News vom 19.04.2018

App-Module als Sicherheitsrisiko

Ein Artikel von , veröffentlicht am 19.04.2018

Wenn Apps Nutzerdaten unsicher verschicken, geht das oft nicht auf eine bewusste Entscheidung der App-Entwickler zurück. Stattdessen gelangen Sicherheitslücken über externe Module in die Anwendung. Das IT-Sicherheitsunternehmen Kaspersky hat das Phänomen bei Android-Apps untersucht.

Das IT-Sicherheitsunternehmen Kaspersky hat den Datenverkehr von 13 Millionen Android-Anwendungen analysiert. Das Ergebnis: Etwa ein Drittel der getesteten Apps übertragen Daten über unsichere Verbindungen auf Basis des veralteten HTTP-Protokolls.

HTTPS schützt die Datenübertragung

Das Protokoll HTTPS verschlüsselt den Datenverkehr von Apps wie auch von Webseiten. Das ist besonders dann wichtig, wenn die Angebote Informationen übermitteln, mit denen sich Nutzer identifizieren oder charakterisieren lassen. Das gilt etwa für technische Daten wie die eindeutige IMEI-Nummer oder die Android-ID und für sehr private Informationen wie das Geschlecht, das Alter oder den Standort von Nutzern. Bei einer HTTPS-Übertragung können unbefugte Dritte den Datenverkehr nicht so leicht einsehen oder gar manipulieren.

Wie die Verschlüsselung von Datenverkehr funktioniert, erläutern wir im Beitrag TLS/SSL: Fragen und Antworten.

Das Problem: Auch Anwendungen, die den Datenverkehr grundsätzlich per HTTPS verschlüsseln, verschicken immer wieder auch unverschlüsselt Daten über das unsichere HTTP-Protokoll.

Manchmal geht das auf Fehler der App-Entwickler zurück, oft aber auf externe Module. Gemeint sind damit fertige Software-Bausteine, auch SDKs (Software Development Kits) genannt, die von zum Beispiel von Analyse- oder Werbedienstleistern bereitgestellt werden. Entwickler bauen diese fertigen Module in ihre App ein, um verschiedene Funktionen zu nutzen, die für Apps praktisch sind: das Auswerten automatisierter Fehlermeldungen, die Analyse von Nutzeraktivitäten oder die Anbindung an ein Werbenetzwerk.

Werbenetzwerk-Module beispielsweise sammeln Nutzerdaten in der App und übermitteln sie an die Datenbanken der Werbenetzwerke. Diese werten sie aus und spielen passende personalisierte Werbung auf die Geräte der App-Nutzer.

In einem Mobilsicher-Hintergrundtext erklären wir, was SDK-Module sind und welche Typen es gibt: App-Tracking: Was sind Module in Android-Apps?

Entwickler greifen gern auf solche SDKs zurück. Bei einer älteren Analyse von Dating-Apps zählte Kaspersky durchschnittlich mindestens 40 eingebaute Module pro App.

Alte Bekannte

In der aktuellen Modul-Studie beobachtete Kaspersky bei jeder vierten der 13 Millionen analysierten Android-Apps unsicheren Datenverkehr. Die Auswertung verrät nicht, in welchen Apps diese Module beobachtet wurden. Es heißt aber, dass auch Apps mit mehr als 100 Millionen Downloads betroffen sind.

Es gibt jedoch eine Liste mit Webadressen, zu denen die analysierten Apps besonders häufig unsichere Verbindungen aufgebaut haben. Die Domains gehören zu Werbenetzwerken oder zu Analysediensten:

  • MoPub.com
  • Rayjump.com
  • Appsgeyser
  • Nexage.com
  • Quantumgraph.com

Einige der Module begegnen uns regelmäßig auch in unseren App-Tests. Das Modul von MoPub beispielsweise fanden wir in den Tests von Loovo, MyFitnessPal, Wetter.com und Shazam. Rayjump fanden wir in unserem App-Test zu Clean Master.

Unsichere Verbindungen in sicheren Apps

Das Problem, zu dem Kaspersky Zahlen vorgelegt hat, ist bekannt. Die Entwicklung von Apps ist komplex, und die ausführenden Entwickler stehen unter großen Zeit- und Kostendruck. Deswegen entscheiden sich Unternehmen oft dafür, Funktionen über fertige Module einzubauen.

Das ist ein Datenschutzproblem, da sich auf die Art Nutzerinformationen aus vielen Apps bei wenigen Anbietern ballen. Zusätzlich wird es noch zu einem Problem für die Datensicherheit: Die Apps selbst verschlüsseln ihren Datenverkehr vorbildlich nach dem aktuellen Stand der Technik – die Unternehmen nehmen aber in Kauf, dass externe Module dieses Sicherheitskonzept faktisch unterwandern.

Auf der Webseite des Unternehmens AppBrain können Sie sich anzeigen lassen, welche Module in Apps enthalten sind. Geben Sie den Namen der App in das Suchfeld ein. Eine Liste der enthaltenen Modulen finden Sie auf der Ergebnisseite unter dem Punkt „Libraries“. Die Zahl der kostenlosen Abfragen pro Tag ist allerdings begrenzt.

Geschrieben von

E-Mail

mey@jb-schnittstelle.de

PGP-Key

0x3D753571A5FEF1F4

Fingerprint

89A8 1651 BB1F 49E0 7F6E 610D 3D75 3571 A5FE F1F4

Stefan Mey

Stefan Mey ist freier Autor für verschiedene spezialisierte IT-Magazine und für die Technologie-Ressorts IT-ferner Medien. Er interessiert sich für die Auswirkungen von Technologie auf Alltag, Gesellschaft und Politik. Vor allem hält er es für wichtig, die sich überschlagenden Entwicklungen im mobilen Internet fundiert und kritisch zu begleiten. Bis November 2018 hat er das mobilsicher-Team als Redakteur unterstützt.

Weitere Artikel

YouTube-Video 

Bildschirmzeit als Kindersicherung: So geht’s (iPhone)

Mit der iOS-Version 12 hat Apple eine Funktion spendiert, mit der man die iPhone- oder iPad-Nutzung einschränken kann. Sie lässt sich auch als Kindersicherung einsetzen. Wie "Bildschirmzeit" funktioniert und welche Kritikpunkte es daran gibt, erklären wir im Video.

Ansehen
Ratgeber 

Was untersuchen wir in App-Tests?

Eine App gleicht einer Blackbox. Vom Nutzer unbeobachtet, können Apps Aktionen durchführen, die mit ihrem eigentlichen Zweck nichts zu tun haben. Während herkömmliche App-Tests meist Funktionalität oder Nutzen einer App beleuchten, gilt unsere Aufmerksamkeit anderen Kriterien. Wir machen das sichtbar, was sich im Hintergrund bei der App-Nutzung abspielt.

Mehr
YouTube-Video 

5 Sicherheitstipps fürs iPhone

Die Firma Apple wirbt damit, dass ihre Geräte sehr sicher sind. Allerdings sollten Sie auf Ihrem iPhone einige Einstellungen überprüfen, damit auch wirklich keine privaten Informationen nach außen dringen. Im Video zeigen wir, wie es geht.

Ansehen
Messenger 

Messenger-App ginlo (früher SIMSme) wird eingestellt

ginlo (ehemals SIMSme) bietet verschiedene Sicherheitsoptionen, unter anderem einen Passwortschutz der App. Durch „Content-Kanäle“ wird aus ginlo auch ein Lieferant von Inhalten. Anbieter ist die deutsche Brabbler AG, hinter der drei der vier Gründer des E-Mail-Dienstes GMX stecken.

Mehr