Laut der aktuellen Checkpoint-Studie „ Cyber Attack Trends: 2020 Mid-Year Report“ hat die Anzahl der Angriffe auf Mobilgeräte in den letzten zwölf Monaten deutlich zugenommen. Laut Studie wurde die Malware oftmals über offizielle Wege aufgespielt. Die Sicherheitsexperten von Checkpoint haben insgesamt rund 150 000 Apps im Google Play Store untersucht und bei über sieben Prozent versteckte Hintertüren gefunden, über die sich ein Hacker Zugriff auf Ihr Smartphone oder Tablet verschaffen kann. Das sind, absolut gesehen, über 10.000 Apps, die als Malware identifiziert und dann von Google entfernt wurden.
Foto: Paitoon Pornsuksomboon / Shutterstock.com
Sie müssen trotz allem kein Sicherheitsexperte sein, um Ihr Smartphone oder Tablet bestmöglich vor Angreifern zu schützen. In diesem Workshop zeigen wir Ihnen, welche Gefahren im Internet und in fremden Netzwerken lauern und wie Sie sich optimal davor schützen.
Grundabsicherung Ihres Smartphones
Android selbst bietet bereits seit Jahren wichtige Funktionen zur Grundabsicherung. Die meisten davon sind standardmäßig aktiviert, trotz allem lohnt es sich nachzusehen, ob diese auch auf Ihrem Gerät richtig konfiguriert sind. Eine der wichtigsten Sicherheitsmaßnahmen ist die automatische Aktualisierung Ihrer installierten Apps. Die Updates der Hersteller bieten oftmals nicht nur funktionale Erweiterungen, sondern schließen auch vorhandene Sicherheitslücken. Deswegen empfehlen wir Ihnen, die automatische Updatefunktion zu aktivieren, die Sie in den Einstellungen der Play-Store-App unter „Automatische App-Updates“ finden. Am besten wählen Sie hier die Option „Nur im WLAN“, um Datenvolumen zu sparen.
Google stellt darüber hinaus ein monatliches Sicherheitsupdate für sein Betriebssystem zur Verfügung. Dieses müssen die Hersteller, wie auch Versionsupdates, vor der Verteilung erst in die Installation der eigenen Android-Geräte integrieren, was zur Folge hat, dass viele Smartphones ihre Updates erst zwei bis drei Monate, wenn nicht Jahre nach der Veröffentlichung seitens Google erhalten – falls überhaupt. In den Einstellungen Ihres Android-Smartphones sehen Sie im Menü „Über das Telefon“ oder ähnlich, auf welchem Stand sich Ihr Smartphone befindet. Prüfen Sie auch hier, ob das automatische Laden per WLAN aktiviert ist.
Apps nur aus sicheren Quellen installieren
Wie bereits oben geschildert, gelingt es Angreifern immer wieder, die Schutzmechanismen des Google Play Store zu überwinden und Apps mit einer Hintertür einzuschleusen. Noch risikoreicher ist die Installation von Apps aus unbekannten Quellen, etwa von einer Website. Deswegen hat Android an dieser Stelle einen Schutzmechanismus eingebaut, der diese Installationen grundsätzlich unterbindet. Sie können jedoch, falls Sie wissen, dass die Website und auch die Installationsdatei (meist eine APK) sicher sind, eine Freigabe erteilen. Diese ist dabei immer an die App gebunden, etwa den Browser, über die Sie die APK-Datei laden und installieren.
Sie finden die Freigabe unter „Einstellungen –> Apps & Benachrichtigungen –> Spezieller App-Zugriff –> Installieren unbekannter Apps“. In der Liste sehen Sie alle Anwendungen, über die technisch gesehen eine Installation möglich wäre. Aktivieren Sie den Schalter „Dieser Quelle vertrauen“. Aber: Sobald die APK installiert ist, sollten Sie die Berechtigung wieder zurücknehmen, damit nicht versehentlich eine Schadsoftware diesen Weg zur heimlichen Installation nutzen kann.
