Lenovo ThinkPlus USB-Sticks: Kritische Sicherheitsmängel, fehlende Verschlüsselung und Risiken bei Drittanbieter-Software

Der Verdacht, dass Hardware-Verschlüsselung immer gleichbedeutend mit sicherer Datenaufbewahrung ist, wurde durch mehrere aktuelle Untersuchungen erschüttert. Besonders im Fokus stehen Lenovos ThinkPlus-Speichermedien, bei denen Fingerabdrucksensoren und die angekündigte AES-256-Verschlüsselung in der Praxis kaum mehr als Marketingversprechen darstellen. Beim physischen Verlust der Geräte können Daten im Klartext ausgelesen werden - ein Szenario, das sowohl private Nutzer als auch Unternehmen vor erhebliche Risiken stellt.

Offizielles Lenovo Security Advisory LEN-210545 und betroffene Modellpalette

Lenovo hat die entdeckten Schwachstellen im Sicherheitsbulletin LEN-210545 am 13. Januar 2026 veröffentlicht. Das Advisory umfasst vier Produktreihen:

• ThinkPlus FU100
• ThinkPlus FU200
• ThinkPlus TU800
• externe SSD TSD303

Die Mängel sind in drei CVE-Einträgen dokumentiert:

• CVE-2025-13453 - direkter Lesezugriff bei physischem Besitz des Geräts.
• CVE-2025-13454 - Auslesen sensibler Geräteinformationen über die Software.
• CVE-2025-13455 - Umgehung der Geräteauthentifizierung (CVSS-Score 7.8, Einstufung High ).

Damit liegen laut Lenovo vier Modellreihen und drei hochkritische CVEs vor, die die gesamte ThinkPlus-Produktfamilie betreffen.

Wie funktionieren die Schwachstellen im ThinkPlus FU100?

Der ThinkPlus FU100 wird als "AES-256-verschlüsselter" USB-Stick mit Fingerabdrucksensor beworben. Die Analyse von Xusheng Li (Vector 35) zeigte jedoch, dass:

• Im Inneren des Gehäuses eine handelsübliche micro-SD-Karte verbaut ist, die keinerlei Verschlüsselung verwendet.
• Der Fingerabdrucksensor ausschließlich als elektronischer Schalter dient: Nach erfolgreicher Erkennung wird die USB-Schnittstelle aktiviert, die Daten aber bleiben unverschlüsselt auf der SD-Karte.
• Ein Angreifer das Gehäuse öffnen kann, die SD-Karte herausnehmen und sämtliche Daten im Klartext auslesen.

Die offizielle Gegenmaßnahme ist kein Firmware-Patch, der vom Nutzer selbst installiert werden kann. Stattdessen verlangt Lenovo das Einsenden des betroffenen Geräts an eine chinesische Servicenummer oder einen Vor-Ort-Service, um das Laufwerk im Werk zu flashen oder zu ersetzen.

Mühsames Sicherheitsupdate

Nach der ersten Meldung am 2. August 2025 reagierte Lenovo zunächst mit einer provisorischen Lösung: Die interne SD-Karte wurde mit Epoxidharz überklebt, um das physische Herausnehmen zu erschweren. Anfang 2026 folgte ein offizielles Firmware-Update, das neben der fehlenden Verschlüsselung auch die Schwachstelle in der Konfigurationssoftware schloss, durch die lokal angemeldete Nutzer die Authentifizierung umgehen konnten. Trotz dieses Updates bleibt das Verfahren zum Patchen umständlich, da ein Selbst-Download nicht bereitgestellt wird.

Weitere Lenovo-Geräte mit kritischen Lücken - externe SSD TSD303

Die Analyse erstreckte sich auch auf die externe SSD ThinkPlus TSD303. Zwar speichert die SSD die Daten verschlüsselt, jedoch gibt es einen gravierenden Konzeptfehler: Das Passwort wird über die USB-Schnittstelle im Klartext an den Host-Computer übertragen. Ein Angreifer kann den Datenverkehr passiv mitlesen und so das Passwort erlangen.

