Die University of Alabama at Birmingham hat am 28. Juni 2017 auf ein Datenschutzrisiko von EEG-Headsets für Spiele und andere interaktive Anwendungen hingewiesen. Das Forschungsteam untersuchte, ob Messdaten beim Tippen Rückschlüsse auf PINs und Passwörter erlauben. Belegt ist ein Laborexperiment, kein dokumentierter Angriff auf Spielerkonten.
Die Originalstudie PEEP von Ajaya Neupane, Md Lutfor Rahman und Nitesh Saxena setzt Zugriff auf die EEG-Rohdaten und ein trainiertes Modell voraus. Neben neuronalen Signalen können auch Augen-, Kopf- und Muskelbewegungen Informationen liefern. Das Verfahren liest keine frei gedachten Passwörter aus.
Zwölf Personen, aber kleinere Teilversuche
Insgesamt nahmen zwölf Personen teil. Zehn bearbeiteten die virtuelle numerische Tastatur; die übrigen Eingabeaufgaben hatten jeweils zwei Teilnehmer. Untersucht wurden vierstellige PINs und sechs Großbuchstaben lange Passwörter. Die Ergebnisse sind damit kein allgemeiner Erfolgsnachweis für beliebige Passwörter oder Alltagssituationen.
Die Arbeit beschreibt ein manipuliertes Spiel als mögliches Trainingsszenario. Tatsächlich erprobt wurden vereinfachte Eingabeaufgaben im Labor. Die Forscher nennen Feldtests als weitere Arbeit. Zusätzliche Störsignale und eingeschränkter Datenzugriff sind Vorschläge für Gegenmaßnahmen, keine im Paper nachgewiesenen Schutzlösungen.
Messdatenzugriff ist Teil der Sicherheitsarchitektur
Für die Entwicklung ergibt sich daraus eine konkrete Prüffrage: Welche Anwendung bekommt die Rohdaten, und endet ihr Zugriff mit der eigentlichen Spielfunktion? Eine Eingabeschnittstelle kann Informationen erfassen, die für einen Spielzug nicht benötigt werden. Der Zweck einer Funktion und der Umfang ihrer Datenerhebung müssen deshalb getrennt geprüft werden.
Bei Minecraft hatten manipulierte Spielerkopf-Texturen zuvor zusätzliche Netzwerkzugriffe ausgelöst. Dort lag das Problem bei nachgeladenen Inhalten, nicht bei EEG-Daten. Die Fälle sollten technisch getrennt bleiben, auch wenn beide die Sicherheitsprüfung zusätzlicher Funktionen betreffen.
Archivhinweis: Dieser Beitrag dokumentiert die Veröffentlichung von 2017. Er ist keine Prüfung heutiger EEG-Geräte, Betriebssystemrechte oder einer aktuell ausgenutzten Sicherheitslücke.