Hackerangriff auf Android-Handys: Smart, nicht leichtsinnig - so schützen Sie Ihre Handys

Ein Schreck für Millionen Smartphonenutzer: Handys mit dem Betriebssystem Android sind über mehrere Sicherheitslücken angreifbar für Hacker. Davor warnte das Bundesamt für Sicherheit in der Informationstechnik bereits am Mittwoch. Die Lücken klaffen in der Multimediaschnittstelle Stagefright. Damit lasse sich über eine Multimedianachricht ein Schadcode auf Handys platzieren, so der Sicherheitsfachmann Joshua Drake. Hacker könnten so Daten stehlen, Ton und Video aufnehmen oder auf gespeicherte Fotos zugreifen.

„Angreifer brauchen nur Ihre Handynummer, um von außen ein Programm auszuführen, das sie mit einer besonderen präparierten Multimedianachricht verschicken“, schreiben die Sicherheitsforscher um Drake auf dem Blog ihrer Firma Zimperium. „Diese Lücken sind sehr gefährlich, weil sie ohne das Zutun der Opfer ausgenutzt werden können.“ Opfer müssten ein Video aus einer MMS mit Schadcode nicht abspielen, sondern nur die Nachricht ansehen.

Das Gravierende dabei: Anders als bei schwerwiegenden Sicherheitslücken auf Windows-PCs, bei denen Microsoft relativ schnell Sicherheitsupgrades für alle Windows-Nutzer zum Download bereitstellt, gibt es bei Smartphones zunächst keine schnelle Abhilfe von den meisten Herstellern. Google schickte zwar ein Sicherheitsupdate an die Hersteller von Androidgeräten. Doch die Handybauer können selbst entscheiden, wie sie Updates an ihre Kunden weitergeben.

Marktführer Samsung teilte auf Tagesspiegel-Nachfrage mit: „Der Schutz persönlicher Daten und die Privatsphäre unserer Nutzer haben für Samsung höchste Priorität. Google hat uns über das Problem informiert, wir arbeiten bereits daran, so bald wie möglich ein Softwareupdate zur Verfügung zu stellen.“ Auch Sony Mobile lege großen Wert auf Sicherheit und Datenschutz, so eine Sprecherin. „Wir haben einen Patch von Google erhalten und arbeiten mit Hochdruck daran, diesen innerhalb der regelmäßigen Softwareaktualisierungen für unsere Smartphones zur Verfügung zu stellen.“ Leider könne Sony zeitlich keine genaueren Angaben machen, da es von etlichen unbestimmbaren Faktoren abhängt. „Es wird mit Hochdruck gearbeitet, und wir rechnen kurzfristig mit einer Lösung.“

Unter Umständen haben Handybesitzer die manipulierte Nachricht nicht einmal bemerkt

Alle Geräte, die sich bei Sony in regelmäßigen Aktualisierungsphasen befinden, erhielten von der Firma ein Patch. „Sofern ein Gerät betroffen sein sollte, das nicht darunter fällt, bitten wir Kunden, sich sofort an den Kundendienst zu wenden.“ Bis dahin empfiehlt der Handyhersteller, in der „Nachrichten“-App unter „Einstellungen“ den „MMS-Autodownload“ zu deaktivieren. Nachrichten von vertrauenswürdigen Absendern können danach manuell geladen werden.

Wenn das noch nicht zu spät ist. Unter Umständen haben Handybesitzer die manipulierte Nachricht nicht einmal bemerkt: Der Schadcode könne ausgeführt werden, bevor die Benachrichtigung auf dem Display erscheint. Betroffen von dem jüngsten Angriff seien alle Geräte mit dem Androidbetriebssystem ab der Version 2.2, die 2010 herauskam. Besonders hoch ist das Risiko bei Geräten mit Androidvarianten, die älter als Version 4.1 sind. Hacker könnten sich von der Multimediasoftware weiter auf das Gerät vorarbeiten. Das hänge davon ab, wie eng die jeweiligen Hersteller die Multimediaschnittstelle abgesteckt hätten, oder ob man darüber weitreichenden Zugriff auf das Gerät bekommen könne.

