Darmstadt – Cloud-Datenbanken wie Facebooks Parse und Amazons AWS weisen nach einer Überprüfung 56 Mio. ungeschützte Datensätze auf. Experten der Technischen Universität Darmstadt http://www.tu-darmstadt.de und das Fraunhofer-Institut für Sichere Informationstechnologie http://sit.fraunhofer.de haben E-Mail-Adressen, Passwörter, Gesundheitsdaten und andere sensible Informationen von App-Benutzern geprüft, die leicht gestohlen und manipuliert werden können.
Auch Nutzer in der Verantwortung
App-Entwickler verwenden Cloud-Datenbanken, um Nutzerdaten zu speichern, ignorieren aber oft die Sicherheitsempfehlungen der Cloud-Anbieter, wie die Analyse zeigt. Für die User und deren Online-Accounts stellt dies eine potenzielle Bedrohung dar, denn sie sind durch Identitätsdiebstahl und andere Internetverbrechen bedroht. „Nutzer sollten sich deshalb gut überlegen, welche Daten sie mit Apps verwalten“, sagt Forschungsleiter Eric Bodden.
Viele Smartphone-Apps speichern Nutzerinformationen in Cloud-Datenbanken, um zum Beispiel die Synchronisation zwischen Android und iOS Apps zu vereinfachen. Cloud-Betreiber bieten – je nach Sensibilität der Daten – verschiedene Authentifizierungsmethoden hierfür an. Die schwächste Form der Authentifizierung, eher dazu gedacht, Daten zu identifizieren als zu schützen, verwendet ein einfaches API-Token, eine in den App-Code eingebettete Nummer.
Daten verkaufen, Viren einschleusen
Den Fachleuten aus Darmstadt nach ist Angreifern mit entsprechenden Werkzeugen jedoch das einfache Extrahieren der Daten möglich. Diese lassen sich dann nicht nur lesen, sondern oft sogar auch manipulieren. Cyber-Kriminelle können so zum Beispiel E-Mail-Adressen auf dem Schwarzmarkt verkaufen, Nutzer erpressen, Webseiten verändern oder Schadcode einschleusen, um auf gezielte Art und Weise Malware zu verbreiten oder Botnetze aufzubauen.
Um Daten richtig zu schützen, müssen Apps ein Zugangskontrollschema implementieren, fordern die Experten. Denn: Die Tests haben gezeigt, dass die große Mehrheit der von den meisten Nutzern verwendeten Apps keine solche Zugangskontrolle hat. Die Wissenschaftler untersuchten 750.000 Apps aus dem Google Play Store und dem Apple App Store. Dazu verwendeten sie intern entwickelte Analyse-Frameworks wie etwa den Fraunhofer Appicaptor.
„Aufgrund rechtlicher Einschränkungen und der großen Menge verdächtiger Apps konnten wir nur eine kleine Anzahl detailliert untersuchen. Allerdings zeigen unsere Ergebnisse, dass eine große Menge App-bezogener Informationen von Identitätsdiebstahl und Manipulation bedroht ist“, unterstreicht Bodden. Als die Fachleute das Problem entdeckten, informierten sie umgehend die Cloud-Anbieter sowie das Bundesamt für Sicherheit in der Informationstechnik.
Aussender: pressetex, Florian Fügemann
Foto: sit.fraunhofer.de
Redaktion: TG / Hallo-Holstein