Sicherheits-Apps haben weitreichenden Zugriff

Alle großen Hersteller von Antivirensoftware bieten inzwischen auch Produkte für Android-Geräte an, viele davon kostenlos. Meistens bestehen sie aus ganzen Funktionspaketen, die nicht nur vor Schadprogrammen, sondern auch vor bösartigen Webseiten schützen sollen, Fernortung, Datensicherung und vieles mehr anbieten.

Um diese Funktionen zu erfüllen, benötigen solche Apps weitreichenden Zugriff auf das Smartphone. Um zum Beispiel Webseiten auf Schädlichkeit zu überprüfen, muss das Programm sehen können, welche Webseiten aufgerufen werden. Die meisten Sicherheits-Apps fordern bei der Installation zudem die App-Berechtigung "Geräteadministrator" ein, die ihnen erweiterte Rechte auf dem Gerät zugesteht.

Mit den weitreichenden Zugriffsrechten können Sicherheits-Apps wiederum viele persönliche Daten abgreifen. Manche Unternehmen, deren Geschäftszweck auch oder hauptsächlich der Datenhandel ist, versuchen daher, Nutzer mit echten oder vermeintlichen Sicherheitsfunktionen dazu zu animieren, Ihre Produkte zu installieren.

Schadprogramme tarnen sich selbst oft als Virenscanner

Schadprogramme als Sicherheits-Software zu tarnen, hat in der PC-Welt Tradition und ist auch auf Mobilgeräten beliebt. So tauchen immer wieder schädliche Fälschungen von bekannten Herstellern auf, zum Beispiel von Norton. 2014 sorgte die App Virus Shield für besonderes Aufsehen. Rund 10.000 Nutzer kauften sich die angebliche Antiviren-App aus dem Play-Store, die in Wirklichkeit keine Funktion hatte.

In einer Anfang 2018 erschienenen Untersuchung der deutschen Firma AV-Test Comparatives, die regelmäßig Sicherheits-Software testet, schnitten von 204 untersuchten Virenscannern 79 so schlecht ab, dass die Tester dazu schrieben:

We consider those apps to be risky, as they are either dubious/deceptive or unsafe/ineffective. (Übersetzt: Wir halten diese Apps für riskant, weil sie entweder dubios/trügerisch oder unsicher/wirkungslos sind.)

Bei 41 der 204 ausgewählten Apps handelte es sich sogar um so unseriöse Programme, dass sie aus dem Play-Store entfernt wurden, noch bevor der Testbericht veröffentlicht war.

Wer sich also für einen Schadprogramm-Scanner von einem Drittanbieter entscheidet, sollte tunlichst bei den bekannten Namen bleiben.

Android-Programme laufen in der Sandbox

Sicherheits-Apps für Android-Geräte können andere Apps nicht so gut überwachen wie Antivirenprogramme für den PC. Der Grund: bei Android-Betriebssystemen sind alle Apps streng voneinander getrennt. So bekommt jede App bei der Installation einen eigenen Ordner auf dem internen Speicher des Gerätes zugewiesen, auf den nur sie zugreifen kann.

Zudem werden Apps in einer sogenannten Sandbox (auf Deutsch: Sandkasten) ausgeführt. Die Sandbox-Funktion wirkt wie ein Behälter, in dem alle Prozesse der App ablaufen. Andere Apps können diese Prozesse dann nicht mehr einsehen. Eine Folge dieser Sicherheitsarchitektur von Android ist, dass Apps nur sehr eingeschränkt überwachen können, was andere Apps machen. Diese Einschränkung gilt auch für Antiviren-Apps.

Weil Antiviren-Programme für den PC auch das tatsächliche Verhalten von Programmen überwachen können, sind sie relativ gut darin, ganz neue Bedrohungen zu erkennen. Denn selbst ohne bekannte Signatur können sie typische verdächtige Tätigkeiten feststellen, zum Beispiel wenn ein Programm versucht, für das Betriebssystem wichtige Dateien zu verändern.

Bei Android-Geräten ist dies aufgrund des Sandbox-Systems nur eingeschränkt möglich. Auch wenn Sie über die Berechtigung "Geräteadministrator" verfügen, können sie keine umfangreiche Hintergrundüberwachung aller laufenden Prozesse durchführen.

