Anzeige
Anzeige
Anzeige
Datensicherheit
ePrivacy-Studie: Nur die wenigsten Apps sind sicher
20.04.2015 - Das Beratungsunternehmen ePrivacy hat rund 730 Apps auf Datensicherheit und Datenschutz hin getestet. Im Fokus standen mobile Anwendungen, die sensible Daten übermitteln. Das Ergebnis ist alarmierend.
"Die Reaktion auf das Angebot für Unternehmen, ihre Apps zu testen, war auch bei direkter Ansprache nicht besonders hoch. Das hat mich gewundert", sagt Professor Christoph Bauer, Geschäftsführer des Beratungsunternehmens ePrivacy. Das hat jetzt doch getestet und eine Studie erstellt, die bezüglich Datensicherheit und Einhaltung des Datenschutzes bei mobilen Anwendungen erschreckende Ergebnisse liefert. Rund 730 Apps, unterteilt in die Branchen Kommunikation, Social Media, eHealth und mobiles Banking, wurden mittels einer selbstentwickelten Test-Software Labortests auf Basis eines basierten Prüfkatalogs unterzogen. Man konzentrierte sich auf iOS- und Android-Anwendungen, von denen sensible Daten übermittelt werden. Also Kreditkartendaten, PINs, Login-Informationen, Inhalte von Textnachrichten. Ausgewählt wurden die Apps aufgrund der höchsten Download-Zahlen je Kategorie.
Das Ergebnis: Viele Anbieter werden den Anforderungen an Schutz und Sicherheit der Nutzerdaten nicht gerecht. 78 Prozent der Apps konnten die Daten nicht vor einem sogenannten Man-In-The-Middle-Angriff (MITM) schützen. Die ePrivacy-Software simulierte eine dritte Partei, die sich zwischen App und Zielsystem schaltet und so versucht, Daten abzufangen. Bei 45 Prozent der Apps waren die Daten nicht noch einmal verschlüsselt: Es gelang personenbezogene und hochsensible Daten auszulesen. Bei den Kommunikations-Apps, getestet wurden hier vor allem E-Mail-Dienste, gelang das bei 68 Prozent Daten. Abfangen konnten die Tester Passwörter, User-IDs, Inhalte, Empfänger und Kontaktlisten. Auch bei den Banking-Apps sieht es nicht viel besser aus: "Bei 63 Prozent der Banken-Apps konnte man Benutzername und Passwort abfangen. Wenn eine IBAN verwendet wurde, konnte die auch ausgelesen werden", so Bauer. Bei Social-Media-Apps sind 60 Prozent nicht ausreichend geschützt und bei den eHealth-Anwendungen liegt die Durchfallquote sogar bei 100 Prozent. Werte spezieller Zuckererkrankungen, Medikamentendosierungen, genutzter Insulinpräparate waren für die "Hacker" offengelegt. Oft liegt die Angreifbarkeit der Daten alleine in der fehlerhaften Einbauung der Zertifikate, wie bei Messengern, die End-to-End-Verschlüsselung versprechen. "Oftmals sind Zertifikate nicht richtig eingebunden. Die sind zwar vorhanden, in der Umsetzung gibt es aber oft Fehler."
Behörden kommen mit der Prüfung nicht hinterher
Und auch beim Datenschutz sieht es nicht viel besser aus. Bei 28 Prozent der untersuchten Apps ist überhaupt keine Datenschutzerklärung über die App aufrufbar. Bei 37 Prozent ist sie vor dem Login nicht aufrufbar. Werden personenbezogene Daten, wie ein Login, verwendet und vom User erhoben, muss dieser laut Bundesdatenschutzgesetz davor einwilligen. In den anderen Fällen muss mindestens in der App eine Erklärung abgerufen werden können. "Anders, als wenn ein Dienst stationär genutzt wird, kann eine App noch auf andere Daten, zum Beispiel Kontakt- oder Kalenderinformationen, zugreifen. Deshalb genügt die Desktop-Datenschutzerklärung nicht für die App", erklärt Bauer.
Bei den Social-Media Apps fallen hier besonders viele Apps durch: 60 Prozent besitzen gar keine Erklärung, bei 80 Prozent konnte sie nicht vor einem Login abgerufen werden. Ein ganz klarer Gesetzesverstoß. Eigentlich müssten da die Datenschutzbehörden der Länder aktiv werden aber die kämen gar nicht hinterher, das alles zu prüfen, sagt Bauer. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat im vergangenen Jahr eine "Orientierungshilfe zu den Datenschutz-Anforderungen an App-Entwickler und App-Anbieter" veröffentlicht, die über alle Anforderungen an den Datenschutz informiert. Daraufhin wurden auch bei 30 Apps erhebliche Mängel festgestellt und den Anbietern mit einem Bußgeld von bis zu 50.000 Euro, teilweise sogar bis zu 300.000 Euro, gedroht. Dennoch gibt es weit mehr Apps als die Behörden mit ihren geringen Kapazitäten überprüfen können.
Die mobile Nutzung steigt ständig. Manche Studien wollen gar belegen, dass sie die Desktop-Nutzung im privaten Bereich schon übertroffen habe. Und besonders gerne nutzen User Apps, nicht den mobilen Browser. "Das Thema Apps ist noch ein sehr junges Thema. Oftmals wurde und wird die App-Entwicklung ausgelagert, auch an freie Entwickler. Bisher war noch gar nicht bekannt, welche Sicherheitsstandards man einhalten muss. Da wurden traditionelle IT-Standards oft unterlaufen", erklärt sich Christoph Bauer die Misere. Doch aktuell haben die Hacker die gravierenden Mängel noch nicht stark auf dem Schirm. Der MITM-Angriff werde im Mobile-Bereich noch nicht so viel genutzt. Auch dank der User, deren Vertrauen in die Kombination hochsensible Daten plus App noch nicht besonders groß ist. "Wenn der Umgang mit Anwendungen wie Mobile Banking steigt, wird aber sicher auch die Anzahl der Hacker-Angriffe steigen." Doch auch der Umkehrschluss gilt: Wären Apps ausreichend geschützt, könnte das den Durchbruch für das Mobile Payment und Banking bedeuten, auf den schon so lange gewartet wird.
Doch mit der freiwilligen Prüfung und auch dem Siegel, das ePrivacy für sichere und datenschutzkonforme Apps anbietet, läuft es noch nicht wie erwartet. "Die, die sich prüfen lassen, wollen meistens nur Prüfung, Analyse und Beratung, aber nicht das ePrivacy App-Siegel. Das würde sagen: `Wir waren vorher nicht sauber und sind es erst jetzt.` Da ist man in diesem Bereich sehr sensibel." Natürlich will Bauer keine Namen unsicherer Apps nennen. Man will ja keine Reaktanz in der Branche erzeugen. Schließlich ist auch ePrivacy ein kommerzielles Unternehmen, das vom Testen und Beraten in diesem Bereich lebt.
Obwohl er ohnehin keine Apps nutzt, bei der hochsensible Daten eingegeben werden müssen, hat Bauer auch persönlich aus der Studie gelernt: "Einmal habe ich bei einem großen deutschen Mobilitätsunternehmen Tickets bestellt in der App, da musste man auch Zahlungsinformationen eingeben. Das würde ich heute nicht mehr tun." (ks)
Vorträge zum Thema:
Anzeige
HighText Verlag
Mischenrieder Weg 18
82234 Weßling
Tel.: +49 (0) 89-57 83 87-0
Fax: +49 (0) 89-57 83 87-99
E-Mail: info@onetoone.de
Web: www.hightext.de
Besuchen Sie auch:
