Bei Fragen zu Schwachstellen ist unser Blog die richtige Adresse, auch wenn es um ungewöhnliche Geräte geht – von intelligenten Matratzen und Saugrobotern bis hin zu akustischen Ampeltasten, Kinderspielzeug, Futterautomaten für Haustiere und sogar Fahrrädern. Der Fall, von dem wir heute erzählen, gehört aber wirklich zu den Exoten. Kürzlich haben Cybersicherheitsforscher zwei äußerst ernste Schwachstellen in den Fernbedienungs-Apps für Lovense-Sexspielzeug entdeckt.
Die ganze Geschichte ist sehr ungewöhnlich: die Art der anfälligen Geräte, das Verhalten des Unternehmens (es waren 14 Monate (!) geplant, um die Probleme zu beheben) und die skandalösen Details, die nach der Veröffentlichung der Studie ans Licht kamen. Aufgepasst! Wir steigen direkt in die Geschichte ein, die ebenso absurd wie fantastisch ist.
Das Online-Ökosystem von Lovense
Das Ganze ist schon deshalb ungewöhnlich, weil Lovense als Hersteller von intimen Spielzeugen ein sehr vielseitiges Publikum bedient, unter anderem auch Remote-Paare und Webcam-Models (menschliche Models, die auf Streaming-Plattformen über Webcams arbeiten).
Zur Steuerung von Geräten und für Interaktionen zwischen Benutzern hat das Unternehmen eine ganze Reihe von Softwareprodukten entwickelt, die auf eine Vielzahl von Szenarien zugeschnitten sind:
- Lovense Remote: die wichtigste mobile App zur Steuerung intimer Geräte.
- Lovense Connect: eine sekundäre App, die eine Brücke zwischen Lovense-Geräten und anderen Apps oder Online-Diensten schlägt. Sie wird auf einem Smartphone oder Computer installiert, verbindet Spielzeuge via Bluetooth und leitet Steuerbefehle von externen Quellen weiter.
- Lovense Cam Extension: eine Browser-Erweiterung für Chrome und Edge, die Lovense-Geräte mit Streaming-Plattformen verbindet. Sie wird mit der Lovense Connect-App und der Streaming-Software OBS Toolset eingesetzt und dient der interaktiven Steuerung während Live-Übertragungen.
- Lovense Stream Master: eine universelle App für Streamer und Cam-Models, die Funktionen zur Gerätekontrolle mit Live-Streaming-Funktionen kombiniert.
- Cam101: Online-Lernplattform von Lovense für Models, die auf Streaming-Websites arbeiten.
Neben dieser reichen Auswahl an Apps sind natürlich auch APIs, SDKs, eine interne Plattform für Mini-Apps und mehr im Angebot. Kurz gesagt, Lovense bietet nicht nur intimes Spielzeug mit Internetverbindung an – es geht um ein vollwertiges Ökosystem.
Benutzeroberfläche der Stream Master-App, die Geräteverwaltung und Videostreaming kombiniert. Quelle
Wer ein Benutzerkonto für die Lovense-Infrastruktur erstellen will, muss eine E-Mail-Adresse angeben. Bei einigen Diensten ist die Registrierung mit Google oder Apple möglich, aber die E-Mail-Adresse ist die primäre Methode zur Registrierung eines Lovense-Accounts. Diese Tatsache mag nebensächlich erscheinen, aber dadurch waren die gefundenen Schwachstellen erst möglich.
Zwei Schwachstellen in Online-Produkten von Lovense
Wie konnte das passieren? Ende Juli 2025 berichtete der Forscher BobDaHacker in seinem Blog ausführlich über zwei Schwachstellen in Lovense-Online-Produkten. Viele der Produkte (einschließlich Lovense Remote) bieten Funktionen für soziale Interaktionen. Nutzer können chatten, Freunde einladen, Anfragen senden und andere Nutzer, darunter auch unbekannte Personen, abonnieren.
Während BobDaHacker die Funktionen für soziale Interaktionen einer der Lovense-Apps ausprobierte, stieß er auf die erste Schwachstelle: Als er die Benachrichtigungen von einem anderen Nutzer deaktivierte, schickte die App eine API-Anfrage an den Lovense-Server. Bei der Untersuchung des Anfragetexts stellte BobDaHacker zu seiner Überraschung fest, dass die Anfrage nicht die ID des Nutzers enthielt, sondern dessen tatsächliche E-Mail-Adresse.
Beim Ausführen einer einfachen Aktion (z. B. wenn Benachrichtigungen deaktiviert wurden) sendete die App eine Anfrage an den Server. Die Anfrage enthielt die echte E-Mail-Adresse eines anderen Nutzers. Quelle
Genauere Untersuchungen der Lovense-API-Architektur ergaben, dass die App für jede Aktion, die einen anderen Nutzer betraf (z. B. das Deaktivieren von Benachrichtigungen), eine Anfrage an den Server schickte. In solchen Anfragen wurde das Konto des Nutzers immer über die echte E-Mail-Adresse identifiziert, unter der dieser registriert war.