Zugriff auf Smartphone-Inhalte mittels Sperrbildschirm unterbinden
Nachdem Sie die Sicherheitslücken im Betriebssystem und den Apps bestmöglich geschlossen haben, gilt der nächste Blick der generellen Absicherung Ihres Smartphones vor fremden Zugriffen. Dies kann sowohl von einem Dieb geschehen, der Ihr Smartphone gestohlen hat, als auch vom neugierigen Kollegen im Büro oder dem spielsüchtigen Kind zu Hause. Deswegen empfehlen wir Ihnen, egal welche Daten Sie auf Ihrem Smartphone gespeichert haben, dieses mittels Displaysperre vor fremden Zugriffen zu schützen. Sie finden diesen Schutzmechanismus in den Einstellungen Ihres Smartphones unter „Sicherheit“. Scrollen Sie zum Abschnitt „Gerätesicherheit“, und rufen Sie den Punkt „Displaysperre“ auf.
Abhängig von der Hardware-Ausstattung lässt Ihr Smartphone hier verschiedene Methoden zu, mit denen Sie sich authentifizieren können: Auf allen Geräten lässt sich eine Sperre mittels PIN, Passwort oder Muster einrichten. Auf das Muster sollten Sie verzichten, da sich dies aufgrund von Spuren auf dem Display meist leicht erraten lässt. Eine PIN ist besser, aber auch sie kann wegen Spuren leicht zu ermitteln sein, vor allem, wenn die PIN nur vier Stellen hat. Deutlich schwieriger wird es, wenn Sie ein Passwort einrichten. Dies bietet sich vor allem dann an, wenn Sie ergänzend dazu noch ein biometrisches Merkmal wie einen Fingerabdruck, Ihr Gesicht oder Ihre Iris verwenden. In diesen Fällen müssen Sie das Passwort nur in Ausnahmefällen eingeben. Aktuelle Geräte haben in der Regel einen Sensor für den Fingerabdruck, teurere Geräte dazu noch eine Gesichtserkennung.
Vorsicht bei Bluetooth und NFC
Haben Sie den Zugang zu Ihrem Smartphone geregelt, gelten die nächsten Maßnahmen den Schnittstellen. Damit ist weniger die USB-Schnittstelle gemeint, mit der Sie Ihr Smartphone laden oder Daten per Kabel übertragen, sondern vielmehr WLAN, Bluetooth und NFC. Viele Geräte kommunizieren heutzutage mittels Bluetooth mit Ihrem Smartphone. Dies beginnt beim Kopfhörer, geht über das Autoradio und endet beim Drucker. Damit die Verbindung ohne weitere Interaktion Ihrerseits funktioniert, haben Sie sicher – wie die meisten Android-Nutzer – die Schnittstelle permanent aktiviert.
Erst im Februar 2020 haben Sicherheitsexperten des Heidelberger Unternehmens ERNW eine gravierende Bluetooth-Schwachstelle namens Blue-Frag (CVE-2020-0022) in Android ab Version 8 gefunden. Mit dieser ist es den Sicherheitsforschern gelungen, sowohl in Android 8 als auch in Android 9 über die aktivierte Bluetooth-Schnittstelle Zugriff auf das Gerät zu erlangen und dort einen beliebigen Programmcode auszuführen. Unter Android 10 konnten die Hacker das Smartphone zumindest noch zum Absturz bringen.
Natürlich wurde die Schwachstelle zeitnah von Google beseitigt und über ein Sicherheitsupdate den Smartphone-Herstellern zur Verfügung gestellt. Leider beenden immer mehr Hersteller bereits nach zwei Jahren die Updates – Nutzer mit älteren Geräten besitzen somit dauerhaft ein unsicheres Phone.
