HANDYSICHERHEIT SO SCHÜTZEN SIE SICH VOR MALWARE

HANDY­SICHERHEIT ­ SO SCHÜTZEN SIE SICH VOR MALWARE & DATENLECKS
Unkenrufe über die bedrohte Sicherheit von Handys sind nicht neu. Schon lange bevor die ersten
Touchscreen­Smartphones auftauchten, machten Meldungen über Handy­Viren und ­Trojaner
die Runde. Diese waren zumeist für Handys mit den Betriebssystemen Symbian und Windows
Phone konzipiert. Schadsoftware wie “Cabir” oder “Skulls” gab sich als legitime Anwendung aus,
um dann das Handy zeitweise bestimmter Funktionen zu berauben. Weite Verbreitung fand sie
jedoch nie, unter anderem weil viele Nutzer kaum zusätzliche Applikationen auf dem Handy
installierten. Zudem erschienen Attacken auf PCs lange Zeit für Angreifer attraktiver.
Heutzutage sind Smartphones jedoch mehr denn je Mini­Computer im Hosentaschenformat und
tragen dazu häufig eine Vielzahl von kostbaren persönlichen Daten in sich, die von Dritten für
Spam und Betrug missbraucht werden können. Zudem besitzen viele Smartphones eine nahezu
ständige Online­Verbindung zum Internet. In Panik verfallen sollte aber niemand, denn viele der
Berichte von Viren­Sichtungen in den Appstores stammen von Herstellern von
Antiviren­Software. Diese haben ein offensichtliches Interesse daran, die Malware­Gefahr
möglichst groß darzustellen. Wir geben Ihnen einen Überblick über das Themengebiet und
stellen Ihnen mögliche Bedrohungen von Handys vor. Dazu geben wir Tipps, wie Sie sich davor
schützen können.
Eine ganz grundsätzliche Maßnahme zum Schutz der Privatsphäre für jeden Handy­Besitzer ist
das Einrichten der Tasten­ oder Displaysperre mit einer PIN. So kann niemand unerwünscht im
laufenden Betrieb auf die Daten des Handys zugreifen kann und so in unbeobachteten
Momenten SMS lesen, Telefonnummern kopieren oder teure Telefonate führen. Auch die PIN für
die SIM­Karte sollte der Nutzer nicht deaktivieren. Wer auf Smartphones ein als Schutz ein
Muster einrichtet, sollte bedenken, dass schon auf einem leicht verschmutzten Display Spuren
des Musters übrigbleiben können.
Wer sein Mobiltelefon verloren hat oder wem es gestohlen wurde,
sollte die SIM­Karte vom Mobilfunkanbieter sperren lassen, um zu
vermeiden, dass jemand anderes auf seine Kosten telefoniert. Vor
einer langen Reise sollten Sie unbedingt die aktuelle Rufnummer der
Sperr­Hotline in Erfahrung bringen. Ausgenommen sind hier
Smartphone­Besitzer, die eine Ortungsfunktion zum Wiederfinden
des Geräts nutzen wollen.
Damit das Handy seinen Standort mitteilen kann, benötigt es
üblicherweise eine aktive Datenverbindung. Dann muss aber das
Smartphone und die SIM­Karte mit einem sicheren Code zu sperren
sein. Darüber hinaus sollte der Handy­Besitzer WLan oder
Bluetooth nach Möglichkeit deaktivieren, wenn er sie nicht benötigt.
Das hat den angenehmen Nebeneffekt, dass auch der Telefonakku
länger durchhält. Wer Wert auf Sicherheit legt, sollte das Surfen über unverschlüsselte
öffentliche WLAN­Netze vermeiden. In diesen könnte jeder in Reichweite prinzipiell die gesamte
Kommunikation "mithören".
Bei iOS und Windows Phone sind Dienste für Lokalisierung und Fernzugriff vorinstalliert.
Android­Nutzer können einen Device­Manager nachträglich aktivieren. So kann der Nutzer im
Notfall bei Handy­Verlust oder Diebstahl aus der Ferne Daten löschen, die nicht in fremde Hände
geraten sollen. Die Dienste für den Fernzugriff muss der Handy­Besitzer allerdings vor dem
Handy­Verlust aktiviert haben. Dazu benötigt er beim iPhone ein iCloud­Konto und bei Windows
Phone eine Live­ID. Nutzer von Android­Smartphones finden zum gleichen Zweck außerdem
zahlreiche Apps bei Google Play, zum Beispiel Lookout Plan B oder Android Lost. Sie lassen
sich zum Teil auch im Nachhinein per Push­Verfahren auf dem Android­Handy installieren. Dazu
ist es allerdings notwendig, dass das abhandengekommene Gerät eingeschaltet ist und über
eine Internetverbindung verfügt.
Einige Smartphone­Anwendungen brauchen zwingend den Zugriff auf Nutzerdaten, um ihren
eigentlichen Zweck zu erfüllen. So können Standort­bezogene Dienste nur funktionieren, wenn
der Aufenthaltsort des Nutzers per GPS oder Auswertung der Mobilfunk­Zelle erfasst wird.
Verspricht eine App Freunde vorzuschlagen, die einen Dienst bereits nutzen, wird diese
Information höchstwahrscheinlich über die Auswertung von Adressbüchern ermittelt.
Unterschiede gibt es jedoch trotzdem zwischen verschiedenen Apps mit ähnlichen Zwecken.
