Hintergrund

Wie sicher ist die Bildschirmsperre?

On your Fingertipps

Die Bildschirmsperre ist der wichtigste und effektivste Schutz gegen unerwünschte Zugriffe auf das Smartphone oder Tablet. Trotzdem gibt es immer wieder Berichte von geknackten oder umgangenen Bildschirmsperren. Wir erklären, wie die Hacker vorgehen.

Veröffentlicht am
Autor
Schlagworte
Android · Bildschirmsperre · Hacker · iOS · PIN
Teil von Themenpaket
Kinder - Hilfestellung für Eltern
Drucken

Aktualisiert am 26. November 2015

Es gibt grob gesprochen vier verschiedene Angriffspunkte, um an ein gesperrtes Smartphone oder Tablet heranzukommen. Der erste davon ist die Nutzerin selbst. Damit ist nicht unbedingt direkte Gewalt gemeint, sondern alle Tricks und Möglichkeiten, um den Schlüssel der Nutzerin zu bekommen. Sei es, dass man ihr beim Eingeben über die Schulter schaut, ihr Geburtsdatum herausfindet, welches sie unvorsichtigerweise als Schlüssel verwendet, oder den Zettel unter der Tastatur findet, auf der sie ihr Passwort aufgeschrieben hat.

Sehr beliebt sind auch die Fettspuren, die Nutzer bei der Eingabe des Passwortes auf dem Bildschirm hinterlassen. Mit entsprechender Beleuchtung lassen sich diese Tapser sichtbar machen. Vor allem Mustereingaben kann man anhand dieser Spuren recht gut nachvollziehen. Unter anderem deshalb gilt die Mustereingabe nicht als sehr sicher.

Angriff mit roher Gewalt

Der zweite Angriffspunkt ist der Schlüssel selber. Man kann versuchen, ihn zu knacken, indem man so lange alle möglichen Kombinationen ausprobiert, bis man auf die Richtige stößt. Diese Methode wird auch „Brute-force-Angriff“ genannt, zu Deutsch: Angriff mit roher Gewalt. Gemeint ist natürlich nicht physische Gewalt, sondern Rechenkraft.

Um das zu verhindern, begrenzen Bildschirmsperren bei Android- und iOS-Geräten, wie oft man den Schlüssel falsch eingeben darf. Nach mehreren falschen Versuchen blockiert der Bildschirm die nächste Eingabe für einen bestimmten Zeitraum. Bei iOS-Geräten können Nutzerinnen einstellen, dass ihr Gerät nach einer gewählten Anzahl von Fehlversuchen automatisch zurückgesetzt wird und die Daten gelöscht werden.

Diese Maßnahmen funktionieren relativ gut – erfolgreiche Brute-force-Angriffe auf Bildschirmsperren sind selten, aber nicht unmöglich. So gab es für iPhones ein Gerät, das die Begrenzung der Fehlversuche außer Kraft setzte. Ein vierstelliger Code ließ sich dadurch in 111 Stunden knacken. Die sogenannte IP-Box funktioniert bei iOS 8.1, bei Version 8.1.1 hatte Apple die Sicherheitslücke geschlossen.

Auch für Android-Geräte gibt es vereinzelte Berichte darüber, dass vierstellige Codes mit Gewalt geknackt wurden. Längere Codes oder Passwörter lassen sich so in der Regel nicht knacken, weil dies zu lange dauern würde.

Einfallstore bei Android: Debugging und Flashen

Der dritte Angriffspunkt ist das Betriebssystem, in das die Bildschirmsperre eingebettet ist. Das Haupt-Einfallstor bei Android-Geräten ist in dieser Kategorie der Debugging-Modus. Ist dieser Modus aktiviert, kann man das Gerät an den Computer anschließen und mit weitreichenden Rechten auf das Smartphone oder Tablet zugreifen.

Bei so gut wie allen Android-Geräten lässt sich damit auch die Bildschirmsperre umgehen. Der Modus ist für Programmierer gedacht, die zum Beispiel Apps entwickeln. Man kann ihn nicht zufällig aktivieren, sondern muss einer speziellen Anleitung dafür folgen.

Es gibt vereinzelte Berichte über geknackte Bildschirmsperren bei Android, die alle auf die eine oder andere Weise auf Manipulationen am Betriebssystem basieren. Der Vorgang wird auch als „ROM flashen“ bezeichnet. Bei einigen älteren Geräten und Android-Versionen ist es möglich, das Betriebssystem bei aktiver Bildschirmsperre neu zu installieren, ohne dabei die Daten (Apps, Bilder etc) zu verlieren. In jedem Fall muss das Gerät dazu an einen Rechner angeschlossen werden, das ganze ist zeitaufwendig und es sind gute technische Vorkenntnisse nötig.