Google erklärte, die Sicherheitslücke sei „unter Laborbedingungen auf älteren Androidgeräten identifiziert“ worden. „Nach unserem derzeitigen Wissensstand ist niemand davon betroffen“, teilte das Unternehmen mit. Das steht im Widerspruch zu Aussagen von Drake, der schätzt, dass hunderte Millionen Geräte über die Lücke angreifbar sind. Immerhin, anders als wohl bei Sony oder Samsung, soll bei den Nexus-Geräten, die Google selbst baut, die Lücke in dieser Woche gestopft werden. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Handybesitzern mit älteren Androidversionen, auf Version 4.1 oder höher umzusteigen. Wenn das nicht möglich sei, sollten Kunden sich an die Hersteller wenden, „um die Verfügbarkeit von Sicherheitsupdates zu erfragen“.

Wer noch mit einem Smartphone mit Android 4.2 oder älter unterwegs ist....

Der Vorgang wirft ein Licht auf die Sicherheitsproblematik bei Smartphones generell. „Die offenbar schwerwiegend betroffenen Versionen bis Android 4.1 sind so alt, dass wohl kaum ein Hersteller für ein solches Smartphone noch ein Update anbieten wird“, vermutet Hans-Georg Kluge, Androidexperte von teltarif.de. Vermutlich wäre in diesem Fall ein komplettes Firmwareupdate erforderlich, diesen Aufwand scheuen die meisten Hersteller für die alten Smartphones offenbar. Wer noch mit einem Smartphone mit Android 4.2 oder älter unterwegs ist, sitze auf einem Haufen von Sicherheitslücken, für die es nie einen Patch geben wird.

Mit neueren Smartphones und Betriebssystemen ist man also eher auf der sichereren Seite. Seit einiger Zeit bemühe sich Google, so Kluge, Kernkomponenten von Android über den Google Playstore zu aktualisieren. „Seit Android 5.0 ist zum Beispiel die Web-View-Komponente ausgelagert und kann unabhängig von den Herstellern aktualisiert werden. In dieser von Apps häufig verwendeten Komponente steckten öfter Sicherheitslücken, die früher nur mit einem Systemupdate zu schließen waren.“

Es gibt aber auch für die Nutzer von älteren Smartphones ein paar Tipps, ihr Gerät sicher zu halten. Wie eine Forsa-Erhebung zeigt, sorgen sich viele Nutzer um die Sicherheit ihrer Handys. 82 Prozent fühlen sich nicht ausreichend von den Anbietern der App-Programme über die Verwendung ihrer Daten informiert. Mehr als jeder Dritte stört sich daran, dass die Smartphones den eigenen Standort via GPS-System verraten können.

Nicht ohne ein aktuelles Virenschutzprogramm

Die Ortungsfunktion der mobilen Endgeräte könnte theoretisch für Bewegungsprofile des Users missbraucht werden. Aber auch die übrigen Inhalte des Handyspeichers sind für Verbrecher interessant. E-Mailadressen, Telefonnummern von Freunden und Kollegen, Mails, Fotos oder Videos, all das lässt sich über dunkle Webkanäle zu Geld machen. Beim Surfen besteht die Gefahr, in Abofallen zu geraten. Trojaner fangen Passwörter und Tan-Nummern ab.

Woran kann man erkennen, dass sein Smartphone gekapert wurde? An enorm hohem Datenverbrauch. Trojaner senden und empfangen viele Daten. Unter den „Einstellungen“ kann man auf jedem Handy erkennen, wie hoch der Datenverbrauch ist. Sind alle Apps, die einen hohen Datenverbrauch verursachen, geschlossen und der Datentransfer bleibt hoch, ist das Smartphone wohl infiziert. Ebenfalls verdächtig: ein ungewöhnlich hoher Akkuverbrauch, hohe Prozessorauslastung, plötzlich auftretende Abstürze des Smartphones.

Experten empfehlen, keine Werbebanner in kostenlosen Apps anzuklicken. Dahinter verstecken sich oft Links zu teuren Aboangeboten. Auch Bluetooth sollte nur aktiviert werden, wenn Daten mit einem anderen elektronischen Gerät ausgetauscht werden müssen. Vor allem an öffentlichen Orten wie Bahnhöfen oder Cafés haben Datendiebe sonst leichtes Spiel. Das Handydisplay sollte außerdem durch einen zusätzlichen Pin-Code gesperrt werden. Wichtig für den aktuellen Fall: MMS-Nachrichten von unbekannten oder dubiosen Absendern dürfen nicht geöffnet werden. Dahinter stecken oft kostenpflichtige Dienste. Und zu guter Letzt: Ohne ein aktuelles Virenschutzprogramm wie von McAfee oder Sophos sollten Smartphonenutzer nicht unterwegs sein.