Superfish-Adware auf Lenovo-Computer vorinstalliert

Neuer Skandal im Bereich vorinstallierte Software auf gekauften Computern: Der Hersteller Lenovo ist damit aufgefallen, dass ein Programm Superfish auf seinen Computern vorinstalliert hat. Das Programm ist nicht so ohne, verändert es doch die Anzeige von Webseiten und reißt zudem noch eine fette Sicherheitslücke auf.

Um das Problem zu verstehen, möchte ich kurz ausholen und ein paar Begrifflichkeiten klären bzw. Hintergrundinformationen liefern.

Bloatware – die Plage des 21. Jahrhunderts auf neuen Rechnern

Als Bloatware bezeichnet man unnütze Software-Beigaben auf gekauften Geräten. Da ist der neue Computer vom Computer mit zig Softwarebeigaben voll gemüllt. Das reicht vom Gratis-Virenscanner, der nur für 90 Tage läuft und dann ein kostenpflichtiges Abo will, über nutzlose Fotosoftware bis hin zu Office 365 Probierversionen, die nach 30 Tagen auslaufen. Gelegentlich sind zwar "Perlen" unter der vorinstallierten Software zu finden. In den meisten Fällen ist es bisher nur lästig, dass die Neuerwerbungen mit allerlei unnützer Zusatzsoftware daherkommen.

Der Hintergrund: Die Gerätehersteller und Verkäufer bekommen von den Software-Firmen wie McAfee, Kaspersky und so weiter eine kleine Vergütung, wenn deren Software vorinstalliert wird. Bei den allgemein gesunkenen Margen ist das zwar nachvollziehbar, aber für uns als Kunden ärgerlich.

Adware – die wollen wir nicht haben

Die zweite Schlinge, die ich nun auslege, befasst sich mit dem Thema Adware. Anfang der Woche hatte ich noch den Blog-Beitrag Adware: Wenn der Browser nur noch Werbung zeigt… veröffentlicht. Adware ist unerwünschte Software, die den Browser so verändert, dass dieser beim Surfen ungewollt Werbung einblendet oder Daten über besuchte Webseiten an Werbenetzwerke weitermeldet. Adware schleppte man sich bisher über die Installation von Gratissoftware auf das System ein, wenn man nicht aufpasst. Adware sollte man vom Computer entfernen.

Lenovo kombiniert beides und liefert die Adware Superfish auf Geräten aus

Den Vogel hat nun der chinesische Computerhersteller Lenovo abgeschossen. Die liefern nicht nur Bloatware wie Gratis-Virenscanner in 90 Tage-Versionen auf neuen Lenovo-Geräten aus. Wie erst jetzt bekannt wurde, ist auf den Windows-Rechnern auch das Programm Superfish vorinstalliert. Normalerweise ist das ein Programm, welches eine visuelle Bildersuche unterstützt. Auf den Lenovo-Computern entwickelt sich das Ganze aber quasi zur Schadsoftware.

Betroffene Benutzer berichteten, dass beim Surfen auf Webseiten plötzlich Bilder mit passenden Verkaufsangeboten im Browser angezeigt wurden. Experten, die dem Ganzen nachgingen, stellten fest, dass diese von dem Programm Superfish veranlasst wurde. Und noch viel schlimmer: Um alles und jedes zu überwachen, wurde ein sogenanntes Root-Zertifikat von Lenovo mit installiert, welches auch eine geschützte https-Kommunikation mitlesen kann. Also quasi: Man macht gerade Online-Banking und vertraut darauf, dass die Daten geschützt zwischen Browser und Bank übertragen werden und keiner sonst mitlesen kann. Und dann sitzt Superfish auf dem Lenovo-Computer und liest fleißig alles mit, was über die abgesicherte Kommunikation erfolgt.

Das ist natürlich der Super-GAU, werden Lenovo-Geräte doch auch in Firmen verwendet. Ich habe ein paar Details mehr in meinem IT-Blog im Artikel Lenovo Geräte mit Superfish-Adware verseucht publiziert. Hier kann man nur sagen: Finger weg von Lenovo-Geräten – und wer ein solches Gerät hat, sollte Superfish deinstallieren oder Windows 8.1 frisch aufsetzen (sofern eine Installations-DVD von Microsoft ohne die Lenovo-Beigaben verfügbar ist).

PS: Ich habe mal bei Medion, die ja eine 100% Tochter von Lenovo sind, nachgefragt, ob da etwas zu Superfish bekannt ist. Ich glaube erst einmal, dass für Medion-Computer Entwarnung gegeben werden kann. Habe ich doch im Januar wegen dieses Artikels Fix für das Ladeproblem des Medion Lifetab S8312 noch mit einem Verantwortlichen von Medion telefoniert. Im Gespräch kamen wir auch auf das Thema Bloatware und es gab die Aussage, dass so etwas auf Medion-Geräten nicht drauf sei. Die vorinstallierte Aldi- und Cyberlink-Software habe regulär einen Wert von über 100 Euro. Ich habe hier Medion-Geräte, wo ich selektiv Software (z.B. Virenscanner) deinstalliert, aber die Cyberlink-Programme drauf gelassen, habe.

Update: Statement von Lenovo zum Sachverhalt – ohne weiteren Kommentar – ihr bildet euch eure eigene Meinung (via)

Lenovo removed Superfish from the preloads of new consumer systems in January 2015. At the same time Superfish disabled existing Lenovo machines in market from activating Superfish. Superfish was preloaded onto a select number of consumer models only. Lenovo is thoroughly investigating all and any new concerns raised regarding Superfish."

Background information on Superfish

Superfish was preloaded onto select models of Lenovo consumer products only and is a technology that helps users find and discover products visually. The technology instantly analyzes images on the web and presents identical and similar product offers that may have lower prices, helping users search for images without knowing exactly what an item is called or how to describe it in a typical text-based search engine.

The Superfish Visual Discovery engine analyzes an image 100% algorithmically, providing similar and near identical images in real time without the need for text tags or human intervention. When a user is interested in a product, Superfish will search instantly among more than 70,000 stores to find similar items and compare prices so the user can make the best decision on product and price.

Superfish technology is purely based on contextual/image and not behavioral. It does not profile nor monitor user behavior. It does not record user information. It does not know who the user is. Users are not tracked nor re-targeted. Every session is independent. When using Superfish for the first time, the user is presented the Terms of User and Privacy Policy, and has option not to accept these terms, i.e., Superfish is then disabled.