Fehler im Code

Von Zeit zu Zeit werden auch Programmierfehler bekannt, durch die Bilschirmsperren durch mit bestimmten, unvorhergesehenen Eingaben zum Absturz gebracht werden können. In manchen Fällen stellt sich das Gerät dann in ungesperrtem Zustand wieder her. So wurde Mitte September 2015 eine Angriffsstrategie bekannt, die bei einigen Android-Geräten mit Lollipop 5.1 oder höher funktionierte, wenn der Bildschirm mit einem Passwort und nicht mit PIN gesichert war.

Das Prozedere ist kompliziert, und besteht aus langen Zeicheneingaben ins Passwortfeld, in das Notruf-Feld und gleichzeitigem Aktivieren der Kamera. Der Hack wurde nur für Nexus-Geräte demonstriert, und der Fehler wurde durch ein Update schnell behoben.

Sprachsteuerung: Siri und Co.

Besonders für Apples Betriebssystem gibt es viele Berichte, dass sich bestimmte Aktionen auch bei aktiver Bildschirmsperre ausführen lassen, wenn die Sprachsteuerung namens „Siri“ die richtigen Befehle erhält. So wurde gezeigt, dass es bei iOS 8 möglich ist, über Siri Nachrichten auf Facebook zu veröffentlichen, die Anrufliste einzusehen sowie Notizen zu verändern. Auch bei iOS 9 wurde kurz nach dem Start eine Methode bekannt, mit der Siri den Zugriff auf Fotos und Kontakte freigibt. Bei manchen Android-Geräten, bei denen Googles Sprachsteuerung aktiviert war, konnte man bei gesperrtem Bildschirm Anrufe tätigen.

Dies sind Programmierfehler in der Sprachsteuerung, die meist nach Bekanntwerden schnell behoben werden. Neue Lücken können aber jederzeit auftauchen. Voraussetzung für diese Art von Angriff ist, dass die Sprachsteuerung so konfiguriert ist, dass sie auch bei aktiver Bildschirmsperre ansprechbar ist. Diese Einstellung lässt sich sowohl bei iOS als auch bei Android abschalten.

Angriff aus der Cloud: Google-Konto und iCloud

Wer ein Android- oder ein iOS-Gerät komfortabel und in vollem Umfang nutzen will, dem bleibt fast nichts anderes übrig, als es zumindest in gewissem Umfang mit den Servern von Apple oder Google zu verbinden. So muss jeder, der Apps aus Googles Play-Store laden will, ein Google-Konto haben, und sein Gerät bei diesem Konto anmelden. Ähnliches gilt für Apples iCloud.

Wer seine Daten vom Mobilgerät in diesen Konten sichert – was für Apple und Android-Nutzer angeboten wird – sollte daran denken, dass Jeder, der Zugriff auf diese Konten erlangt, auch die Inhalte vom Mobilgerät sehen kann, die dort hinterlegt sind. Als Sicherung gegen illegitime Zugriffe empfiehlt sich ein gutes Passwort für das Google- oder iCloud-Konto, das Einrichten einer E-Mail für die Wiederherstellung, oder die Zwei-Wege-Authentifizierung.

Google und Apple können den Zugang zu diesen Konten ermöglichen, wenn zum Beispiel Ermittlungsbehörden entsprechende Berechtigungen vorlegen. Apple erwägt allerdings, die Daten auf dem iCloud-Konto in Zukunft so zu verschlüsseln, dass das Unternehmen selbst keinen Zugriff mehr auf diese Daten hätte.

Keine absolute Sicherheit

Bei einigen der oben genannten Angriffswege ist das Gerät geschützt, wenn es vorher vollständig verschlüsselt wurde. IPhones sind von Haus aus vollständig verschlüsselt. Selbst Apple ist bei neueren Geräten nicht in der Lage, die Sperre zu entfernen. Das zeigte im April 2016 der Fall des Attentäters von San-Bernardino. Das FBI hatte Apple damals zur Entsperrung aufgefordert, Apple hatte erklärt, dies sei nicht möglich.

Mit aufwändigen Methoden, wie sie Geheimdiensten oder gut ausgestatteten Polizeibehörden zur Verfügung stehen, lassen sich gesperrte Geräte auch auslesen, wenn keine der genannten Bedingungen zutrifft. Auch dies zeigt der Fall von San-Berardino, bei dem das FBI das iPhone schließlich mit Hilfe von Hackern  doch entsperren konnte. Das FBI soll dafür über eine Millionen Dollar bezahlt haben.


Aktualisiert am 18.09.2015: Angriffsmöglichkeit auf Bildschirmsperre bei Lollipop 5.x bei Passwortsperre eingefügt.

Sie haben einen Fehler entdeckt oder vermissen einen Artikel zu einem bestimmten Thema?
Schreiben Sie uns eine E-Mail an hinweis@mobilsicher.de!