Sicherheitslücke bei Android-Handys: Zugriff auf wichtige Nutzerdaten

Das Betriebssystem Android schützt Daten nur unzureichend. Wer mit dem Android-Smartphone offene WLAN-Netze nutzt, gibt Angreifern die Chance zum Mitlesen, Ändern und Löschen. Dies offenbarten Informatiker der Uni Ulm. test.de gibt Tipps, wie Sie Ihr Smartphone sichern.

Offene WLAN-Netzwerke

Grundsätzlich kann jeder beliebige Nutzer eines offenen WLAN-Netzwerks die übertragenen Daten der übrigen eingeloggten Nutzer mitlesen. Etwa in einem Café, einem Hotel oder am Flughafen. Das funktioniert mit Smartphones wie Android oder iPhones genauso wie mit Notebooks. Solange die Verbindung nicht verschlüsselt ist. Android-Handys übertragen jedoch auch bestimmte Anmeldedaten unverschlüsselt. Wenn sich ein Nutzer mit seinem Android-Smartphone in ein offenes WLAN-Netzwerk einbucht, können andere Personen diese Daten mitlesen. Denn für die Anmeldung verschickt das Smartphone nicht jedes Mal Benutzername und Passwort. Stattdessen nutzen die Google-Dienste sogenannte Tokens, eine Art Ersatzschlüssel zum Zugriff auf die Nutzerdaten. Die Tokens sind bis zu 14 Tage gültig.

Unbemerkter Zugriff

Fängt ein Angreifer diesen Schlüssel ab, erhält er damit vollen Zugriff auf Kalender, Kontakte oder Fotos des Smartphone-Nutzers. Damit kann er die Daten nicht nur lesen, sondern auch löschen und verändern. Der Nutzer merkt das nicht. So lassen sich auch private oder geschäftliche E-Mails abfangen: Einfach die E-Mail-Adresse eines Kontaktes ändern und schon landen alle für diesen Kontakt bestimmten E-Mails an der falschen Adresse. Unbedenklich sind nur sichere Verbindungen – wie etwa beim Onlinebanking.

WLAN-Liste löschen

In der neuesten Android-Version (3.1) ist die Sicherheitslücke teilweise geschlossen. Wer kann, sollte ein Update durchführen. Doch fast alle Besitzer von Android-Handys nutzen ältere Versionen. Die lassen sich nicht so einfach aktualisieren. In diesem Fall sollten Android-Nutzer das automatische Synchronisieren deaktivieren, wenn sie offene WLAN-Netze nutzen. Zudem sollten sie offene Netzwerke immer aus ihrer WLAN-Liste löschen – dann bucht sich das Handy dort nicht mehr automatisch ein.

[Update 19.05.2011]

Google hat die Sicherheitslücke inzwischen geschlossen. Ein Google-Sprecher erklärte, Besitzer von Android-Handys müssten nichts unternehmen. Die Fehlerbehebung bedarf keiner aktiven Handlung durch die Nutzer. Sie wird in den nächsten Tagen global ausgeführt.

Hoher krimineller Aufwand

Grundsätzlich sind Smartphones genauso durch Viren oder Angriffe gefährdet wie Computer. Bislang gibt es allerdings kaum Schadprogramme für Smartphones. Ein Grund dürfte sein, dass es noch Millionen ungeschützter Computer gibt. Die Online-Kriminellen fischen lieber erst dort, bevor sie sich aufwändig anderweitig orientieren. Für Angriffe auf Smartphones müssten sie sich auf eine Vielzahl unterschiedlicher Plattformen einstellen: das iPhone-System iOS, Android von Google oder Windows Phone 7 von Microsoft. Das erhöht den Aufwand für Virenprogrammierer – sie müssten ihre Schadprogramme an alle Systeme anpassen. Trotzdem ist schädliche Software für Smartphones bereits aufgetaucht.

Gut geschützt

Bisher gibt es hierzulande nur wenige Anti-Viren-Programme und Firewalls für Smartphones. Denn Smartphones sind recht gut gegen Angriffe geschützt. Anders als PCs entscheiden die Geräte selbst, welche Anwendungen auf ihnen laufen. Apples iPhone zum Beispiel lässt nur geprüfte Apps aus dem hauseigenen App Store zu. Bisher haben es nur wenige Schadprogramme durch diese Sicherheitsschleuse geschafft. Smartphones mit dem Betriebssystem Android erlauben zwar auch Anwendungen, die nicht aus dem Android Market stammen. Für sie kann jeder selbst geschriebene Programme anbieten. Doch Nutzer kommentieren und bewerten diese. Bei mehreren schlechten Bewertungen prüft Google die Anwendung und entfernt sie wenn nötig. Wenn sich eine App als schadhaft herausstellt, verschwindet sie nicht nur aus dem Android Market sondern ferngesteuert von allen Android Geräten. Tipp: Bei der Installation geben Apps an, welche Rechte sie erfordern. Verlangt ein Spiel Zugriff auf SMS oder GPS, sollten Sie stutzig werden.

Verlust viel wahrscheinlicher

Die Gefahr eines Diebstahls oder Verlustes ist deutlich höher als die Gefahr durch Viren. Rund zwei Prozent der Smartphone-Nutzer verlieren ihr Gerät. Wer sensible Daten, Passwörter oder Zugangscodes zu Firmennetzwerken auf dem Smartphone hat, sollte diese schützen.

Tipps

• Übertragen Sie in offenen WLAN-Netzwerken keine sensiblen Daten.
• Surfen Sie in offenen WLAN-Netzen keine Websites mit Passwortabfrage an. Achten Sie auf SSL-Verschlüsselung. Diese verschlüsselt die Daten im Netzwerk.
• Deaktivieren Sie die automatische Synchronisation ihres Kalenders und der Emails in diesen Netzwerken.
• Sperren Sie Ihr Smartphone mit Passwort oder Pin.
• Synchronisieren Sie wichtige Daten regelmäßig mit dem Computer.
• Installieren Sie eine Ortungssoftware auf dem Smartphone. Zum Beispiel die Anwendung Find My iPhone zeigt den Aufenthaltsort des Geräts und löscht auf Befehl auch ferngesteuert alle Daten. Für Android-Nutzer heißt die Anwendung Lost Phone.
• Benutzen Sie Ihren Verstand, bevor Sie Ihre Passwörter auf unbekannten Webseiten eingeben. Denn vor Einladungen für Phishing-Attacken sind auch Smartphones nicht geschützt.