Lade Daten...
17.05.2011
Schrift:
-
+

Google-Betriebssystem

Deutsche Forscher finden Datenleck in Android

Von , und Jörg Breithut
REUTERS

Android-Maskottchen: Googles Handy-Betriebssystem hat ein Sicherheitsproblem

In Googles Handy-Betriebssystem tut sich ein mächtiges Loch auf: Wer mit einem Android-Smartphone oder -Tablet in einem offenen W-Lan unterwegs ist, öffnet damit Kalender, Kontakte und online gespeicherte Fotos für böswillige Angreifer. Betroffen sind 99 Prozent aller Android-Geräte.

Hamburg/Ulm - Bastian Könings hat sein Handy sicherheitshalber geknackt. Das war die einzige Möglichkeit, die große Sicherheitslücke in Googles Handy-Betriebssystem Android zu schließen, die das Team des IT-Security-Forschers gefunden hatte. Das Leck erlaubt einem Angreifer, sämtliche Daten mitzulesen, die ein Benutzer seinem Handy-Kalender, seiner Kontaktliste oder dem Android-Fotoprogramm anvertraut - sofern dieser Nutzer sein Handy in einem offenen W-Lan benutzt. Mehr noch: Die Lücke würde es sogar erlauben, "sich diesen Diensten gegenüber als der betreffende Nutzer auszugeben", erklärt Könings. Dazu müsste man nur Googles Schnittstellen für externe Entwickler benutzen.

Schwierig sei ein solcher Angriff nicht, sagt Könings: "Dafür muss man noch nicht einmal studiert haben. Das ist von Google sehr gut dokumentiert. Diese Angriffe sind sehr einfach."

Interessant für Konkurrenten, Stalker, Kriminelle

Ein denkbares Szenario schildert Könings so: Ein Angreifer macht ein offenes W-Lan auf und gibt ihm einen häufigen Netzwerk-Namen - etwa einen, der standardmäßig in Café-Ketten oder Flughafen-Lounges ("Free Wifi", "starbucks") verwendet wird. Jedes Android-Handy, das in die Reichweite dieses Hot Spots kommt und schon einmal in einem anderen Netzwerk gleichen Namens angemeldet war, würde sich automatisch mit dem neuen, offenen, kostenlos nutzbaren W-Lan anmelden - der Besitzer würde das nicht einmal bemerken. Der Angreifer könnte sodann, sobald sich Kalender, Kontakte-Anwendung und Foto-Anwendung mit Googles Cloud-Diensten synchronisieren, alles abfangen, was da hinüberwandert - inklusive bestimmter Authentifizierungsdateien, sogenannter Tokens.

Diese Tokens bleiben über "maximal zwei Wochen" unverändert, sagt Könings. Wer eins ergattert hat, könnte anschließend nach Belieben im Kalender, der Kontaktliste oder den Online-Fotogalerien seines Opfers herumgeistern, Daten herausholen oder hineinfüllen. Das wäre für geschäftliche Konkurrenten ebenso interessant wie für Stalker oder Kriminelle, die gerne wissen möchten, wann jemand sicher nicht zu Hause sein wird.

Nicht nur Google-eigene Apps nutzen dieses Anmeldesystem. Könings nennt als Beispiel das kostenlose E-Mail-Programm Thunderbird - auch das lässt sich mit einem Google-Kalender nach dem gleichen Prinzip synchronisieren. Auch andere Apps könnten also von dem Problem betroffen sein.

Google prüft eigenen Angaben zufolge derzeit die Sicherheitslücke. Mehr teilte das Unternehmen auf Anfrage nicht mit. Könings sagt, er habe Google schon vor einiger Zeit auf das Problem hingewiesen. Die Antworten des Unternehmens seien jedoch "immer sehr knapp" ausgefallen.

99 Prozent aller Android-Nutzer dürften betroffen sein

Googles Android-System ist in Deutschland weit verbreitet. Von Januar bis März haben sich hierzulande die Abrufe von Web-Seiten mit Mobiltelefonen, auf denen Android läuft, mehr als verdoppelt. Die Android-Geräte haben Apples iPhone in dem Zeitraum vom ersten Platz in der Auswertung des Werbevermarkters inMobi verdrängt. Diese Statistik beruht auf der Auswertung der Werbeeinblendungen des Vermarkters - die Anteile spiegeln nicht exakt die Gesamtverteilung wider, taugen aber als Barometer für die Entwicklung.

