Apps auf dem Smartphone

Gelinkt mit den Rechten

Von Michael Spehr
 - 16:42

Das Beispiel ist legendär: Eine Taschenlampen-App für Android wurde 50 Millionen Mal aus Googles Play Store geladen. Erst dann entdeckte eine amerikanische Behörde mehr oder weniger zufällig, dass die beliebte App ihren Nutzern tatsächlich heimleuchtete. Sie schaltete nämlich nicht nur die sonst als Fotoblitz benötigte LED-Leuchte auf der Rückseite des Smartphones ein, sondern sammelte zusätzlich alle nur verfügbaren Daten über Nutzer und Gerät. Diese Daten vom Aufenthaltsort bis zur Seriennummer des Smartphones wurden vom Hersteller der Software gespeichert und an Dritte verkauft.

Das Problem ist mittlerweile weithin bekannt: Apps erscheinen praktisch oder bestenfalls harmlos. Ihr Zweck besteht jedoch nicht unbedingt darin, als nützliche Helfer verkauft zu werden oder unentgeltlich Gutes zu tun. Sie werden vielmehr mit dem Ziel programmiert, Nutzerdaten abzugreifen, um diese vor allem an Werbenetzwerke zu verkaufen. Vor einigen Jahren luden Sicherheitsforscher des Unternehmens Eurecom 2000 Gratis-Apps für Android aus 25 verschiedenen Kategorien im Google Play Store auf Testgeräte. Der Netzwerkverkehr der Apps nach außen wurde abgefangen und analysiert. Demnach steuerten die Programme heimlich insgesamt 250 000 verschiedene Webadressen an und gaben Daten weiter. Der Spitzenreiter war eine Equalizer-App zur akustischen Klangeinstellung, die sich im Hintergrund mit 2000 Servern verband.

Die Voraussetzung für den Datenklau ist stets, es zu können. Die Apps müssen Zugang auf die Fotos, Anruflisten oder den Standort bekommen. Das ist ein legitimes Anliegen, wenn es um seriöse Software geht. Aber wer bestimmt, was Apps dürfen? Die Programmierer der App, der Hersteller des Betriebssystems oder die Nutzer? Was passiert, wenn Apps mehr fordern, als sie brauchen? Bis Android Version 6, das Ende 2015 auf den Markt kam, konnte man den Zugriff auf private Daten nur pauschal zulassen oder ablehnen. Dann wurde allerdings die App in der Regel gar nicht erst installiert. Erst nach massivem Druck übernahm Google mit Android 6 einige Ideen des Berechtigungssystems der Apple-Welt.

Als Hintertürchen lässt Google jedoch weitere Neugier zu

Seither kann der Android-Nutzer diverse Berechtigungen seinen Apps einräumen oder sie ihnen verweigern: für Kalender, Kamera, Kontakte, Sensoren, Mikrofon, SMS, Speicher, Standort und Telefon. Als Hintertürchen lässt Google jedoch weitere Neugier dadurch zu, dass es nicht zustimmungspflichtige Berechtigungen gibt. Darunter: der Abruf von W-Lan-Verbindungen in der Nähe, das Auslesen der W-Lan-Namen (SSID) sowie die Erfassung der Mac-Adresse und der privaten IP-Adresse des jeweiligen Nutzers. Ferner lässt sich der Zugriff auf die Netzwerkverbindungen und das Internet grundsätzlich nicht kappen. Auch die Kontaktaufnahme mit Bluetooth-Geräten, das Aussetzen der Bildschirmsperre, der Autostart und viele weitere Dinge hält Google für so unproblematisch, dass die Apps nach eigenem Gusto schalten und walten können. Wie in der vergangenen Woche ans Licht kam: Google nimmt sich sodann das Recht heraus, Standortdaten aller Android-Geräte zu erfassen, selbst wenn der Nutzer die Standortdienste ausgeschaltet hat. So entstehen minutiöse Bewegungsprofile. Wer sich wann wohin bewegt und wo er sich am liebsten aufhält, das ist metergenau nachvollziehbar.

