Über 1'300 Android-Apps greifen unerlaubt Daten ab

Google erlaubt seit dem Android-6-Release eine manuelle Verwaltung der App-Berechtigungen. Nutzer können so exakt definieren, welche Apps Zugriff auf Standortdaten, die Kamera und sonstige Informationen erhalten. Wie nun allerdings ein internationales Forscherteam herausgefunden hat, umgehen viele Android-Apps aus dem offiziellen Play Store diese Regelung und greifen ohne Zustimmung des Nutzers persönliche Daten ab.

Insgesamt sind die Sicherheitsexperten auf über 1.300 Anwendungen gestossen, die Androids App-Berechtigungen gezielt umgehen. Die Anwendungen greifen die gesuchten Daten entweder über die Kommunikation mit anderen Apps ab, die über die erforderlichen Rechte verfügen, oder aber sie nutzen die in Medien enthaltenen Metadaten, um Informationen auszulesen. So speichern beispielsweise viele Anwender Standortdaten innerhalb von Bilddateien ab. Mit diesen beiden Methoden lassen sich neben Standortinformation auch Daten zum Gerät (IMEI), zu WLAN-Verbindungen oder der MAC-Adresse des heimischen Routers sammeln.

Mit zu den prominentesten Apps, auf die die Forscher gestossen sind, gehören Samsungs Health App und der Samsung Internet Browser. Beide Anwendungen werden im Play Store mit über 500 Millionen Installationen beworben.

Die Ergebnisse der Untersuchung wurden an Google weitergeleitet und von dem Android-Hersteller mit einer nicht näher spezifizierten Bug-Bounty-Prämie honoriert. Die komplette Ausarbeitung der Forscher trägt den Titel "50 Ways to Leak Your Data [PDF]" und ist frei zugänglich.

Mit dem kommenden Android Q sollen die Fehler behoben werden, die das unberechtigte Abgreifen der Daten ermöglichen. Darüber hinaus erweitert Google die Verwaltung der App-Berechtigungen in Android Q um temporäre Zugriffe für aktive Apps. Damit lässt sich etwa festlegen, dass eine Navigations-App lediglich Zugriff auf den Standort erhält, wenn die Anwendung auch tatsächlich aufgerufen wird. Ein verdecktes Sammeln von Daten im Hintergrund soll dadurch verhindert werden.