Das Team der Universität Ulm hat zwar dieses schwere Sicherheitsleck im Google-Betriebssystem Android entdeckt - die Vorarbeit haben jedoch Forscher in den USA geleistet. Sie hatten gezeigt, dass die Daten vieler Anwendungen unverschlüsselt über W-Lan-Netzwerke gesendet werden, auch bei anderen Geräten. Zudem waren beispielsweise Programme von Drittanbietern wie Facebook und Twitter betroffen. Ein Blog-Beitrag des Professors Dan Wallach von der Rice University in Houston hatte die Forscher aus Ulm auf die Spur gebracht. Wallach hatte herausgefunden, dass einige Anwendungen auf Android-Handys die Daten unverschlüsselt übermitteln.

Offene W-Lans sind ab jetzt tabu

Betroffen sind fast alle Android-Nutzer - laut den Forschern hat Google die Sicherheitslücke zwar in der Betriebssystem-Version 2.3.4. geschlossen, aber nur für Kalender und Kontakte. Die Picasa-Fotoanwendung weist die Lücke auch in der neuen Version noch auf, sie wird von einem externen Unternehmen entwickelt.

Allerdings ist die Version 2.3.4 erst seit Anfang Mai verfügbar - und das längst nicht für alle Geräte. Denn die Aktualisierungen des Systems hängen von den Mobilfunk-Providern ab, Nutzer können darauf keinen Einfluss nehmen, ohne das System zu knacken. Bei seiner Entwicklerkonferenz Google I/O hatte der Suchmaschinenkonzern vergangene Woche angekündigt, man werde diesen langsamen, umständlichen und ungleichmäßigen Update-Prozess nun verbessern und beschleunigen. Dazu haben sich zunächst die Unternehmen Verizon, HTC, Samsung, Sprint, Sony Ericsson, LG, T-Mobile, Vodafone, Motorola und AT&T verpflichtet. Die Entwickler im Saal jubelten - viele empfinden die, wie Könings sagt, "ewigen" Wartezeiten auf aktuelle Betriebssystem-Versionen als quälend und kontraproduktiv - und als gefährlich.

"Die einzige Möglichkeit, mein eigenes Gerät sicher zu machen, war, mir Root Access zu verschaffen", sagt Könings. Nur mit diesem Vollzugriff aufs System konnte er durch ein selbstdurchgeführtes Betriebssystem-Update die Lücke schließen, die sein Team entdeckt hatte. Normalen Besitzern eines Android-Handys würde der IT-Security-Forscher von der Universität Ulm davon allerdings dringend abraten, denn dieses Vorgehen bringt neue unkalkulierbare Risiken mit sich.

Google hat zuletzt Anfang Mai Informationen zur Verteilung unterschiedlicher Versionen des Betriebssystems veröffentlicht. Die Daten basieren auf einer Analyse aller Geräte, von denen der Software-Laden Android Market binnen zwei Wochen aufgerufen wurde. Demnach läuft auf nahezu 80 Prozent der Android-Geräte die Version 2.1 oder 2.2 von Android. Es ist unklar, wie viele Nutzer seitdem die neue Android-Version installiert haben - der Anteil dürfte allerdings minimal sein.

Verteilung von Android-Versionen im April 2011

Android-Version Anteil (%)
1.5 2,3
1.6 3,0
2.1 24,5
2.2 65,9
2.3 1,0
2.3.3 3,0
3.0 0,3

Verteilung von Android-Versionen laut Google, Stand: 2.5.2011

Für alle Betroffenen hat Könings einen wichtigen Rat: Die automatische Anmeldung in bereits besuchten W-Lans lässt sich nur unterbinden, indem man diese Netzwerke aus der im Handy oder Tablet gespeicherten Netzwerkliste löscht. Über Einstellungen -> W-Lan-Einstellungen kann man sich die gespeicherten Netze anzeigen lassen. Wer alle gespeicherten offenen (W-Lan-Symbol ohne Vorhängeschloss) W-Lans löscht, sich vorerst in keinem offenen W-Lan mehr anmeldet, und dann noch sein Google-Passwort ändert, ist auf der sicheren Seite.

