App-Sicherheit im Geschäftsumfeld

In Zeiten stetig mobiler werdender Arbeitsprozesse und eines gleichzeitig stark wachsenden Marktes für mobile Anwendungen verwenden auch immer mehr Mitarbeiterinnen und Mitarbeiter auf ihren Endgeräten Apps. Laut Branchenverband BITKOM sind im Durchschnitt auf jedem Smartphone rund 23 zusätzliche – zu den werkseitig mitgelieferten – Apps installiert. Welche neuen Sicherheitsbedrohungen damit auf die Unternehmen zukommen, zeigen die Ergebnisse einer Analyse von über 1.000 mobilen Anwendungen, die der Security-Spezialist TÜV TRUST IT durchgeführt hat. Demnach erwiesen sich 45 Prozent der geprüften Apps als kritisch, weil sie einen potenziellen Datendiebstahl ermöglichen und durch verschiedene Arten der Profilbildung die Privatsphäre der Nutzerinnen und Nutzer verletzen können.

Die Bedrohungen durch Datensammler

Aus Sicht des Datenschutzes stellt das sogenannte Device-Tracking durch Dritte – wie etwa spezialisierte Werbenetzwerke – ein besonders großes Problem dar. Hierbei werden gerätespezifische und unveränderbare Merkmale wie die Device-ID oder die Hardware-Adresse der WLAN- oder Bluetooth-Schnittstelle verwendet, um das Endgerät an verschiedenen Orten oder bei der Verwendung bestimmter Apps wiederzuerkennen. Anders als bei den internetfähigen PCs, bei denen die Nutzerin bzw. der Nutzer im Browser datenschutzfreundliche Einstellungen wählen kann (beispielsweise die Löschung von Cookies), bedarf es bei Smartphones häufig eines expliziten Zurücksetzens auf die Werkseinstellungen. Dabei werden allerdings auch alle nützlichen Einstellungen, wie etwa gespeicherte Profile, entfernt.

Nutzerinnen und Nutzer versuchen einen solch radikalen Schritt typischerweise zu vermeiden. Durch die Verwendung von an die Hardware gebundenen IDs bleibt das Gerät dann aber während seiner gesamten Nutzungsdauer jederzeit identifizierbar. Damit können Dritte über verschiedene Apps mit demselben Datenaggregator gezielt die Nutzungsgewohnheiten der Smartphone- oder Tablet-Nutzerinnen und Nutzer zusammenführen und je nach Bedarf Persönlichkeits-, Reise- und zahlreiche andere Profile erstellen.

Eine gewisse Entwarnung gibt es diesbezüglich für iPhone-Nutzerinnen und Nutzer. Denn im Falle der Apple-Geräte wurde mit dem neuen Betriebssystem iOS 7 eine Funktion eingeführt, die ein Auslesen der WLAN-MAC, der Unique Device ID (UDID) und der MAC-Adresse der Bluetooth-Schnittstelle unterbindet. Darüber hinaus wird mit der Einführung des sogenannten „adversitingIdentifier“ vermieden, dass Querverbindungen zwischen unterschiedlichen Apps herausgefunden werden können.

Exzessive Geolokalisierung von Apps

Ein zweites Kernproblem besteht darin, dass bei eingeschalteter Geolokalisierung über das Smartphone permanent Daten bezüglich des Standorts der Benutzerin bzw. des Benutzers auch an unberechtigte Dritte übertragen werden können. Geolokalisierung wird heute in vielen nützlichen Applikationen verwendet, daher ist sie bei den meisten Endgeräten auch standardmäßig eingeschaltet. Vielen Anwenderinnen und Anwendern ist allerdings nicht bewusst, dass Apps diese Daten häufig auch ohne konkreten Bedarf abgreifen und versenden. Wie detailliert und wie lange die eigenen Bewegungen aufgezeichnet werden, bleibt der Nutzerin bzw. dem Nutzer häufig verborgen, da diese mit ihrer bzw. dieser mit seiner Zustimmung der App sozusagen einen „Freibrief“ für alle zukünftigen Zugriffe ausgestellt hat.

Sammelwut der Apps statt Datensparsamkeit

Isoliert betrachtet muss nicht zwangsläufig jede einzelne unnötige Datenübertragung Sorgen bereiten. Problematisch wird es für die Benutzerin bzw. den Benutzer mobiler Endgeräte jedoch, wenn es an einem Grundsatz der Datensparsamkeit und Datenvermeidung fehlt oder dieser bewusst unterlaufen wird. Nach den Analysen der TÜV TRUST IT übermitteln die Smartphone-Anwendungen im Regelfall deutlich mehr Informationen, als dies objektiv notwendig wäre. Dazu gehören bevorzugt Telefonnummern und E-Mail-Adressen oder Positionsdaten.