Unangenehmer Nebeneffekt: Ein Nutzer konnte seinen eigenen Netzwerkverkehr abfangen und dann auf die echten E-Mail-Adressen anderer App-Nutzer zugreifen. Wie bereits erwähnt, verfügen die Lovense-Apps über Funktionen zur sozialen Interaktion und ermöglichen die Kommunikation mit Webcam-Models. Häufig kennen sich die Nutzer außerhalb der Plattform überhaupt nicht, die Offenlegung der mit Profilen verknüpften E-Mail-Adressen kann jedoch zur Deanonymisierung führen.
BobDaHacker diskutierte seine Entdeckung mit Eva, einer anderen Cybersicherheitsforscherin, und gemeinsam durchleuchteten sie die Lovense Connect-App. Dabei entdeckten sie eine noch schlimmere Sicherheitslücke: Um in der App ein Authentifizierungstoken zu generieren, reichte die E-Mail-Adresse des Nutzers aus – ein Passwort war nicht erforderlich.
Jede technisch versierte Person konnte sich also Zugriff auf das Benutzerkonto eines beliebigen Lovense-Nutzers verschaffen und benötigte dafür nur die E-Mail-Adresse des Nutzers. Und diese E-Mail-Adresse ließ sich relativ einfach über die zuerst genannte Schwachstelle ermitteln.
Um in der Lovense-App ein Authentifizierungstoken zu generieren, war nur die E-Mail des Nutzers erforderlich. Das Passwort wurde nicht abgefragt. Quelle
Diese Token wurden für die Authentifizierung in verschiedenen Produkten innerhalb des Lovense-Ökosystems verwendet. Dazu zählten:
- Lovense Cam-Erweiterung
- Lovense Connect
- Stream Master
- Cam101
Mit dieser Methode gelang den Forschern nicht nur der Zugriff auf normale Benutzerprofile, sondern auch auf Konten mit Administratorrechten.
Wie Lovense auf Berichte über Schwachstellen reagierte
Ende März 2025 meldeten BobDaHacker und Eva die Schwachstellen, die sie in Lovense-Produkten entdeckt hatten, über The Internet Of Dongs Project. Diese Gruppe widmet sich der Erforschung und Verbesserung der Sicherheit von Online-Intimgeräten. Im April 2025 veröffentlichten sie die beiden Schwachstellen auch auf HackerOne, einer etablierten Plattform für Sicherheitsforscher und Belohnungen für erkannte Schwachstellen.
Der Sexspielzeughersteller Lovense nahm den Bericht zur Kenntnis und zahlte BobDaHacker und Eva sogar ein „Kopfgeld“ von insgesamt 4.000 Dollar. Bei Überprüfungen im Mai und im Juni stellten die Forscher jedoch fest, dass die Schwachstellen weiterhin bestanden. Sie nahmen erneut Kontakt mit Lovense auf und erlebten dabei den bizarrsten Teil der Geschichte.
Zunächst teilte Lovense den Forschern mit, dass die Schwachstelle, mit der Konten gestohlen werden konnten, seit April behoben war. Ein erneuter Test zeigte jedoch das Gegenteil: Es war weiterhin möglich, ein Authentifizierungstoken für das Konto eines anderen Nutzers ohne ein Passwort zu generieren.
Noch absurder war die Situation mit der Schwachstelle, über die sich E-Mail-Adressen ermitteln ließen. Das Unternehmen erklärte, es würde 14 Monate dauern, um dieses Problem vollständig zu beheben. Lovense gab zu, dass ein Fix zur Verfügung stand, der innerhalb eines Monats implementiert werden könnte. Das Unternehmen entschied sich jedoch dagegen, um Kompatibilitätsprobleme zu vermeiden und die Unterstützung für ältere App-Versionen aufrechtzuerhalten.
Die Forscher diskutierten noch mehrere Monate mit dem Hersteller. Das Unternehmen behauptete mehrfach, die Schwachstellen seien behoben worden. Und die Forscher zeigten jedes Mal, dass beide Lücken noch da waren – sowohl der mangelhafte Schutz von E-Mail-Adressen als auch der einfache Zugriff auf Benutzerkonten.
Schließlich beschrieb BobDaHacker Ende Juli in einem ausführlichen Blogpost die beiden Schwachstellen und wies auch auf die Untätigkeit von Lovense hin. Zuvor hatte er das Unternehmen über diese Veröffentlichung benachrichtigt. Journalisten von TechCrunch und anderen Medien kontaktierten BobDaHacker und bestätigten, dass es auch Anfang August (vier Monate nach der ersten Benachrichtigung des Unternehmens) immer noch möglich war, die E-Mail-Adresse eines beliebigen Nutzers zu ermitteln.
Und die Geschichte geht aber noch weiter. Die ungeheuerlichsten Details erfuhren BobDaHacker und Eva erst nach der Veröffentlichung ihrer Studie.