Die Technik, in offenen W-Lans Daten mitzuschneiden und damit Schlimmes anzustellen, funktioniert übrigens auch bei anderen Geräten. Wer also in einem offenen W-Lan Anwendungen benutzt - egal, ob mit einem iPhone, einem Laptop oder einem Android-Handy -, die unverschlüsselt Daten mit der Wolke austauschen, geht stets ein Risiko ein.

Mobilfunk: Marktanteile von Smartphone-Plattformen Deutschland 2011

OS Marktanteil März 2011 (%) Marktanteil Januar 2011 (%) Impressions März 2011 (Mio.) Impressions Januar 2011 Veränderung %
Android 49,7 24,6 257,8 115,6 123,1
iPhone OS 30,1 39,1 156,0 183,7 -15,1
Symbian OS 6,9 13 36,0 61,2 -41,2
RIM OS 2,1 1,9 10,7 9,1 16,9
Nokia OS 1,8 2,5 9,5 11,9 -20,0
andere 9,4 18,8 48,7 88,8 -45,2

Quelle: InMob Mobile Insights, Basis der Auswertung sind 518,7 Millionen inMobi-Werbeeinblendungen auf Mobilgeräten in Deutschland im März 2011 und 470,3 Millionen Werbeeinblendungen im Januar

Forum

Diskutieren Sie über diesen Artikel
insgesamt 110 Beiträge
1. Mächtiges Loch???
setro 17.05.2011
Wer in einem offenen, unverschlüsselten W-Lan unterwegs ist, hat schon seit Langem den Schuss nicht gehört. Unverschlüsselt übertragene Passwörter für online-Zugänge etc. sind so für jeden einsehbar. Damit sind offene [...]
Zitat von sysopIn Googles Handy-Betriebssystem tut sich ein mächtiges Loch auf: Wer mit einem Android-Smartphone oder -Tablet in einem offenen W-Lan unterwegs ist, öffnet damit Kalender, Kontakte und online gespeicherte Fotos für böswillige Angreifer. Betroffen sind 99 Prozent aller Android-Geräte. http://www.spiegel.de/netzwelt/web/0,1518,763176,00.html
Wer in einem offenen, unverschlüsselten W-Lan unterwegs ist, hat schon seit Langem den Schuss nicht gehört. Unverschlüsselt übertragene Passwörter für online-Zugänge etc. sind so für jeden einsehbar. Damit sind offene W-Lan schon lange tabu, nicht erst seit heute.
2. xy
heinz4444 17.05.2011
Deswegen hab ich ein Handy,mit dem man,oh Überraschung,nur telefonieren und Simsen kann.Noch nichtmal fotografieren kann man damit.Und aufs Simsen verzichte ich auch,ist mir einfach zu umständlich,da hab ich schneller [...]
Deswegen hab ich ein Handy,mit dem man,oh Überraschung,nur telefonieren und Simsen kann.Noch nichtmal fotografieren kann man damit.Und aufs Simsen verzichte ich auch,ist mir einfach zu umständlich,da hab ich schneller angerufen. Einerseits gibt es ständig Proteste gegen Zensus usw.,andererseits legen die Menschen unbewusst ihre intimsten Daten offen.Ob Google ob Apple oder Facebook, überall klaffen riesige Löcher im Datennetz und der Leichtsinn der User verstärkt die Probleme noch mehr.
3. Kein Bestandteil von Android
mlange8801 17.05.2011
Die Implementierung des ClientLogin-Protokolls ist doch nicht Bestandteil von Android sondern ist ggf. "fehlerhaft" (bzw. mit schwachem Schutz) in einzelnen Apps implementiert. Im übrigen arbeiten afaik auch die [...]
Die Implementierung des ClientLogin-Protokolls ist doch nicht Bestandteil von Android sondern ist ggf. "fehlerhaft" (bzw. mit schwachem Schutz) in einzelnen Apps implementiert. Im übrigen arbeiten afaik auch die meisten imap, smtp, pop3 Dienste mit Klartextpasswörtern - da könnten die Forscher ja auch noch tolle Sicherheitlücken entdecken;)
4. Trivial
darmstädter 17.05.2011
Absolut trivial. Giltfür jede Webapplikation seit der Erfindung des Internets, die Sessioncookies benutzt. Nur, wer loggt sih schon mit http statt https ein? Für diese "Lücke" gibts nicht mal die 1337 dollars [...]
Absolut trivial. Giltfür jede Webapplikation seit der Erfindung des Internets, die Sessioncookies benutzt. Nur, wer loggt sih schon mit http statt https ein? Für diese "Lücke" gibts nicht mal die 1337 dollars von Google.
5. nicht nur deswegen
genugistgenug 17.05.2011
nicht nur deswegen - auch weil man mit einem Tastendruck dann irgendetwas startet was viel Geld kosten kann, oder durch ein Update plötzlich Funktionen anders belegt werden - schlicht gesagt, es kostet viel zu viel [...]
Zitat von heinz4444Deswegen hab ich ein Handy,mit dem man,oh Überraschung,nur telefonieren und Simsen kann.Noch nichtmal fotografieren kann man damit.Und aufs Simsen verzichte ich auch,ist mir einfach zu umständlich,da hab ich schneller angerufen. Einerseits gibt es ständig Proteste gegen Zensus usw.,andererseits legen die Menschen unbewusst ihre intimsten Daten offen.Ob Google ob Apple oder Facebook, überall klaffen riesige Löcher im Datennetz und der Leichtsinn der User verstärkt die Probleme noch mehr.
nicht nur deswegen - auch weil man mit einem Tastendruck dann irgendetwas startet was viel Geld kosten kann, oder durch ein Update plötzlich Funktionen anders belegt werden - schlicht gesagt, es kostet viel zu viel (Arbeits/Frei)Zeit um sich in so ein Teil einzuarbeiten. Außrdem gilt der Spruch 'Ich muss nicht dauernd erreichbar sein, ich bin der Chef, meine Leute wissen was sie zu tun haben' ;-) Wer dauernd nachfragt zeigt seine Unfähigkeit zu Entscheidungen oder ein Problem selbst zu lösen..... (das hilft oft gegen Dauerstörer)