Auch wenn konzeptionelle Schwächen der Anwendungen mitunter die Ursache für den übermäßigen Zugriff auf sensitive Personendaten darstellen können, so scheint das Motiv der App-Anbieter zu überwiegen, eine möglichst umfangreiche Datensammlung vorzunehmen. Insbesondere die Nutzerinnen und Nutzer kostenloser Apps „bezahlen“ häufig mit ihren persönlichen Daten.

Benutzerdaten liegen offen

Ein weiteres Problemfeld stellt die häufig fehlende Sicherung von Nutzerdaten innerhalb der App-Funktionen dar. Nutzerdaten wie Benutzername und Kennwort werden zwar oftmals aus legitimen Gründen gespeichert, etwa für den wiederholten Zugriff auf ein Webservice – und auch individuelle Konfigurationen wie beispielsweise Favoriten für Busverbindungen im öffentlichen Nahverkehr gehören zu dieser Kategorie. Doch bei fehlenden Sicherungsfunktionen innerhalb der App können diese sensiblen Daten häufig durch Dritte ausgelesen oder verändert werden, falls das Handy verloren geht oder leihweise in andere Hände gelangt. Wo und wie die Daten abgeflossen sind oder manipuliert wurden, lässt sich dann im Nachhinein nur schwer feststellen. Moderne Smartphone-Betriebssysteme bieten hierfür zwar prinzipiell Schutzmaßnahmen, deren Handhabung ist vielen Herstellern von Apps jedoch unbekannt oder es wird aus Bequemlichkeitsgründen darauf verzichtet, diese konsequent einzubinden.

Diese generellen Bedrohungen von außen sind für die einzelne Benutzerin bzw. den einzelnen Benutzer ebenso wie für die Sicherheitsverantwortlichen in den Unternehmen nicht beeinflussbar. Insofern sollten Unternehmen ihren Fokus auf umfassenden Selbstschutz richten. Die Herausforderung besteht darin, den Nutzen von mobiler Kommunikation im geschäftlichen Umfeld nicht durch zu restriktive Maßnahmen übermäßig zu beschränken und dennoch für ein bedarfsgerechtes Sicherheitsniveau zu sorgen. Es sollte also eine Balance zwischen den Chancen und Risiken geschaffen werden.

Kategorisierung: Gute, „hinterhältige“ und ungewollt gefährliche Apps

Rund 45 Prozent der über 1.000 von der TÜV TRUST IT getesteten Apps übertragen Handy-Daten an spezielle Werbenetzwerke und Datensammler. Nach Angaben des Webservice flurry.com ist deren Analysefunktion heute bereits in rund 350.000 Apps auf über einer Milliarde Endgeräten implementiert.

Die Schlussfolgerung aus diesen Analysen ist eine generelle Kategorisierung der mobilen Anwendungen: Apps sind entweder gut, hinterhältig oder ungewollt gefährlich.

Unter guten mobilen Anwendungen sind solche zu verstehen, die nach klar definierten Sicherheitsanforderungen entwickelt wurden und nicht heimlich auf Daten zugreifen.

Als hinterhältig gelten mobile Anwendungen, deren Geschäftsmodell der Nutzerin bzw. dem Nutzer nicht klar ist und die primär der Datensammlung oder dem Ausspähen durch Dritte dienen. So ermitteln rund 44 Prozent der Apps über eine eingeschaltete Lokalisierungsfunktion den Standort der Nutzerin bzw. des Nutzers. Immerhin noch acht Prozent greifen regelmäßig auf das Adressbuch zu und übertragen die Daten ungefragt auf einen Server im Internet. Nicht selten werden diese Funktionen bewusst von den Programmiererinnen und Programmierern der App gewählt, um Schaden anzurichten bzw. Informationen auszuspähen.