Ein Original-Android versteckt die Berechtigungen in den Details der jeweiligen App. Übersichtlicher und transparenter stellt ein Smartphone-Hersteller wie Huawei die Forderungen der einzelnen Apps in einem eigenen Berechtigungsmenü dar. Auf einen Blick erkennt man, welche Anwendungen auf den Standort zugreifen wollen – und welchen man den Zugriff gewährt hat. Eine Liste der App-Rechte ist unter Android stets in der Datei „AndroidManifest.xml“ angelegt. Bis Android 5.1 wurde diese Liste dem Nutzer nur während der Installation angezeigt, seit Android 6 erscheint die Anzeige nicht mehr im Laufe der Installation, sondern erst, wenn die Berechtigungen tatsächlich von der App erfragt werden.

Heimlich weitere Berechtigungen verschaffen

Ein weiteres Hintertürchen für neugierige Dienste hatte Google mit der Einführung von Berechtigungsgruppen geöffnet. Einmal installierte Apps konnten sich ungefragt und heimlich weitere Berechtigungen verschaffen, wenn der Nutzer seine Apps aus dem Google Play Store automatisch aktualisierte. Hatte man das Empfangen von SMS erlaubt, holte sich die Software mit diesem Trick zusätzlich das Recht zum Senden von Kurznachrichten. Erst seit Android 6 muss man neu hinzugekommene Rechte bestätigen.

Für Apples iOS-Betriebssystem gibt es ein ausgeklügeltes und umfassenderes Berechtigungssystem schon seit 2012 und iOS 6. Im aktuellen iOS 11 sieht man im Menü Datenschutz der Einstellungen alle Anfragen und Genehmigungen, und im Menü der jeweiligen App noch einmal. Das System ist weitaus differenzierter als Googles, etwa mit der Option, den eigenen Standort nur beim Verwenden der App mitzuteilen, aber nicht später oder im Hintergrund. So kann eine Foto-App allein den Aufnahmeort eines Bildes erfassen, aber keine Bewegungsmuster jenseits ihrer aktiven Nutzung. Für jede einzelne App kann man in iOS Tätigkeiten im Hintergrund deaktivieren und die Nutzung der Mobilfunknetze unterbinden. Apps müssen zudem erklären, warum sie diesen oder jenen Zugriff wünschen.

Diese Bequemlichkeit ist fahrlässiger Leichtsinn

Es lohnt sich also, jede einzelne Berechtigung jeder einzelnen App in Augenschein zu nehmen und nicht alles abzunicken, was einem gezeigt wird. Diese Bequemlichkeit ist fahrlässiger Leichtsinn. Datenschützer monieren, dass Apps die Nutzer nur unzureichend informieren, welche persönlichen Daten erfasst und wie diese weiterverwendet werden. Immer mehr Apps verlangen schon bei der Installation Zugriff auf Funktionen, über die private Kommunikation erfolgt, darunter das Adressbuch.

Fast alle Apps sammeln mehr Daten, als für deren Funktionalität erforderlich ist. Als Nintendo 2016 die erste Version seines Spiels Pokemon Go fürs Smartphone veröffentlichte, stellten Sicherheitsforscher fest, dass sich das Spiel den Vollzugriff auf die Google-Konten der Nutzer erlaubte. Das bedeutete nicht nur den Zugriff auf notwendige Funktionen wie den Standort und die Kamera, sondern auch auf die E-Mails der Nutzer, alle Inhalte auf Google Drive und mehr. Nach der Veröffentlichung des Sachverhalts sprach Nintendo von einem „Fehler“ und stellte eine weniger neugierige Version bereit.