MEHR AUF SPIEGEL ONLINE

MEHR IM INTERNET

Verwandte Themen

Handy-Anwendungen

Apps
Sogenannte Apps (Applications) sind Software-Anwendungen, die zusätzlich gekauft und dann auf entsprechend ausgestatteten Handys installiert werden können. Sie reichen von der Wasserwaage über Spiele bis hin zu Navigationssystemen fürs Mobiltelefon.
Apple App-Store
Der App-Store der Apple Inc. ist ein Portal, auf dem Programme und Spiele aus dem iTunes-Store für das iPhone heruntergeladen werden können. Der Mac-Bauer war bei diesem Thema Vorreiter. Nach Konzernangaben wurden bereits mehrere Milliarden Programme aus dem App-Store heruntergeladen.
Nokias Ovi-Store
Seit Ende Mai 2009 gibt es auch von Nokia ein Portal, das eine Vielzahl von Programmen für Handys bietet. Im Nokia Ovi-Store können Kunden sich Spiele, Navigationskarten und Nachschlagewerke auf ihre Handys laden. Auch für den Ovi Store können sich externe Entwickler registrieren und versuchen, dort Software anzubieten.
Blackberry App World
Die Blackberry App World ist ebenfalls ein Pendant zum App-Store von Apple. Es ist ein vom Hersteller RIM betriebenes Software-Portal, in dem sich jeder Blackberry Nutzer Software kaufen kann. Die soll dann auf jedem Blackberry-Smartphone mit OS-Version 4.2 und allen folgenden sowie auf allen Geräte mit Trackball oder Touchscreen laufen. Ähnlich wie beim App-Store kann auch bei Blackberry jeder, der sich dort als solcher anmeldet, theoretisch Entwickler einer Handy-Anwendung werden.
Android Market
Android ist ein Handy-Betriebssystem von Google. Aktuell gibt es im Android Market genannten Downloadshop Zehntausende Anwendungen. Auch hier kann theoretisch jeder eigene Programme entwerfen und anderen Nutzern kostenlos oder zum Kauf zur Verfügung stellen - vorausgesetzt, er registriert sich zunächst als Entwickler.