Diese Schwachstelle ist jedoch nicht die einzige im Zusammenhang mit Bluetooth, die in der Vergangenheit für Angriffe genutzt wurden. Deswegen empfehlen wir Ihnen grundsätzlich, nur diejenigen Schnittstellen zu aktivieren, die Sie aktuell benötigen. Dies gilt sowohl für Bluetooth als auch für WLAN und NFC. Dank Schnellzugriff lassen sich die einzelnen Dienste mit einem Klick ein- und ausschalten.
Berechtigungen der Apps überprüfen
Bei der Installation einer neuen App lassen sich die Entwickler zahlreiche Berechtigungen zusichern. Nicht immer ist es sinnvoll, der Anwendung auch alle Berechtigungen zu geben. In den meisten Fällen funktioniert sie trotzdem oder fragt die entsprechende Berechtigung an, sobald sie sie wirklich benötigt.
Die aktuell zugesicherten Berechtigungen der installierten App sehen Sie über „Einstellungen –> Apps (& Berechtigungen)“ und den Aufruf der entsprechenden Anwendung. Bis Android 9 können Sie die Berechtigung nur gewähren oder verwehren, seitdem haben Sie drei Auswahlmöglichkeiten: „Zugriff nur während der Nutzung der App“, „Jedes Mal fragen“ oder „Ablehnen“. Damit gehören unkontrollierte und unbemerkte Zugriffe auf Daten im Hintergrund der Vergangenheit an.
Seit Android 7 steht Ihnen auch ein Berechtigungsmanager zur Verfügung, mit dessen Hilfe Sie sehen, welche App beispielsweise die Nutzung der Kamera angefragt hat. Sie finden diese Übersicht ebenfalls in den App-Einstellungen. Achten Sie an dieser Stelle besonders auf kritische Zugriffsrechte wie Kamera, Mikrofon, SMS, Telefon, Kontakte und Standort.
Verschlüsselung sensibler Daten
Seit Version 6 besitzt Android eine eingebaute Verschlüsselung für den internen Speicher Ihres Smartphones. Sie finden das entsprechende Menü in den Einstellungen unter „Sicherheit –> Verschlüsselung und Anmeldedaten“.
Von Haus aus nicht verschlüsselt ist die Micro- SD-Karte, auf der Sie beispielsweise Ihre Bilder speichern. Bei einem Diebstahl des Smartphones kann die Karte trotz Sperre aus dem Gerät entfernt und ausgelesen werden. Wenn Sie diese verschlüsseln, ist sie nur noch über das Smartphone auslesbar. Sie finden die entsprechende Option in den Einstellungen unter „Sicherheit –> SD-Karte verschlüsseln“. Damit sind Ihre Daten geschützt. Das Vorgehen bringt jedoch auch Nachteile mit sich: Sie können die Karte nicht mehr in Ihren Computer stecken, um die letzten Schnappschüsse und Videos schnell zu übertragen. Dies geht nur noch per Kabel, Bluetooth oder alternativ über einen Cloudspeicherdienst, wenn sich die Karte im Phone befindet. Gerade bei größeren Datenmengen kann dies deutlich länger dauern. Deswegen sollten Sie sich genau überlegen, ob dieser zusätzliche Schutz für Ihre Daten erforderlich ist.
Sicherheit der installierten Apps untersuchen
Nachdem Sie die Grundabsicherung abgeschlossen haben, zeigen wir Ihnen im letzten Teil des Workshops, welche empfehlenswerten zusätzlichen Schutzmaßnahmen existieren. Android bietet in Verbindung mit dem Google Play Store mit „Play Protect“ einen Mechanismus, um Schadsoftware zu identifizieren. Die Wirksamkeit ist leider nicht immer gegeben, wie Sie an der obigen Analyse von Checkpoint gesehen haben.
Trotz allem ist es eine gute Basis. Sie finden die Funktion innerhalb der Play-Store-App im Menüpunkt „Play Protect“. Das Programm scannt alle Apps, die auf Ihrem Gerät vorhanden sind, allen voran die Anwendungen, die Sie über den Google Play Store heruntergeladen haben. Darüber hinaus ist das Programm aber auch in der Lage, Apps aus unbekannten Quellen ebenfalls mit zu untersuchen und gegebenenfalls als kritisch zu klassifizieren.