Das Software-Development-Kit, das der TSD303 zugrunde liegt, wird in mindestens neun weiteren Produkten von Drittanbietern verwendet - alle mit demselben Risiko, das Passwort ungeschützt zu übertragen.

Analyse von Drittanbieter-Software - KI-gestützte Entdeckungen

Um zu prüfen, ob das Problem ein generelles Phänomen in der Branche darstellt, nutzte Li das OpenAI-Werkzeug Codex. Die KI-unterstützte Code-Analyse brachte weitere alarmierende Befunde:

• Netac: Ein fest kodierter AES-256-Schlüssel wurde in nur 7 Minuten gefunden.
• SecZure: Zwei herstellerseitig integrierte Backdoor-Konten mit triviale Passwörtern wurden entdeckt.
• Nexcopy - Copy Secure: Die Umgehung der Kopierschutz-Mechanismen dauerte 10 Minuten.
• KakaSoft - USB Copy Protection: Der komplette Entschlüsselungsprozess benötigte 26 Minuten.

Diese Ergebnisse verdeutlichen, dass die Schwachstellen nicht auf Lenovo beschränkt sind, sondern ein systematisches Problem bei vielen USB-Sicherheits-Sticks darstellen.

Risiken für Nutzer und Unternehmen

Die Kombination aus fehlender echter Verschlüsselung, unsicheren Firmware-Updates und mangelhaften Software-Implementierungen birgt mehrere konkrete Gefahren:

• Datenexfiltration bei Verlust oder Diebstahl: Unverschlüsselte Daten können ohne weiteres ausgelesen werden.
• Datenschutzrisiko beim Einsenden: Lenovos Patch-Prozess verlangt das Einschicken des Geräts nach China, wodurch vertrauliche Informationen ungewollt an Dritte gelangen können.
• Fehlannahme von Biometrie als Kryptografie: Der Fingerabdrucksensor ersetzt keine kryptografisch sichere Schlüsselerzeugung; er dient nur als Zugangskontrolle.

Häufig gestellte Fragen (FAQ)

Welche Lenovo-Laufwerke sind neben dem ThinkPlus FU100 noch betroffen?Laut Lenovo Security Advisory LEN-210545 sind die Modelle ThinkPlus FU200, ThinkPlus TU800 und die externe SSD ThinkPlus TSD303 ebenfalls von den Schwachstellen betroffen.Unter welchen Kennungen werden die Schwachstellen offiziell geführt?Die Mängel wurden unter den CVE-Nummern CVE-2025-13453, CVE-2025-13454 und CVE-2025-13455 registriert.Können Nutzer das Lenovo-Firmware-Update selbst herunterladen und installieren?Nein. Ein Selbst-Bedienungs-Download existiert nicht. Betroffene müssen die chinesische Hotline kontaktieren, um das Gerät vor Ort flashen zu lassen oder es einzusenden.

Fazit

Die jüngsten Untersuchungen zeigen eindeutig, dass die beworbene "AES-256-Verschlüsselung" bei Lenovos ThinkPlus-Speichermedien in der Praxis nicht existiert. Der Fingerabdrucksensor fungiert lediglich als Schalter, die Daten liegen unverschlüsselt auf einer einfachen SD-Karte und können bei physischem Zugriff leicht ausgelesen werden. Das offizielle Sicherheitsupdate ist umständlich und birgt zusätzliche Datenschutzrisiken, weil Geräte nach China geschickt werden müssen.

Zusätzlich hat die KI-gestützte Analyse von Drittanbieter-Software vergleichbare Probleme offengelegt - von fest kodierten Schlüsseln bis zu Backdoor-Konten. Unternehmen und Privatnutzer sollten daher kritischer hinterfragen, ob hardwarebasierte "Verschlüsselungs-Sticks" tatsächlich den gewünschten Schutz bieten, und stattdessen auf etablierte, kryptografisch geprüfte Lösungen zurückgreifen.