Und zwar einerseits im Umfang der Daten, die ein Dienst abfragt und andererseits darin, wie er
mit diesen umgeht. Das betrifft sowohl die Auswertung der Daten, zum Beispiel für
Marketing­Zwecke, als auch Datenschutz und Datensicherheit ­ also in welcher Form die Daten
übertragen und gespeichert werden.
Ein Negativ­Beispiel, das für Aufruhr gesorgt hat, war etwa das soziale Foto­Netzwerk Path für
das iPhone. Im Februar 2012 wurde bekannt, dass die Path­App ohne Nachfrage an den Nutzer
das gesamte Adressbuch auf die eigenen Server hochlud. Apple reagierte darauf mit
Restriktionen für den Zugriff auf die persönlichen Kontakte. Gerade bei Anwendungen für Social
Media und Location­based Services besteht jedoch nach wie vor das Risiko, dass auch seriöse
Unternehmen einen ungesunden Datenhunger bei ihren Apps an den Tag legen. Ein Programm,
das vom Nutzer unerwünschte Funktionen ausführt und das auch noch heimlich ­ das klingt
verdächtig nach Malware. Tatsächlich befinden sich viele soziale Apps beim Umgang mit
persönlichen Gründen auf einem schmalen Grat.
Im Zweifelsfall können sich die Software­Hersteller jedoch meist darauf zurückziehen, dass der
Nutzer während des Installationsprozesse irgendwann der Übertragung, Speicherung und
Auswertung seiner Daten zugestimmt hat ­ auch wenn dies so dezent angezeigt wurde, dass
sich der Nutzer selbst gar nicht mehr daran erinnern kann oder in den AGB die entsprechenden
Passagen gar nicht wahrgenommen hat. Neben dem allzu lässigen Umgang von eigentlich
seriösen Apps und Online­Diensten gibt es aber auch Programme, die ganz offensichtlich
bösartige Absichten haben. Immer mehr dieser Malware­Apps gelangen in Appstores wie Google
Play. Aber auch Apples Appstore ist zuweilen davon betroffen, obwohl die Kalifornier einen
aufwändigen und häufig für seine Rigorosität gerüffelten Prüfprozess durchführen. Google ist
weniger restriktiv; so will Google Software­Entwicklern möglichst freie Hand bei Konzeption und
Vertrieb ihrer Apps lassen. Das führt allerdings auch dazu, dass in Google Play bereits deutlich
mehr Malware aufgetaucht ist als im Apple Appstore. Google reagierte auf die Malware­Funde
und führte einen automatischen App­Scanner namens "Bouncer" (engl. für "Türsteher") ein.
Ein weiterer möglicher Weg, eine schädliche App auf sein Smartphone zu bringen, sind
sogenannte In­App­Downloads. Gerade in kostenlosen Apps werden häufig weitere Apps des
gleichen Entwicklers zum Kauf oder kostenlosen Download angeboten. Dies können zum
Beispiel ein weiteres Spiel oder zusätzliche Level zum aktuellen Spiel sein. Die ursprünglich im
Appstore geladene App enthält keine Schadfunktionen und passiert daher die Kontrollen im
Appstore ohne Probleme. Mit dem In­App­Download holt sich der Nutzer dann jedoch Malware
auf das Smartphone, die Premium­SMS versendet oder persönliche Daten sammelt und an die
Server des Angreifers verschickt. Im Play Store tauchen zuweilen gefälschte Apps auf, die
vorgeben, eine bekannte App zu sein, in Wahrheit aber ein Transport­Vehikel für Malware sind.
Zu erkennen sind solche Apps oft an geringen Download­Zahlen. Wer die App installiert und
startet muss oft feststellen, dass die App abstürzt. Dann ist das Werk aber meist schon
vollbracht, denn im Hintergrund werden bereits Premium­SMS verschickt.
Smartphone­Nutzer sollten daher auch darauf achten, nach welchen Berechtigungen eine App
bei der Installation fragt. Auch wenn das Handy per Icon eine aktive GPS­Verbindung oder eine
Datenübertragung anzeigt, obwohl der Nutzer keine App geöffnet hat, welche diese Dienste für
ihre Funktion benötigt, sollte er misstrauisch werden.
Installieren Sie Apps nur aus vertrauenswürdigen Quellen. Damit ist nicht nur der Appstore
selbst gemeint, sondern auch der Software­Hersteller. Hier sollten Sie auf bekannte, seriöse
Hersteller setzen. Kommt Ihnen ein Herstellername unbekannt vor, setzen Sie auf Apps mit einer
hohen Anzahl an Downloads und guten Bewertungen. Hierbei sollten Sie nicht nur Kommentare
im Appstore selbst anschauen, sondern auch per Suchmaschine in Online­Foren oder nach
Ratgeber­Artikeln stöbern, um sich ein Bild vom Leumund der App zu machen. Informationen
über unseriöse Apps verbreiten sich zumeist rasch im Web. Im Zweifelsfall verzichten Sie lieber
auf die Installation, wenn Sie unsicher sind.
Tendenziell ist das Risiko für Android­Nutzer größer, auf schädliche Apps zu treffen. Während
sich Software für iOS und Windows Phone (ohne Jail Break oder ähnliches) nur durch die
eigenen Appstores von Apple und Microsoft installieren lässt, kann der Smartphone­Besitzer mit
Android auch alternative Appstores statt Google Play nutzen. Zudem müssen Apps im Apple
Appstore und Windows Phone Marketplace einen umfangreicheren Prüfprozess überstehen,
bevor sie veröffentlicht werden. Google hingegen lässt Software­Entwicklern eher freie Hand,
auch wenn jede App mittlerweile den "Bouncer" passieren muss, bevor sie in den Play­Store
darf.