Umsonst kann teuer werden

Vorsicht: die raffinierten Geschäftsmodelle der Gratis-Apps

Auf welche persönlichen Daten greifen Apps zu?

Die Spezialisten der Firma Lookout, die ihren Fokus auf die Sicherheit von mobilen Geräten gelegt haben, begannen bereits im Jahr 2011 mit dem sogenannten App Genome Project, mit dessen Hilfe sie die mobilen Apps und deren Aufbau übergreifend über verschiedene mobile Plattformen und Marktplätze für Apps untersuchen. Dabei wurden neben dem Android Play Store (damals noch Android Market) und dem Apple App Store auch jeweils zwei alternative App-Märkte für Android und iOS in die Untersuchung mit einbezogen.

Laut dieser Erhebung griffen bereits Ende 2011 mehr als ein Drittel der untersuchten Apps in den beiden großen App-Stores auf den jeweiligen Standort des Nutzers zu, mindestens zehn Prozent nutzten den direkten Zugriff auf die Kontakte. Es ist sicher nicht falsch, davon auszugehen, dass diese Art der Zugriffe im Lauf der vergangenen Jahre weiter zugenommen hat. So zeigte eine kürzlich durchgeführte Untersuchung der Security-Spezialisten von TÜV Trust IT aus Österreich ein noch erschreckenderes Bild: Bei einer Analyse von über 1000 mobilen Anwendungen fanden die Fachleute Folgendes heraus: Bei 45 Prozent der untersuchten Apps besteht die Möglichkeit, dass mit ihnen Daten gestohlen werden.

Auskunftsfreudig: Die "kostenlose" App Yelp holt sich vom Nutzer Auskünfte ein, wie eine Analyse von "mediaTest" ergab.
Auskunftsfreudig: Die "kostenlose" App Yelp holt sich vom Nutzer Auskünfte ein, wie eine Analyse von "mediaTest" ergab.

Das Hannoveraner Testinstitut "mediaTest digital", das sich auf die Sicherheitsprüfung und Zertifizierung mobiler Applikationen spezialisiert hat, kommt zu ähnlichen Ergebnissen: Sowohl bei Auskunfts-Apps als auch bei Reise-Apps oder Messenger gibt es teilweise erhebliche Sicherheitsmängel; die Experten raten bei vielen Apps von der Nutzung im Unternehmen wie auch privat ab.

Immer wieder zeigt sich dabei auch, dass viele Gratis-Apps mithilfe der integrierten SDK ein Device-Tracking durchführten: Sie verfolgen anhand bestimmter Daten und Merkmale, die sie auf dem Gerät auslesen, das Smartphone oder Tablet und damit den Nutzer und seine Gewohnheiten. Zu diesen Daten, die dabei häufig ausgelesen werden, gehören unter anderem:

  • die IMEI (International Mobile Equipment Identity) - eine 15-stellige, für jedes Mobilgerät eindeutige Identifikationsnummer. Sie ändert sich auch dann nicht, wenn beispielsweise die SIM-Karte eines Smartphones ausgetauscht wird.

  • die IMSI (International Subscripter Identity) - sie dient zur Identifikation eines Geräts innerhalb eines mobilen GSM- und UTMS-Netzwerks. Auch sie besteht aus 15 Ziffern. Anhand dieser Nummer ist es beispielsweise auch möglich festzustellen, über welchen Provider sich das Gerät angemeldet hat.

  • die UDID (Unique Device ID) - eine spezielle Gerätekennung der iOS-Geräte von Apple, die unter anderem auch als Kennung beim Einkauf im App-Store zum Einsatz kam. Seit Version iOS 6 untersagt Apple deren Verwendung in Apps. Beim aktuellen iOS7 kam zudem eine Funktion hinzu, die das Auslesen dieser Nummer und unter anderem auch der WLAN-MAC-Adresse unterbindet.

  • die Android ID - eine eindeutige, 64 Bit lange Nummer, die das Gerät automatisch beim ersten Einschalten erstellt. Sie kann sich allerdings ändern, wenn das Gerät gerootet oder auf den Werkszustand zurückgesetzt wird.

  • die WLAN MAC-Adresse - genauso wie bei den normalen Netzwerkadaptern handelt es sich auch hier um einen eindeutige Adresse, mit der die Netzwerkschnittstelle des Gerätes identifiziert werden kann.

  • die üblichen Daten - Gerätetyp, Betriebssystemversion, Jail-Break/Rooting-Status, Geoposition und Telefonnummer.