat genügte, um fremde Konten zu übernehmen