Zu der dritten Kategorie der ungewollt gefährlichen Mobilanwendungen zählen vor allem solche, die unter hohem Zeitdruck und ohne klar spezifizierte Sicherheitsanforderungen auf den Markt gebracht werden. Sie verfolgen einen gut gemeinten Ansatz, ihre Realisierung weist aber wesentliche Sicherheitslücken auf. Die Ursachen dafür liegen besonders darin, dass funktionale Forderungen ausschließlich durch die Marketing- oder Business-Abteilungen erstellt werden, ohne dass IT-Sicherheitsaspekte mitberücksichtigt werden. Oftmals stehen dann nur die Funktionalitäten und das Design im Vordergrund, während die Sicherheit insgesamt vernachlässigt wird. Eine weitere mögliche Ursache ist, dass in Unkenntnis möglicher Sicherheitsrisiken Programmteile aus bereits vorhandenen Apps zusammengeführt werden, um den Entwicklungsaufwand zu minimieren.

Generell sollte die Entwicklung mobiler Anwendungen folgende vier Dimensionen von Sicherheitsanforderungen berücksichtigen:

• Datensparsamkeit: Besonders wesentlich ist die Sicherheit vor unbefugter und unbeabsichtigter Kenntnisnahme oder Veränderung der Nutzerdaten. Die besten Daten sind deshalb solche, die gar nicht erst erhoben werden.
• Schutz der Datenübertragung: Es muss gewährleistet sein, dass die Kommunikation nicht „abgehorcht“ werden kann und eine direkte Verbindung zwischen Nutzerin bzw. Nutzer und Server besteht. Die Gefährdungsrisiken sind besonders hoch, wenn öffentliche WLANs genutzt werden.
• Schutz der Datenspeicherung: Sie wird vor allem dann relevant, wenn mobile Endgeräte verloren gehen bzw. gestohlen werden, kein ausreichender Zugangsschutz auf dem Gerät besteht oder Cloud-Dienste ohne angemessene Schutzmaßnahmen genutzt werden.
• Schutz der Nutzerin bzw. des Nutzers vor sich selbst: Dies verlangt etwa standardmäßige Sicherheitsfunktionen, eine möglichst barrierefreie Nutzbarkeit und eine Beschränkung auf die für die App essenziell notwendigen Funktionen.

Werden diese Sicherheitsanforderungen in der Entwicklung unzureichend abgebildet, droht dem App-Anbieter aufgrund der möglicherweise kritischen Berichterstattung ein empfindlicher Reputationsverlust. Umgekehrt wirkt sich ein hohes Sicherheitsniveau der App förderlich auf den Verbreitungsgrad und die Nutzerakzeptanz aus.

Checkliste App-Security

Zwar werden Geschäftsprozesse immer mobiler, weshalb der Einsatz von Smartphones und Tablet-PCs eine große Verbreitung erlangt hat und auf diesen Endgeräten auch stets zahlreiche Apps zu finden sind. Trotzdem haben sich viele Unternehmen noch nicht systematisch mit dem Thema App-Sicherheit beschäftigt.

Folgende Checkliste beinhaltet die wichtigsten Schritte, die Sie vor und während der Einführung mobiler Anwendungen und Services in Ihrem Unternehmen betrachten sollten, um Datenschutz und Datensicherheit angemessen zu berücksichtigen:

1. Erstellen Sie ein objektives Risikoprofil auf Basis einer methodischen Bedrohungsanalyse mit einem Threat Model.
2. Gleichen Sie die gewünschten Funktionalitäten der Anwendung mit dem Datenschutzgesetz und relevanten Compliance-Vorgaben Ihres Unternehmens ab.
3. Administrieren Sie die mobilen Geräte und Anwendungen in Ihrem Unternehmen mit einem Mobile-Device-Management-Konzept (MDM-Konzept).
4. Setzen Sie bei der Verwaltung von Apps Black- und Whitelisting ein.
5. Erarbeiten Sie eine Mobile-Device-Richtlinie und achten Sie auf deren Umsetzung. Binden Sie hierbei alle notwendigen Akteurinnen und Akteure aus Ihrem Unternehmen ein, mindestens die Betriebsrätin bzw. den Betriebsrat und die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten.
6. Unterstützen Sie die Umsetzung der Mobile-Device-Richtlinie mit einer Awareness-Kampagne für Ihre Mitarbeiterinnen und Mitarbeiter.
7. Erarbeiten Sie für Ihre eigenen Programmiererinnen und Programmierer und für externe Auftragnehmerinnen und Auftragnehmer klare und die Sicherheitsanforderungen berücksichtigende Entwicklungsvorgaben für Apps.

Der Leitfaden „App-Sicherheit im Geschäftsumfeld“ kann kostenlos bestellt werden bei: info(at)it-tuv.com