Adobe schließt Sicherheitslücke bei Digital Editions

27.10.2014 Johannes Haupt (Fachredakteur) 1 Kommentar

Plangemäß hat Adobe am Freitag ein Update für seine kostenlose eBook-Verwaltungssoftware Digital Editions bereitgestellt. Mit Adobe Digital Editions 4.0.1 schließt das Unternehmen eine vieldiskutierte Sicherheitslücke, die Dritten Einsicht ins persönliche Leseverhalten ermöglichte. Auch die Zahl der übertragenen Daten wurde reduziert.

Der US-Blog The Digital Reader machte die Sicherheitslücke Anfang Oktober publik. Demnach übertragt die vor einem Monat erschienene Version 4.0 von Adobe Digital Editions Nutzungs- und Lesedaten der über die Software verwalteten eBooks im Klartext an die Adobe-Server. Werden die Daten abgefangen, können somit Dritte die Informationen mit Leichtigkeit mitlesen. Übertragen werden auch Informationen zu mit Adobe Digital Editions verwalteten kopierschutzfreien eBooks.

Adobe bestätigte wenig später das Sicherheitsproblem und kündigte ein zeitnahes Update an. Hingegen wurde der ebenfalls von The Digital Reader erhobene Vorwurf dementiert, die Software scanne den kompletten Rechner nach eBooks und würde auch Informationen zu überhaupt nicht in Digital Editions importierten eBooks an Adobe übermitteln. Auch unabhängige Sicherheitsexperten konnten eine solche Datenübertragung nicht bestätigen.

Version 4.0.1 von Adobe Digital Editions, die hier heruntergeladen werden kann, bringt nun – neben einer Volltextsuche – laut Release Notes auch "Enhanced Security" mit. Die Datenübertragung an die Adobe-Server erfolgt nun mittels https. The Digital Reader bestätigt außerdem, infolge des Updates würden nur noch Informationen zu kopiergeschützten eBooks übertragen, und das auch nur noch nach deren Aktivierung.

Adobe gibt sich Mühe, …

Im Gespräch auf der Frankfurter Buchmesse erklärten uns Adobe-Manager, Datenschutz und die Privatsphäre der Nutzer seien das wichtigste überhaupt für Adobe. Den guten Willen kann man dem Unternehmen nicht absprechen: Neben dem Sicherheits-Update gibt es inzwischen auch eine separate Seite mit ausführlichen Informationen darüber, was für Daten von der Software gesammelt und auf die Adobe-Server übertragen werden.

…bietet aber weiterhin viel Angriffsfläche

Nach wie vor gibt es aber viel Gründe zur Kritik. Neben dem generellen Unwohlsein bei der für (technisch nicht versierte) epub-Leser weitgehend alternativlosen Übertragung von umfangreichen Informationen zum eigenen Leseverhalten auf US-amerikanische Server ist der Umfang der Datenübertragung immer noch überzogen. So sammelt und sendet Adobe weiterhin Informationen zur Lesezeit und zum Lesestand für sämtliche kopiergeschützten eBooks. Relevant sind diese Informationen aber nur bei Metered-Modellen (Abrechnung pro Seite, pro Minute) und Flatrates.

Während für solche neuartigen Geschäftsmodelle, wo Adobe fleißig mitverdienen will, ein Lizenzmanagement unvermeidlich ist, könnte es bei Kauf-Dateien problemlos gestrichen werden. Hier liegt es in der Hand von Verlagen (und erfolgreicher Autoren), dem Spuk ein Ende zu bereiten und damit nicht zuletzt auch klare Kante gegen Amazon zu zeigen, das auch von Verlagsseite kopierschutzfrei angelieferte eBooks zwangsverschlüsselt. Nutzer können sich nur mit Firewalls oder mit der (allerdings illegalen) Entfernung von DRM behelfen.