Wie die Handy-Rechnung auch im Urlaub überschaubar bleibt

Kann ich im Ausland einfach mit meinem Handy telefonieren?
Die meisten Handys sind von Anfang an für Roaming, also das Telefonieren in ausländischen Mobilfunknetzen, freigeschaltet. Einige Anbieter verlangen aber eine ausdrückliche Aktivierung - die kostet zwar meist nichts, kann aber etwas Zeit in Anspruch nehmen. Gerade bei exotischeren Reisezielen ist eine Nachfrage angebracht.
Wie viel kostet das Telefonieren im Ausland?
Nach der neuen EU-Verordnung dürfen abgehende Gespräche innerhalb der EU ab 1. Juli 2009 für Besitzer deutscher Handys maximal 51 Cent kosten, ankommende Gespräche nicht mehr als 22,6 Cent. In Ländern außerhalb der EU - und damit zum Beispiel auch in der Schweiz, in Kroatien und der Türkei - gelten je nach Land und Netz oft sehr unterschiedliche Tarife, die jeweils beim Anbieter zu erfragen sind.
Lohnt sich ein spezieller Auslandstarif meines Mobilfunkers?
Besonders für Vertragskunden bieten viele Mobilfunkgesellschaften besondere Auslandstarife an. Diese bieten häufig günstigere Minutenpreise, es kommen meist aber Verbindungsgebühren pro Gespräch hinzu. Damit lohnen sie sich erst bei längeren Gesprächen. Besonders interessant können die Optionstarife aber bei Aufenthalten außerhalb der EU sein, wo die Minutenpreise sonst häufig hoch sind.
Was muss ich bei SMS und MMS beachten?
Die Preise für Kurznachrichten innerhalb der EU sind deutlich gesunken, mit maximal 13 Cent sind die SMS damit teils billiger als in Deutschland. Der SMS-Empfang ist kostenlos. Teuer werden können MMS - mit denen sich etwa Urlaubsfotos per Handy verschicken lassen. Die Preise sind hierfür teilweise sehr unübersichtlich - abhängig von der Größe der MMS, dem Land und Netz fallen oft unterschiedliche Kosten an. Auch der MMS-Empfang im Ausland ist teils kostenpflichtig.
Kann ich im Ausland mit dem Handy auch ins Internet gehen?
Wer im Urlaub schnell seine E-Mails, Fußballergebnisse oder das Wetter im Internet checken möchte, kann dies auch mit seinem Handy tun. Das kann aber teuer werden. Die EU hat für das Datenroaming nur die Großhandelspreise festgelegt - also die Gebühren der Netzbetreiber untereinander. Dadurch dürften zwar auch die Endpreise sinken, wirklich günstig wird es dadurch aber nicht. Günstigere Datentarife der Anbieter müssen außerdem oft zugebucht werden - und können dann auch andere Preise fürs Telefonieren mit sich ziehen.
Wie kann ich noch Geld sparen?
Im Ausland kann die Mailbox zu einer wahren Kostenfalle werden - daher besser vor dem Abflug ausschalten! Eine Alternative ist die vollständige Umleitung aller Anrufe auf die Mailbox - dann ist der Kunde nur noch per SMS zu erreichen oder kann selber anrufen. Wer lange Zeit in einem Land verbringt, sollte sich unter Umständen dort eine Prepaid-Karte zulegen, also eine Karte, bei der für die Gespräche im Voraus gezahlt wird. Empfehlenswert ist es, diese in einem Laden zu kaufen, der mehrere Mobilfunkanbieter vertritt - um nicht ausgerechnet an den teuersten Tarif zu geraten.

Artikel

News verfolgen

Lassen Sie sich mit kostenlosen Diensten auf dem Laufenden halten:

alles aus der Rubrik Netzwelt
Twitter RSS
alles zum Thema Android
RSS

© SPIEGEL ONLINE 2014 Alle Rechte vorbehalten