Einschätzungen zur Sicherheit von Android und iOS

Mobile Telefone sind nahezu allgegenwärtig geworden. Kaum jemand kommt noch ohne ein Smartphone aus. So gelangt eine von F5 Networks in Auftrag gegebene und von Opinium Research durchgeführte Studie zu dem Ergebnis, dass rund 84 Prozent der Deutschen Apps auf ihren Handys nutzen. Auch in Unternehmen werden die mobilen Begleiter der Mitarbeiter zunehmend für geschäftliche Zwecke eingesetzt, Stichwort BYOD (Bring Your Own Device).

Viele neue Angriffspunkte durch Smartphones

Dadurch ergeben sich für die IT-Security jedoch völlig neue Bedrohungen. So enthalten Smartphones immer wieder gefährliche Sicherheitslücken, über die Daten extrahiert werden können. Oder sie gehen mitsamt den darauf abgelegten Informationen verloren beziehungsweise werden geklaut. Olaf Niemeitz, Geschäftsführer bei Axians IT Security und Leiter der Division Vertrieb bei Axians IT Solutions, warnt etwa davor, dass "Hacker mit jedem neuen vernetzten Mobilgerät einen weiteren Angriffspunkt gewinnen, über den sie sich Daten erschleichen oder in ein Unternehmensnetzwerk eindringen können". Niemeitz rät zu einer ganzheitlichen Mobilitätsstrategie, "um die Kontrolle zurück zu erlangen".

Laut der IDC-Studie "Mobile Security in Deutschland 2017" haben die Angriffe auf mobile IT im Jahr 2016 um rund 8 Prozent im Vergleich zum Vorjahr zugenommen. "Die Sicherheitslage hat sich in den letzten anderthalb Jahren also weiter verschärft", kommentiert Henning Ogberg, Senior Vice President Sales & Marketing bei Rohde & Schwarz Cybersecurity die aktuelle Situation. Dabei handelt es sich seinen Angaben nach aber nur um die Fälle, die auch bemerkt wurden. Hinzu komme eine "nicht zu überschauende Dunkelziffer an unentdeckten und nicht angezeigten Angriffen".

Nach Ansicht von Ogberg werden mobile Devices "immer häufiger zu einem Risikofaktor". Er empfiehlt deswegen die Einführung von Technologien zur Trennung von privaten und geschäftlichen Daten. Dazu komme, dass die nahende EU-Datenschutzgrundverordnung "schnell umsetzbare und vorausschauende Maßnahmen" erforderlich mache.

Malware im Google Play Store

Auf konkrete Bedrohungen angesprochen nennt Carsten Böckelmann, Regional Sales Director DACH-NL bei Bitdefender, zum Beispiel mobile Ransomware, die es schon bis in den Google Play Store geschafft habe. "Die Fragmentierung von Android hat dazu geführt, dass Malware verschiedenste Schwachstellen in verschiedenen Komponenten des Betriebssystems ausnutzen kann, um an Berechtigungen zu gelangen", so Böckelmann. Diese Schadcodes seien oft so hartnäckig, dass sie für den durchschnittlichen Anwender sehr schwer zu erkennen und zu entfernen sind.

Der deutsche Sicherheitsanbieter rechnet in diesem Jahr mit 3,5 Millionen neuen Schad-Apps alleine für Android. Den Kriminellen spielt dabei nach Aussage von Tim Berghoff, Security Evangelist bei G Data, in die Hände, dass "Patches und Updates für Schwachstellen durch die Gerätehersteller oft nicht zeitnah oder für ältere Devices gar nicht mehr ausgeliefert werden". Berghoff empfiehlt die Einbindung mobiler Endgeräte in die bestehende IT-Security-Architektur eines Unternehmens über ein Mobile Device Management (MDM).

Android vs. iOS

Auch Michael Veit, Security Evangelist bei Sophos, rät zu MDM. Außerdem sollten Unternehmen sensible Daten verschlüsseln und Sicherheits-Software installieren. Android sei deutlich mehr im Visier der Cyber-Kriminellen zu finden, weil es "durch die offene Plattform deutlich einfacher ist, Malware einzuschleusen". Zudem seien viele Android-Versionen im Umlauf und nicht alle Geräte würden zeitnah auf aktuelle Versionen aktualisiert.

"Aufgrund des Update-Konzeptes und des technischen Ansatzes zur Trennung aller Apps per Sandboxing ist iOS prinzipiell das sicherere System", so Veit. Ein Nachteil von iOS sei jedoch, dass "durch die Trennung der Apps voneinander unter iOS kein Virenscan möglich ist, da Apple auch Security-Lösungen nicht den Zugriff auf andere Apps oder das Betriebssystem ermöglicht". Deswegen sei Malware unter iOS "sehr viel schwerer zu erkennen".

Die Wahrscheinlichkeit eines Angriffs nimmt auch nach Meinung von Richard Werner, Business Consultant bei Trend Micro, ab, je eingeschränkter der Nutzer sei. "Die Angriffs-Toolkits für iOS sind wesentlich teurer als für Android, da Angriffe auf Android einfacher durchgeführt werden können", so Werner. Die höheren Risiken unter Android lassen sich nach Ansicht von Laurence Pitt, Security Strategist EMEA bei Juniper Networks, nur durch "entsprechende Richtlinien minimieren". Die Herangehensweise von Apple bei iOS bezeichnet er dagegen als "Walled Garden".

Weitere Maßnahmen zur Absicherung mobiler Endgeräte

Neben den bereits genannten Maßnahmen rät Thomas Uhlemann, Security Specialist bei Eset, auch noch zusätzlich zu App-Whitelisting. Gefahren entstehen seiner Meinung nach vor allem "durch den Nutzer und Drittanbieter-Apps: Das Vermischen von beruflichen Daten und privaten Apps auf den Geräten ist ein Problem, das alle mobilen Plattformen betrifft".

Thomas Bleier, CISO bei Tapkey, rät abschließend dazu, bei Android auch das Thema Software-Versionen und Updates im Auge zu behalten und es aktiv zu managen. "Die Verfügbarkeit von aktualisierten und fehlerbereinigten Versionen für etwas ältere Geräte ist bei der Android-Plattform ein Problem, hier hat iOS einen Vorteil", erklärt Bleier. Er empfiehlt zudem den Einsatz einer Schutz-Software, da Android im Bereich Malware höheren Risiken ausgesetzt sei.

Lesetipp: Empfehlungen zur Absicherung von BYOD-Umgebungen