Zugriffsrechte umgangen

Über 1.300 Android-Apps greifen unerlaubt Daten ab

von - 09.07.2019
Android-Smartphone mit Google Maps
Foto: Piotr Swat / Shutterstock.com
Sicherheitsforscher haben in Googles Play Store über 1.300 Apps ausfindig gemacht, die unerlaubt Daten über ihre Nutzer sammeln und dabei die in Android integrierte Verwaltung der App-Berechtigungen umgehen.
Google erlaubt seit dem Android-6-Release eine manuelle Verwaltung der App-Berechtigungen. Nutzer können so exakt definieren, welche Apps Zugriff auf Standortdaten, die Kamera und sonstige Informationen erhalten. Wie nun allerdings ein internationales Forscherteam herausgefunden hat, umgehen viele Android-Apps aus dem offiziellen Play Store diese Regelung und greifen ohne Zustimmung des Nutzers persönliche Daten ab.
App-Berechtigungen
Manche Android-Apps erschleichen sich Daten über die Kommunikation mit anderen Apps sowie über Metadaten in Media-Dateien.
(Quelle: 50 Ways to Leak Your Data)
Insgesamt sind die Sicherheitsexperten auf über 1.300 Anwendungen gestoßen, die Androids App-Berechtigungen gezielt umgehen. Die Anwendungen greifen die gesuchten Daten entweder über die Kommunikation mit anderen Apps ab, die über die erforderlichen Rechte verfügen, oder aber sie nutzen die in Medien enthaltenen Metadaten, um Informationen auszulesen. So speichern beispielsweise viele Anwender Standortdaten innerhalb von Bilddateien ab. Mit diesen beiden Methoden lassen sich neben Standortinformation auch Daten zum Gerät (IMEI), zu WLAN-Verbindungen oder der MAC-Adresse des heimischen Routers sammeln.
Mit zu den prominentesten Apps, auf die die Forscher gestoßen sind, gehören Samsungs Health App und der Samsung Internet Browser. Beide Anwendungen werden im Play Store mit über 500 Millionen Installationen beworben.
Die Ergebnisse der Untersuchung wurden an Google weitergeleitet und von dem Android-Hersteller mit einer nicht näher spezifizierten Bug-Bounty-Prämie honoriert. Die komplette Ausarbeitung der Forscher trägt den Titel "50 Ways to Leak Your Data [PDF]" und ist frei zugänglich.
Mit dem kommenden Android Q sollen die Fehler behoben werden, die das unberechtigte Abgreifen der Daten ermöglichen. Darüber hinaus erweitert Google die Verwaltung der App-Berechtigungen in Android Q um temporäre Zugriffe für aktive Apps. Damit lässt sich etwa festlegen, dass eine Navigations-App lediglich Zugriff auf den Standort erhält, wenn die Anwendung auch tatsächlich aufgerufen wird. Ein verdecktes Sammeln von Daten im Hintergrund soll dadurch verhindert werden.
Verwandte Themen