Was hier ein Fall von Schludrigkeit gewesen sein mag, ist bei anderer Gelegenheit nachweislich böse Absicht: Der Datenklau mit Apps und freigebig erteilten Berechtigungen lässt sich in Googles Android-Welt des Öfteren beobachten. Zum Beispiel seit Oktober mit einer App, die vorgibt, man könne mit ihr Produkttester für die Drogeriekette Dm werden. Es gibt zwar eine Produkttester-Seite von Dm im Internet, aber keine App. Diese wurde von Betrügern entlang der echten Internetseite gebaut, selbst das Impressum verlinkt auf die Originalseite der Drogerie. Die betrügerische App sichert sich alle Daten der vermeintlichen Dm-Kunden, empfängt Bestätigungs-SMS – und Betrüger nutzen die Daten für Online-Einkäufe im Namen der Opfer.

Die sichere Ende-zu-Ende-Verschlüsselung von Whatsapp kann mit betrügerischen Android-Apps und ihren Berechtigungen zwar nicht ausgehebelt werden. Aber jenseits der Nachrichten lassen sich die Mediendaten abgreifen. Android speichert die von Whatsapp empfangenen Bilder, Sprachnachrichten, Dokumente und Videos unverschlüsselt und ungeschützt. Der Fehler ist Google anzulasten, mit einem iPhone gelingt dieser Datenklau nicht.

Die Liste des Rechtemissbrauchs lässt sich bis ins Abstruse hin verlängern. Man werfe den Blick auf die Zugriffsrechte für das Mikrofon. Eigentlich ist schnell klar: Es wird benötigt für alle Anwendungen rund um die Sprachtelefonie und die Sprachsuche. Sodann für Software, die Tonaufnahmen erstellt, wie etwa Diktiergeräte oder Musikrekorder. Dagegen ist nichts zu sagen. Wer nun beim Missbrauch des Mikrofon-Zugriffs an eine Mithörwanze denkt, liegt nicht ganz falsch. Tatsächlich wird in dem Spionage-Krimi, den Sicherheitsforscher der Technischen Universität Braunschweig im Mai aufdeckten, Unhörbares ständig mitgehört: Die Wissenschaftler stießen auf mehr als 200 Android-Apps für ein Ultraschall-Tracking. Dazu werden Werbespots im Fernsehen oder Radio mit vom menschlichen Ohr nicht wahrnehmbaren Ultraschallsignalen überlagert. Das Smartphone hört mit und kann identifizieren, welche Werbung welche Person erreicht. Dieses Verfahren heißt Silverpush; die infizierten Apps laufen heimlich auf Millionen Geräten. Ähnliche Techniken namens Shopkick oder LISNR werden auf Veranstaltungen und in Geschäften eingesetzt, um mit Audio-Beacons gezielt Gutscheine und Rabattcodes anzubieten.

Verstöße gegen das deutsche Datenschutzrecht

Das alles sind Verstöße gegen das deutsche Datenschutzrecht. Der Nutzer muss freiwillig und informiert solchen Verfahren aktiv zustimmen. Wenn Facebook mit schöner Regelmäßigkeit den in seinem App-Zentrum versammelten Anwendungen und Spielen unversehens den Zugriff auf private Daten gibt, ist das ebenfalls rechtswidrig, wie zuletzt das Kammergericht Berlin Anfang November urteilte.

Gleichermaßen gilt bei Windows 10 von Microsoft: Man gewährt unversehens, ohne ausreichend informiert zu werden, vielen Apps den Zugriff auf Standort, Kamera, Mikrofon und mehr. Klickt man auf die von Microsoft empfohlenen Einstellungen, genehmigt man dem Softwaregiganten weitgehende Rechte, was die Verbraucherzentralen wiederholt und scharf kritisiert haben. Das Rechtesystem der Apps und Betriebssysteme verlangt deutlich mehr Aufmerksamkeit. Es sind vor allem Google und die Werbeindustrie, die mit ihrem Datenhunger den Bogen überspannt haben. Der erste Schritt gegen die Neugier der Netzgiganten ist die Prüfung des eigenen Smartphones und jeder einzelnen App.

Quelle: F.A.S.
Autorenporträt / Spehr, Michael (misp.)
Michael Spehr
Redakteur im Ressort „Technik und Motor“.
FacebookTwitterGoogle+
  Zur Startseite
Ähnliche ThemenGoogleNintendoSmartphoneW-Lan