Speicher: Lenovo-Fingerabdruck-Stick ist eine Mogelpackung

Ein schwerwiegendes Sicherheitsversprechen ohne Substanz

Ein als sicher beworbenes USB-Laufwerk des Herstellers Lenovo, das speziell mit einer AES-256-Verschlüsselung vermarktet wurde, hält sein Versprechen keineswegs. Wie eine detaillierte, KI-gestützte Sicherheitsanalyse des Forschers Xusheng Li nun belegt, findet auf dem Gerät namens Thinkplus FU100 in der Praxis keinerlei Verschlüsselung der gespeicherten Daten statt. Das Laufwerk, das sich durch einen integrierten Fingerabdruckleser als besonders geschütztes Speichermedium präsentiert, fungiert in der Realität lediglich als eine Art Zugangskontrolle für die USB-Verbindung. Sobald der Fingerabdruck erfolgreich verifiziert wurde, wird der Zugriff auf den Speicher freigeschaltet – doch der Speicher selbst ist ungeschützt. Wer physischen Zugriff auf das Gerät erlangt, kann die darauf befindlichen Informationen ohne nennenswerte technische Hürden oder spezialisierte Entschlüsselungsmethoden auslesen. Die Sicherheitslücke stellt somit einen massiven Vertrauensbruch gegenüber den Nutzern dar, die sich auf die beworbene Verschlüsselung verlassen haben.

Die technischen Details der Untersuchung

Die Untersuchung von Xusheng Li, die unter anderem auf der Plattform Hackingpassion thematisiert wurde, entlarvt die Hardware des FU100 als eine gewöhnliche SD-Karte, die lediglich in einem optisch ansprechenden Gehäuse untergebracht ist. Im Rahmen eines Vortrags auf einer Fachkonferenz verdeutlichte Li, dass der Fingerabdrucksensor lediglich als simpler Schalter für die USB-Schnittstelle dient. Die Daten selbst liegen jedoch im Klartext auf dem Speichermedium. Die ursprünglichen Untersuchungen zu diesem spezifischen Modell wurden bereits im Jahr 2025 durchgeführt. Um die Schwachstelle damals provisorisch zu handhaben, wurde die Karte in einer Übergangslösung mit Epoxidharz überzogen, um den Zugriff zu erschweren. Die Analyse zeigt zudem, dass die Problematik nicht auf ein einzelnes Modell beschränkt ist, sondern tiefere Schwachstellen in der verwendeten Konfigurationssoftware und dem zugrunde liegenden Software-Development-Kit aufweist, welche auch bei anderen Produkten des Herstellers zum Einsatz kommen.

Hintergrund und bisherige Sicherheitsvorfälle

Bereits Anfang 2026 sah sich Lenovo gezwungen, ein Sicherheitsupdate für die Konfigurationssoftware zu veröffentlichen, das neben dem FU100 auch die Modelle FU200, TU800 sowie das SSD-Modell TSD303 abdeckte. Eines der identifizierten Probleme, das als CVE gelistet wurde, erlaubte es einem lokal angemeldeten Benutzer, die Authentifizierung des Geräts komplett zu umgehen und einen eigenen Fingerabdruck für den Zugriff zu registrieren. Dies untergrub den Sicherheitsmechanismus des Sticks vollständig. Die Handhabung dieses Updates gestaltete sich für die betroffenen Kunden jedoch als äußerst umständlich. Lenovo forderte die Nutzer auf, eine chinesische Servicenummer zu kontaktieren, um das Gerät entweder einzuschicken oder vor Ort in einem Servicecenter aktualisieren zu lassen. Vor diesem Prozess mussten alle Nutzer ihre Daten zwingend sichern und den Speicher vollständig löschen, was den Aufwand für die Kunden massiv erhöhte und die Unzulänglichkeit des ursprünglichen Konzepts unterstrich.

Die Rolle der beteiligten Akteure

Der Sicherheitsforscher Xusheng Li nimmt bei der Aufdeckung dieser Mängel die zentrale Rolle ein. Seine Arbeit, die durch KI-gestützte Analysetools beschleunigt wurde, brachte nicht nur die Mängel beim FU100 ans Licht, sondern deckte auch Schwachstellen bei weiteren Modellen auf. Lenovo als Hersteller steht hierbei in der Kritik, da die beworbenen Sicherheitsstandards nicht mit der tatsächlichen technischen Umsetzung korrespondieren. Zudem ist das hinter den Laufwerken stehende Software-Development-Kit von großer Bedeutung, da es in mindestens neun weiteren Produkten verschiedener Hersteller verwendet wird. Die meisten dieser Geräte weisen laut den Analysen von Li ähnliche Schwachstellen auf. In seinen Präsentationsfolien hielt Li die Namen der betroffenen Drittanbieter jedoch geschwärzt. Die Kommunikation des Herstellers Lenovo gegenüber den Kunden im Zuge der Update-Prozesse war geprägt von komplexen Anforderungen, die die Nutzer vor erhebliche logistische Herausforderungen stellten.

Einordnung der Sicherheitslücken

Einzuordnen ist die Situation so, dass die beworbene AES-256-Verschlüsselung bei dem Lenovo-Stick eine reine Marketingaussage ohne technische Grundlage darstellt. Die Sicherheitsanalyse verdeutlicht, dass die Komplexität der Verschlüsselung bei anderen Modellen, wie etwa dem TSD303, ebenfalls mangelhaft war. Bei diesem SSD-Modell wurden Passwörter im Klartext über die USB-Schnittstelle übertragen, was sie für Angreifer leicht abgreifbar machte. Ein erster Patch, der drei Monate nach der Meldung erschien, nutzte eine Blockchiffren-Verschlüsselung, deren Schlüssel jedoch aus einem zeitstempelähnlichen Wert abgeleitet wurde. Dies ermöglichte es der Lenovo-Software, den Schlüssel selbst zu berechnen, was den Schutz bei einem Diebstahl des Geräts faktisch wirkungslos machte. Erst ein nachfolgendes Update Ende des letzten Jahres führte eine interne Passwortverifizierung ein, sodass die Passwörter das Gerät nicht mehr verlassen. Den Berichten zufolge zeigt dies eine grundlegende Schwäche in der Sicherheitsarchitektur der gesamten Produktreihe.

Offene Fragen und verbleibende Unsicherheiten

Der Quelltext lässt einige Fragen offen, die für die betroffenen Nutzer von hoher Relevanz sind. So bleibt unklar, welche konkreten weiteren Hersteller neben Lenovo das betroffene Software-Development-Kit in ihren Produkten einsetzen, da diese in den Unterlagen von Xusheng Li geschwärzt wurden. Ebenso wird nicht explizit beantwortet, ob für alle betroffenen Geräte, die das fehlerhafte SDK verwenden, bereits funktionierende Updates zur Verfügung stehen oder ob Nutzer weiterhin auf unsicheren Systemen arbeiten. Auch die Frage nach einer möglichen Entschädigung oder einer Rückrufaktion für die als Mogelpackung identifizierten Geräte wird im vorliegenden Text nicht thematisiert. Es bleibt zudem offen, wie viele Anwender weltweit von den Sicherheitslücken betroffen sind und ob es bereits dokumentierte Fälle gibt, in denen die Schwachstellen aktiv ausgenutzt wurden, um unbefugt auf sensible Daten zuzugreifen. Die langfristige Sicherheit der nun gepatchten Geräte bleibt ebenfalls eine offene Variable, da die ursprüngliche Hardware-Architektur bei Modellen wie dem FU100 grundlegende Defizite aufweist.