Sicherheits-Apps für Android funktionieren nur eingeschränkt

Was können Antiviren-Programme für Smartphones dann überhaupt tun? Wenn eine App heruntergeladen wird, landet sie erst mal in Form einer Datei mit der Endung .apk auf dem internen Speicher des Gerätes. Diese Datei ist in etwa das, was beim Windows-PC die .exe-Datei ist. Wenn die Installation über den Play-Store läuft, bekommen die Nutzer diese Datei nicht zu Gesicht.

Antiviren-Programme können diese .apk-Dateien aber einsehen. Wenn sich also schon in der ursprünglich heruntergeladenen Programmdatei ein Schadprogramm verbirgt, kann eine Antiviren-App dies erkennen. Virenscanner erkennen Malware dabei an sogenannten Signaturen. Das sind bestimmte Merkmale des Schadprogramms, zum Beispiel Dateinamen. Der Nachteil ist, dass so nur Schadsoftware gefunden wird, deren Signatur bereits bekannt ist und einen Eintrag in einer Schadsoftware-Datenbank hat.

Daher stößt der Virenschutz für das Smartphone schnell an technische Grenzen. Bei einer Studie des Fraunhofer-Instituts von 2013 schnitten alle elf getesteten Antivirenprogramme beim Erkennen von neuen und noch nicht in Datenbanken aufgelisteten Gefahren schlecht oder katastrophal ab.

„Play Protect“ – Googles eigener Virenscanner

Was viele Nutzer nicht wissen: Mit "Google Play Protect" ist bereits ein Virenscanner auf jedem Android-Gerät vorinstalliert. 2017 löste er den Vorgänger "Verify Apps" ab. Während Googles "Verify Apps" (ab Android 4.4 vorinstalliert) nur nach manueller Aktivierung seine Arbeit aufnahm, läuft "Play Protect" seit einem Update im Sommer 2017 standardmäßig auf allen Android-Geräten.

Die Funktion kontrolliert alle Apps aus dem Play-Store, und kann auch Apps aus anderen Quellen prüfen, wenn man dies erlaubt. Laut Google läuft er auf einer Milliarde Geräten und überprüft dort täglich 50 Milliarden Apps auf Schadprogramme - regelmäßig auch nach der Installation. So soll verhindert werden, dass eine App sich zunächst als harmlos tarnt und dann schädliche Funktionen nachlädt.

Allerdings ist es Google mit Play Protect bislang nicht gelungen, alle Schadprogramme aus dem Play-Store zu erkennen. Auch 2017 wurden wieder eine ganze Reihe entdeckt. Im Vergleich mit Virenscannern von Drittanbietern schnitt Play Protect in den bisherigen Tests schlecht bis mäßig ab. In einer vergleichenden Untersuchung des deutschen Unternehmens AV-Comparatives landete Play Protect auf dem letzten Platz - von 21 getesteten Apps.

Fazit

Während Antiviren-Programme für den PC einfach Pflicht sind, kann man bei Smartphones derzeit nur sagen: Es kommt darauf an. Wer gerne und oft neue Apps ausprobiert, der könnte von einer Sicherheits-App zusätzlich zu Google Play Protect profitieren. Wer sein Smartphone eher konservativ nutzt oder seine Apps sorgfältig auswählt, braucht so ein Produkt nicht. Ältere oder günstigere Geräte können durch Sicherheits-Apps spürbar verlangsamt werden.

In einer Handreichung zu Android-Sicherheit geht das Bundesamt für Sicherheit in der Informationstechnik (BSI) auch auf die Möglichkeiten und Grenzen von Antiviren-Programmen (AV) ein:

"Bei der ausschließlichen Nutzung von Apps aus vertrauenswürdigen, sicheren App-Stores sowie geprüften Apps, kann zurzeit auf zusätzliche AV-Programme verzichtet werden." (siehe Seite 5)

Grundsätzlich sollten Nutzer überlegen, wem sie Einblicke in ihre App-Nutzung gewähren möchten. Da es mit der Einführung von Play Protect nun bereits unausweichlich ist, dass Google Details zur eigenen App-Nutzung erfährt, sollte abgewogen werden, ob ein weiterer Anbieter tatsächlich nötig ist. Wer sich für eine weitere Sicherheits-App entscheidet, sollte diese sorgfältig aussuchen und auf bekannte Namen setzen.

Unsere subjektiv ausgewählten Redaktions-Favoriten aus den Marken, die beim Test von AV-Test Comparatives gut abschnitten:

• Avast
• Trend Micro
• F-Secure