Dieser Schutz genügt in den meisten Fällen jedoch nicht, da „Play Protect“ Sie auch erst warnt, wenn eine App bereits auf Ihrem Smartphone installiert ist. Deswegen empfehlen wir Ihnen einen zusätzliches Antivirenprogramm wie Avira Antivirus 2020, das Apps bereits während der Installation scannt und diese bei Bedarf verhindert. Führen Sie nach der Installation der App direkt einen „Smart Scan“ aus. Dieser überprüft sowohl die installierten Apps wie auch zentrale Verzeichnisse auf Ihrem Endgerät auf Viren. Darüber hinaus wird noch Ihre Privatsphäre sowie die Performance Ihres Smartphones gecheckt.
Sollte es bei der Überprüfung auf Viren und Malware zu Auffälligkeiten kommen, werden diese entsprechend angezeigt und passende Gegenmaßnahmen vorgeschlagen. Das Gleiche gilt für die anderen beiden Bereiche.
Sicherheitsrisiko öffentliches WLAN
An immer mehr Stellen finden Sie öffentliche, kostenlose WLANs. Gerade bei schlechtem Empfang über das Mobilfunknetz oder bei geringem Datenvolumen bieten diese Netze eine willkommene Alternative für den Zugang zum Internet. Trotz aller Vorteile sollten Sie die Gefahren eines solchen Netzwerkes aber nicht unterschätzen: Sie sind für alle anderen Nutzer des WLANs sichtbar und damit angreifbar.
Schützen Sie sich deswegen auf jedem Fall mithilfe eines VPN-Dienstes, der Ihre Verbindung ins Internet absichert. Es gibt dafür zahlreiche Anbieter, wobei die meisten kostenpflichtig sind. Wenn Sie nur gelegentlich ins Internet gehen, um beispielsweise in der Bahn Ihre Whatsapp-Nachrichten zu beantworten oder Ihre Mails zu prüfen, reicht auch ein kostenloser Dienst mit geringem Datenvolumen.
Avira bietet innerhalb der bereits genannten Security-App einen solchen Dienst an – Sie erhalten täglich ein kostenloses Datenvolumen von 100 MB. Der VPN-Dienst steht Ihnen über die Einstiegsseite der App über den Link „VPN – Sicher surfen“ zur Verfügung. Nachdem Sie die Funktion ausgewählt und den Verbindungsaufbau bestätigt haben, sind Sie über das VPN geschützt. Aktivieren Sie den Dienst am besten direkt, nachdem Sie sich am WLAN angemeldet haben. Wenn Sie das öffentliche WLAN verlassen haben, trennen Sie die VPN-Verbindung wieder über die App.
Besondere Vorsicht bei Bezahldiensten
Falls Sie auf Ihrem Smartphone einen Bezahldienst wie Paypal installiert haben, sollten Sie besondere Sicherheit walten lassen. Sonst kann ein Angreifer, wenn er Ihre Kontodaten kennt, unbefugt und meist auch unbemerkt Transaktionen ausführen. Nutzen Sie für die Absicherung des Dienstes das zweistufige Log-in-Verfahren. Dieses wird in anderen Apps auch als Zwei-Faktor-Authentifizierung bezeichnet.
Fazit: Grundsicherheit lässt sich einfach erzielen
Wie Sie in diesem Workshop gesehen haben, müssen Sie kein Sicherheitsexperte sein, um Ihr Smartphone grundlegend abzusichern. Dies schreckt einen Angreifer zwar nicht vollständig ab, erschwert ihm aber zumindest die Arbeit deutlich. Und das genügt in der Regel bereits, dass er sich nach einem anderen Opfer umsieht, dessen Smartphone er leichter kapern kann. (PC-Welt)