Über 1.300 Android-Apps schnappen sich unerlaubt Daten

Sicherheitsforscher haben in Googles Play Store über 1300 Apps ausfindig gemacht, die unerlaubt Daten über ihre Nutzer sammeln und dabei die in Android integrierte Verwaltung der App-Berechtigungen umgehen. [...]

Google erlaubt seit dem Android-6-Release eine manuelle Verwaltung der App-Berechtigungen. Nutzer können so exakt definieren, welche Apps Zugriff auf Standortdaten, die Kamera und sonstige Informationen erhalten. Wie nun allerdings ein internationales Forscherteam herausgefunden hat, umgehen viele Android-Apps aus dem offiziellen Play Store diese Regelung und greifen ohne Zustimmung des Nutzers persönliche Daten ab.

Insgesamt sind die Sicherheitsexperten auf über 1300 Anwendungen gestossen, die Androids App-Berechtigungen gezielt umgehen. Die Anwendungen greifen die gesuchten Daten entweder über die Kommunikation mit anderen Apps ab, die über die erforderlichen Rechte verfügen, oder aber sie nutzen die in Medien enthaltenen Metadaten, um Informationen auszulesen. So speichern beispielsweise viele Anwender Standortdaten innerhalb von Bilddateien ab. Mit diesen beiden Methoden lassen sich neben Standortinformationen auch Daten zum Gerät (IMEI), zu WLAN-Verbindungen oder der MAC-Adresse des heimischen Routers sammeln.

Mit zu den prominentesten Apps, auf welche die Forscher gestossen sind, gehören Samsungs Health App und der Samsung Internet Browser. Beide Anwendungen werden im Play Store mit über 500 Millionen Installationen beworben.

Die Ergebnisse der Untersuchung wurden an Google weitergeleitet und vom Android-Hersteller mit einer nicht näher spezifizierten Bug-Bounty-Prämie honoriert. Die komplette Ausarbeitung der Forscher trägt den Titel 50 Ways to Leak Your Data und ist frei zugänglich.

Mit dem kommenden Android Q sollen die Fehler behoben werden, die das unberechtigte Abgreifen der Daten ermöglichen. Darüber hinaus erweitert Google die Verwaltung der App-Berechtigungen in Android Q um temporäre Zugriffe für aktive Apps. Damit lässt sich etwa festlegen, dass eine Navigations-App lediglich Zugriff auf den Standort erhält, wenn die Anwendung auch tatsächlich aufgerufen wird. Ein verdecktes Sammeln von Daten im Hintergrund soll dadurch verhindert werden.