Warnung vor Android-Sicherheitslücke

Alarmstufe rot für Android-Smartphones: bereits seit einige Wochen klaffen bei vielen dieser Mobiltelefone gleich zwei Sicherheitslücken, die Kriminelle als Einfallstore missbrauchen können. Eine kostenlose App soll jetzt helfen.

Eine Vielzahl von Mobiltelefonen mit dem Betriebssystem Android weisen seit Wochen gleich zwei Sicherheitslücken auf. Beide sind potenzielle Einfallstore für bösartigen Programmcode. Saarbrücker Informatiker haben nun eine frei verfügbare App entwickelt, die Smartphones auf diese Sicherheitslücken überprüft und weitere darauf installierte Mini-Programme durchleuchtet.

Die Sicherheitslücken werden von Google unter den Kennziffern „8219321“ und „9695860“ geführt – sind also bekannt. Beide ermöglichen das Umgehen des sogenannten Signaturverfahrens, das während der Installation von neuen Apps abläuft. Ähnlich wie eine persönliche Unterschrift soll es für die Anwender sicherstellen, dass die Installationsdateien der neuen App nur von dem Entwickler ihres Vertrauens erstellt und im Nachhinein nicht verändert worden sind. Würden die Angreifer es dennoch versuchen, hielte die vorab erstellte Signatur nicht mehr der Überprüfung stand. Genau das verhindern die beiden Sicherheitslücken.

Die Installationspakete für die jeweilige App lassen sich so jederzeit manipulieren, ihre Signatur bleibt unverändert, der Anwender wähnt sich fälschlicherweise in Sicherheit. Auf diese Weise können die Angreifer nach Belieben bösartigen Code einschleusen und damit sowohl Daten als auch Geld des Smartphone-Besitzers rauben. Beide Lücken hat Google erst in der neusten Android-Version (4.3) behoben.

»Das hilft nicht viel, da viele Hersteller die von Google vorgenommene Ausbesserung noch gar nicht in die von ihnen modifizierte Android-Betriebssysteme eingebaut haben«, sagt Michael Backes, Professor für Informationssicherheit und Kryptografie an der Universität des Saarlandes. Viele Geräte seien somit immer noch ungeschützt. ??

Zusammen mit Informatikern des von ihm gegründeten Unternehmens Backes SRT hat er eine App namens »SRT Appscanner« entwickelt und auf der Plattform »Google Play« zum kostenlosen Herunterladen veröffentlicht. Die App zeigt dem Anwender nicht nur an, ob der Hersteller seines Smartphones die Lücken bereits schon geschlossen hat. Es überprüft auch bei jeder bereits installierten und zukünftigen App, ob sie Schadcode enthält, der diese Lücken ausnutzt.

»Damit beheben wir zwar nicht die Sicherheitslücken, aber machen immerhin Privatpersonen darauf aufmerksam. Sie können die betroffene App dann löschen und eine nicht manipulierte Version neu installieren«, sagt Backes. Er stellt klar, dass man Anwender nicht verängstigen wolle. Man wolle sie aber dabei unterstützen, dass sie bei den Geräteherstellern das schnelle Schließen der Sicherheitslücken einfordern.