iPhone-Apps unsicherer als Android?

Wer als Unternehmen Wert darauf legt, dass seine sensiblen Daten, Informationen und Kontakte auch vertraulich bleiben, der sollte um iPhone und Android-Smartphones einen großen Bogen machen. Diesen Schluss legt zumindest der diesjährige App Reputation Report des US-Unternehmens Appthority nahe. Gleichzeitig räumt der Report mit der weitverbreiteten Mär auf, dass Daten in Apples geschlossenem Eco-System sicherer aufgehoben seien als auf der offenen Android-Plattform.

Den Amerikanern zufolge weisen 99 Prozent aller kostenlosen Apps - egal ob iOS oder Android - ein unter Sicherheits- und Compliance-Aspekten bedenkliches Verhalten auf und geben sensible Informationen ungefragt weiter. Selbst bei bezahlten Apps sieht die Situation kaum besser aus: Hier melden 78 Prozent der Android-Apps Informationen weiter und gar 87 Prozent der iOS-Apps haben Hunger auf die User-Daten.

Kaum Malware, aber schnüffelnde Apps

Für den Report analysierte Appthority nach eigenen Angaben im Sommer jeweils die Top 100 der kostenlosen und bezahlten Apps für Android sowie iOS. Dabei wurden die insgesamt 400 Apps mit Hilfe des Cloud-basierten Appthority App Risk Managment Service - den das Unternehmen auch als Dienstleistung vermarktet - analysiert. Als Sicherheitsrisiken definierte Appthority dabei App-Verhalten wie das Location-Tracking, den Zugriff auf die Adressbücher, den Kalenderzugriff, die eindeutige Identifizierung des Benutzers anhand der IMEI/UDID sowie InApp-Käufe.

Viele Leser werden angesichts dieser genannten Sicherheitsrisiken den Kopf schütteln und die These vertreten, dass die eigentliche Bedrohung für Enterprise Networks und Unternehmensdaten doch eigentlich von Viren und anderer Malware ausgehe. Dem entgegnet man bei Appthority damit, dass man bei Analysen lediglich 0,4 Prozent verseuchte Apps im Enterprise gefunden habe und keine der 400 im Report analysierten Apps versucht gewesen sei.

Mit Big Data zum gläsernen User

Die eigentliche Gefahr für die Unternehmen und ihre Mitarbeiter gehe vielmehr von Apps aus, wobei der User häufig nicht wisse, welche Daten wohin übertragen werden. Und für die blauäugigen Anhänger der "Ich habe ja nichts zu verbergen"-Fraktion hat man bei dem 2011 gegründeten Security-Unternehmen gleich einige drastische Beispiele parat, wie aus scheinbar harmlosen Daten Sicherheitsprobleme entstehen: Was passiert etwa, wenn Einbrecherbanden Location-Tracking-Daten kaufen und so wissen, dass die eigene Wohnung leer steht? Oder wollen Mitarbeiter, dass ihr Arbeitgeber per Location Tracking erfährt, dass sie den Hauptsitz des Konkurrenten besuchten, um sich zu bewerben?

Ebenso entpuppt sich der Zugriff auf das Adressbuch schnell als Risiko, wenn etwa Geschäftskontakte in den Besitz der Konkurrenz gelangen. Zudem werden diese Daten immer mehr zum Versand von Corporate Spam missbraucht, denn durch das Auslesen der Adressbücher gelangen die Ad-Networks in den Besitz kompletter Kontaktdaten inklusive Berufsbezeichnung, Telefonnummer etc. Kombiniert mit den Daten aus dem Kalender, der ungefragt übertragenen IMEI oder UDID lassen sich so schnell komplette Benutzerprofile generieren - Big Data lässt grüßen.

So werden Sie ausgespäht

Erschwerend kommt hinzu, dass fast nicht zu kontrollieren ist, wohin die von den Apps gesammelten Daten gehen. Auf der Hand liegen noch Ad-Networks und Daten-Broker. Doch auch die Social Networks sammeln zunehmend mit Hilfe von Apps Daten, wenn etwa mit einem Single SignOn die gelichzeitige Anmeldung im sozialen Netz und bei der App erfolgt. Ein anderer Datenaggregator, so warnt Appthority, sind Analytics Frameworks wie etwa Google Analytics. Diesen werde oft der Zugriff auf die Daten gewährt, wenn App-Entwickler zur Programmierung auf kostenlose SDKs zurückgreifen. Laut der Studie sind etliche populäre SDKs gleichzeitig auch Analytics Frameworks mit eingebauten Routinen zum Sammeln der User-Daten. Eine weitere Datenkrake, die ungefragt Informationen abgreift, können SDKs für Crash Reports sein.

Deren Einsatz nehme zu, da sich die Entwickler in einem zunehmend stärkeren Wettbewerb befänden und dieses Tools nutzten, um Performance und Stabilität ihrer Apps zu monitoren. Letztlich sollten sich App-Entwickler grundsätzlich überlegen, ob sie einfach auf Software-Routinen Dritter zurückgreifen, denn dies erhöhe die Gefahr, dass ihre Apps ein sicherheitskritisches Verhalten an den Tag legen. Ein weiteres Risiko sei, dass viele Apps Daten direkt in Public-Cloud-Speichern ablegen. Ein Unterfangen, das die Bemühen der IT-Abteilungen für einen sicheren Umgang mit Unternehmensdaten - etwa durch Unterbindung des Dropbox-Zugangs - konterkarriere.

Riskante kostenlose Apps

Unter dem Strich, so zumindest das Ergebnis des "Summer 2014 App Reputation Report" ist der Einsatz kostenloser Apps riskanter als der bezahlter Apps. Besonders häufig werden dabei ortsbezogene Daten gesammelt und weitergeleitet. Besonders beunruhigend ist zudem, wie oft die Apps die eindeutige Benutzerkennung der Geräte auslesen und verschicken. Auf der Android-Plattform sind das erschreckende 77 Prozent der untersuchten Apps. Zur Beruhigung taugt das Ergebnis für iOS auch nicht. Dort versuchten 43 Prozent der Apps die eindeutige und einmalige Kennung auszulesen. Und dies, obwohl Apple seit iOS 6 Entwicklern den Zugriff auf die UDID untersagt. Ein Umstand, der Fragen an dem Qualitätssicherungsprozess aufkommen lässt, den ja jede App durchlaufen muss, bevor sie bei Apple im Store landet.