TÜV Rheinland testet Apps auf Sicherheit

Wer auf seinem Smartphone Apps nutzt, läuft Gefahr, dass Daten ausgelesen und weitergegeben werden. 40 Prozent der Apps klauen Daten. Verbraucher können jetzt beim TÜV Rheinland überprüfen, ob ihre dazu gehören.

Die unsichersten Android-Apps im Überblick

Die "sehr kritischen" Apps - Kontaktdaten, Kalendereinträge, E-Mail, Browserdaten oder Konten werden gelesen und unter Umständen übermittelt, ohne dass die App vorher um Erlaubnis fragt.

WhatsApp

Als besonders kritisch wurde in der Studie "WhatsApp" eingestuft. Der Messenger, der seit Monaten immer wieder in der Kritik steht, weist erhebliche Mängel auf: Die App verschafft sich die Berechtigung, Kontodaten zu verändern - damit ist das Lesen und Löschen von Passwörtern möglich. Außerdem ist es möglich, die Synchronisierungs- und Systemeinstellungen anzupassen. Die App zeigt den exakten Standort des Handys (und damit auch in den meisten Fällen den des Users) und den Netzwerkstatus an.

Bild: Presse, Montage WirtschaftsWoche Online

Facebook

Ebenfalls als besonders kritisch für Sicherheitsrichtlinien in Unternehmen wurde die Facebook-App eingestuft. Audio-, Bilder- und Videoaufnahmen sowie Kontaktdaten können verändert und gelesen werden. Dateientransfer über Facebook via Internet ist ein Kinderspiel. Auch hier ist es möglich den Telefonstatus und den Netzwerkstatus zu erkennen. Der Standort des Smartphones wird je nach Situation genau und ungefähr ermittelt.

Bild: Presse, Montage WirtschaftsWoche Online

Skype

Die App des Chat- und Telefon-Programms "Skype" verlangt bei der Installation insgesamt 28 Berechtigungen. Unter diesen sind einige, die für ein Unternehmen besonders kritisch sein können. So bekommt die Berechtigung, Kontaktdaten auf dem Smartphone zu verändern und zu lesen. Auch die Synchronisierungseinstellungen (wie Einschalten von Bluetooth) lassen sich verändern und der Netzwerkstatus wird angezeigt. Darüber hinaus verbraucht diese App sehr viel Netzwerkspeicher und Akkuressourcen. Die App wird bezüglich Firmendaten laut Studie als besonders kritisch eingestuft.

Bild: Presse, Montage WirtschaftsWoche Online

Navigon

Ebenfalls "sehr kritisch" für Unternehmen wird die App "Navigon" eingestuft. Diese App verschafft sich die Berechtigung, Audios und Videos aufnehmen, Systemeinstellungen und den WLAN-Status zu ändern. Auch alle Anwendungen, die aktuell auf dem Telefon laufen, können abgerufen und sogar beendet werden. Ohne Begründung für die Hauptfunktionalität können Kontaktdaten und vertrauliche Systemprotokolle gelesen und unter Umständen ins Internet übertragen werden. Zudem ist es möglich, Broadcast zu senden, was zu einem immensen Speicherverbrauch führt. Beim Broadcasting werden Datenpakete von einem Punkt aus an alle Teilnehmer eines Netzes übertragen und aufrecht zu erhalten.

Bild: Presse, Montage WirtschaftsWoche Online

Viber

Viber verschafft sich auch Zugriff auf etliche Funktionen des Smartphones. So lassen sich unter anderem Audios, Bilder und Video aufnehmen, Kontaktdaten schreiben und lesen und in das Internet übertragen, vertrauliche Protokolle lesen und Konten identifizieren. Es können alle Telefonnummern aus dem Adressbuch angerufen werden. Damit gilt die App für freie Internet-Telefonie als hervorragendes Tool ist aber für den Schutz von Firmendaten "sehr kritisch".

Bild: Presse, Montage WirtschaftsWoche Online

Öffi

Auch die App des öffentlichen Nahverkehrs "Öffi" wird als besonders kritisch eingeordnet. Die App kann Kalendereinträge auf dem Smartphone und Kontaktdaten lesen und diese unter Umständen ins Internet übermitteln. Diese Aktionen sind für Funktionalitäten der App nicht nötig. Außerdem wird der genaue Standort des Handys einsehbar.

Bild: Presse, Montage WirtschaftsWoche Online

SPB-TV

Die TV-App SPB-TV gilt ebenfalls als besonders unsicher. Die App verschafft sich uneingeschränkten Zugang zum Internet mit dem Smartphone und kann sowohl den Telefon- als auch den Netzwerkstatus einsehen.

Bild: Presse, Montage WirtschaftsWoche Online

Datenklau ist bei Apps nicht die Ausnahme, sondern die Regel. Das haben Experten von TÜV Rheinland bei der Prüfung von 500 Apps festgestellt: Rund 40 Prozent aller Apps lesen Daten von Smartphones und Tablets aus, ohne dass es für die Funktion erforderlich wäre, der Nutzer hiervon weiß oder seine Einwilligung bewusst gegeben hat.

Das steht im Kleingedruckten der beliebtesten Apps

Standort erkennen

Problem: Positionsdaten ermitteln den exakten Aufenthaltsort. So lassen sich Bewegungsprofile erstellen

Beispiel:

Instagram

Tagesschau

WhatsApp

Kontakte einsehen

Problem: Einträge im Adressbuch auslesen. Kundendaten können in fremde Hände fallen.

Beispiele:

LinkedIn

ICQ-Messenger

Facebook

Anrufe tätigen

Problem: Telefon von außen aktivieren. Gebühren für Anrufe fallen an, die man gar nicht geführt hat.

Beispiele:

S-Filialfinder

Camcard

Lufthansa

Kalender einsehen

Problem: Zugriff auf Kalendereinträge. Der Nutzer verliert die Hoheit über seine Termine.

Beispiele:

Last.fm

Evernote

ÖPNV-Auskunft

Digitaler Fingerabdruck

Problem: Sensible Codes des Gerätes(IMEI) und/ oder der SIM-Karte (IMSI) auslesen. Spionagegefahr wächst.

Beispiele:

Navigon

Skype

Runtastic

Surfverhalten analysieren

Problem: Eingehende Daten und Lesezeichen abfangen. Vorlieben werden bekannt.

Beispiele:

Viber

Droid Blocker

Barcoo

Zum Schutz davor hat der TÜV jetzt eine kostenlose Datenbank eingerichtet, auf der sichere Programme angegeben werden. „Check Your App“ ist seit Mittwoch unter www.checkyourapp.de freigeschaltet. „Ein Blick genügt, um sich darüber zu informieren, welche Apps erfolgreich geprüft und mit Nutzerdaten vertrauensvoll umgehen“, sagt der Projektleiter, Dieter Schober.

Diese Daten können die populärsten Android-Apps auslesen

Sehr kritische Apps

Kontaktdaten, Kalendereinträge, E-Mail, Browserdaten oder Konten werden gelesen und unter Umständen übermittelt, ohne dass die App vorher um Erlaubnis fragt. Als "sehr kritisch" sind auch solche Apps anzusehen, die nicht deklarierte Aktionen durchführen, die sich auf Kontakte oder Kalenderübermittlung beziehen.

Apps:

WhatsApp (Chatten mit anderen Nutzern)
Facebook (Soziales Netzwerk)
Skype (Internet- und Videotelefonie)
Navigon (Navigationssystem)
Viber (Internet-Telefonie)
ÖPNV (Auskunft Fahrpläne von Bus und Straßenbahn)
SPB-TV (Fernsehen aus aller Welt)
ICQ-Messenger (Chatten mit anderen Nutzern)
mapmyride (Auswerten von Radtouren)
The Weather Channel (Wettervorhersage)
Droid Blocker (Blockiert unerwünschte Anrufer)
LinkedIn (Businessnetzwerk)
3G Watchdog (Überwacht den Datenverbrauch)
Qik Video (Kostenlose Videochats)
Gtasks (To-do-Liste auf dem Smartphone)

Kritische Apps

Kontaktdaten, Kalendereinträge, E-Mails, Surfverhalten, Dateien und Konten werden gelesen und unter Umständen übermittelt, nachdem die App um Erlaubnis gefragt hat. Als "kritisch" werden auch Apps bezeichnet, die sicherheitsrelevante Aspekte aufweisen.

Apps:

Barcoo (Entschlüsselt Strichcodes)
eBay (Online-Auktionen)
dict.cc (Wörterbuch)
DB-Navigator (Bahn-Auskunft)
Mega Jump (Online-Spiel)
RTL inside (Programmbegleiter)
HRS App (Hotelzimmer reservieren)
Dropbox (Herunterladen von Dateien)
Bloomberg App (Wirtschaftsnachrichten)
Twitter (Kurzmitteilungen verbreiten)
Camcard (Ordnet Visitenkarten)
Bump (Zwei Geräte tauschen Datei)
Instagram (Virtuelles Fotoalbum)

Weniger kritische Apps

Lesen und unter Umständen die Übermittlung von Standortdaten und Geräteidentifikation. "Weniger kritisch" sind auch Apps mit nichtdeklarierten Aktionen wie Internetübermittlungen der eindeutigen Gerätekennung (IMEI-Nummer), Standort- oder hereinkommenden Daten.

Apps:

Blitzer.de (Warnt vor Radarfallen)
Shazam (Identifiziert unbekannte Songs)
Camscanner (Scannt Belege als pdf)
Schöner Fernsehen (Zugriff auf 30 deutsche TV-Sender)
Zattoo Live TV (Fernsehen auf dem Smartphone)
Tunein Radio (Radiostationen aus aller Welt)
Tiny Flashlight (Taschenlampe)
TVGoo Live TV (Fernsehen auf dem Smartphone)
Wetter.com (Wettervorhersagen)
Dr. Oetker Rezeptideen (Virtuelles Kochbuch)
Solitär (Kartenspiel)

Tagesschau (Nachrichtensendung)

TV-Spielfilm (TV-Programm auf dem Smartphone)
Last.fm (Internet-Radio)
VLC Stream (Musik und Videos streamen)
photo2fun (Fotos bearbeiten)
iLiga (Sport-Ergebnisse und -Tabellen)
Evernote (Virtuelles Notizbuch)
Skyscanner (Preisvergleich für Flüge)
MyTaxi (Nächstgelegenes Taxi bestellen)
Spotify (Musik und Videos streamen)
Sixt (Auto mieten)
XE Currency (Wechselkursrechner)
I say hello (Reisewörterbuch)
S-Filialfinder (Findet die nächste Sparkasse)
Finanzen.net (Finanznachrichten)
Runtastic (Trainingsergebnisse auswerten)
Fruit Ninja (Online-Spiel)
Xing (Businessnetzwerk)
Starmoney (Mobile Banking)

Unkritische Apps

Für Smartphones und Tablets von Managern geeignet, weil die Apps nicht auf persönliche Informationen zugreifen

Apps:

Adobe Flash Player (Hochwertige Wiedergabe von Apps)
YouTube (Videos suchen und abspielen)
Barcode Scanner (Entschlüsselt Strichcodes)
Amazon (Online einkaufen)
Angry Birds (Beliebtes Online-Spiel)
Google Übersetzer (Automatisch übersetzen)
Google Earth (Ortssuche aus dem Weltraum)
Kindle (Lesen auf dem Smartphone/Tablet)
iHandy (Wasserwaage)
Quickoffice Pro (Verwalten von Dateien)
Google Suche (Suchen im Web)
TomTom (Navigation)
Fahrplan.de (Bus- und Bahnverbindungen)
ADAC Maps (Navigation)
Sport1 (Sportnachrichten)
Justin.tv (Live-Streaming)
Öffnungszeiten-App (Lokale Ladenschlusszeiten)
Taxicaller (Nächstgelegenes Taxi bestellen)
Lufthansa-App (Mobile Bordkarte)
Aroundme (Findet Banken, Bars und Tankstellen)
Documents to go (Herunterladen von Dateien)
Netcounter (Zeigt den Datenverbrauch an)
Sorting Thoughts (Gedanken und Notizen sammeln)
Verbrechen (Zeigt, wie gefährlich ein Ort ist)
Acoustic (Alternative Radio Internet-Radio)
Soundhound (Identifiziert unbekannte Songs)
Meeting Rec (Aufzeichnen von Konferenzen)
PolyUhr (Weltuhr mit allen Zeitzonen)
Timeclock (Wecken und Zeit erfassen)

Vor eineinhalb Jahren hat er mit der Arbeit an dem Testverfahren begonnen. „Ich habe mich geärgert, dass Apps Dinge tun, die sie nicht tun sollten.“ Er geht davon aus, dass rund 30 Prozent aller Anwendungen den unbemerkten Datenklau als Geschäftsmodell nutzen.

Insbesondere kostenlose Apps seien davon betroffen. Standortdaten, Passwörter, Telefonlisten oder das Surf-Verhalten, Fotos und Textnachrichten des App-Nutzers landen so auf Servern im Ausland und können dazu genutzt werden, spezielle Datenprofile über eine Person zu erstellen.

Getestet werden Apps die unter den Plattformen iOS (Apple), Android (Google) und Windows Phone (Microsoft) laufen. Anwendungen, die das Prüfverfahren erfolgreich durchlaufen, landen dann in der Datenbank des TÜV.