Chronologie der Nachlässigkeit: Wann und von wem Lovense gewarnt wurde
BobDaHackers Arbeit sorgte in Medien, Blogs und sozialen Netzwerken für Aufsehen. Nach der Veröffentlichung des Berichts brauchte Lovense nur zwei Tage, um beide Schwachstellen endlich zu patchen – und diesmal offenbar mit Erfolg.
Wie sich jedoch bald herausstellte, hatte die Geschichte schon lange vor dem Bericht von BobDaHacker begonnen. Andere Forscher hatten Lovense bereits seit Jahren vor denselben Schwachstellen gewarnt. Ihre Hinweise waren aber entweder ignoriert oder vertuscht worden. Einige dieser Forscher sprachen mit BobDaHacker und erzählten ihre Geschichten den Medien, die über Bobs Bericht geschrieben hatten.
Wie gleichgültig sich Lovense im Hinblick auf Benutzersicherheit und Privatsphäre verhalten hatte, zeigt ein Blick auf die folgende Zeitleiste:
- 2023: Ein Forscher namens @posttypoo meldete beide Fehler an Lovense und erhielt als Dankeschön zwei Sexspielzeuge geschenkt. Um die Schwachstellen kümmerte sich jedoch niemand.
- Ebenfalls 2023: Die Forscher @Krissy und @SkeletalDemise entdeckten die Schwachstelle, mit der Konten übernommen werden konnten. Lovense behauptete, das Problem sei behoben worden, und zahlte noch im selben Monat eine Belohnung. Als @Krissy später davor warnte, dass die Schwachstelle immer noch bestand, erhielt er keine Antwort.
- 2022: Der Forscher @radiantnmyheart entdeckte und meldete den Fehler, mit dem E-Mail-Adressen ermittelt werden konnten. Seine Warnung wurde ignoriert.
- 2017: Das Unternehmen Pen Test Partners meldete die E-Mail-Schwachstelle und die fehlende Chat-Verschlüsselung in der Lovense Body Chat-App und veröffentlichte eine Studie dazu. Der Bericht wurde ignoriert.
- 2016: The Internet Of Dongs Project identifizierte gleich drei ähnliche Schwachstellen, bei denen es um die Offenlegung von E-Mail-Adressen ging. Kurz und gut: Lovense behauptete, es würde 14 Monate dauern, um die von BobDaHacker gemeldeten Schwachstellen zu schließen. In Wirklichkeit wusste das Unternehmen aber schon seit mindestens acht Jahren davon!
Darüber hinaus meldeten sich bei BobDaHacker nach der Veröffentlichung des Berichts nicht nur ethische Hacker, die diese Fehler bereits gemeldet hatten, sondern auch der Autor und die Besucher einer OSINT-Website, die über den Bericht alles andere als glücklich waren. Sie hatten die Schwachstellen offenbar für eigene Zwecke ausgenutzt – insbesondere, um E-Mail-Adressen von Nutzern abzurufen und zu deanonymisieren. Kein Wunder, schließlich war der Bericht von Pen Test Partners schon seit 2017 öffentlich zugänglich.
Wie schützt du deine Privatsphäre
Lovenses Verhalten in Bezug auf die Privatsphäre und Sicherheit der Nutzer lässt stark zu wünschen übrig – um es milde auszudrücken. Ob die Geräte dieser Marke trotz alledem noch verwendet und insbesondere mit Online-Diensten des Unternehmens verbunden werden sollten, darf jeder Nutzer selbst entscheiden.
Wir geben einige Tipps, wie du dich selbst und deine Privatsphäre schützen kannst, wenn du mit Online-Diensten für Erwachsene interagierst.
- Erstelle unbedingt eine extra E-Mail-Adresse, wenn du dich für diese Art von Diensten registrierst. Der Name dieser Adresse darf keine Informationen enthalten, mit denen du identifiziert werden kannst.
- Verwende diese E-Mail-Adresse nicht für andere Aktivitäten.
- Gib bei der Registrierung nicht deinen echten Vornamen, Nachnamen, dein Alter, Geburtsdatum, deinen Wohnort oder andere Daten an, mit denen man dich identifizieren könnte.
- Lade keine echten Fotos von dir hoch, auf denen du leicht wiedererkannt werden könntest.
- Schütze dein Konto mit einem starken Passwort. Es muss mindestens 16 Zeichen lang sein und Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen enthalten.
- Dieses Passwort muss einmalig sein. Verwende es niemals für andere Dienste, damit deine anderen Konten auch bei Datenlecks sicher sind.
- Verwende einen zuverlässigen Password-Manager, damit du das Passwort und die E-Mail-Adresse nicht vergisst, die du speziell für diesen Dienst erstellt hast. KPM hilft dir auch, ein zufälliges, starkes und einzigartiges Passwort zu generieren.
Wenn du mehr über die Auswahl von Spielzeug für Erwachsene und entsprechenden Diensten erfahren möchtest, empfehlen wir dir spezialisierte Ressourcen wie The Internet Of Dongs Project. Dort findest du Infos über Marken, die dich interessieren könnten.
In den folgenden Artikeln erfährst du, wie du dein Privatleben vor neugierigen Blicken schützen kannst: