Wer ein Android-Smartphone oder Tablet nutzt, hat in der Regel entweder mehrere Dutzend Apps installiert oder zumindest eine Handvoll. Seien es Messaging-Programme wie WhatsApp, Info-Anwendungen wie Wettervorhersage, Fahrplanauskunft und Nachrichten oder diverse Spiele-Apps. Gerade bei Android ist die Hemmschwelle, viele Apps zu installieren, besonders niedrig, weil die meisten kostenlos erhältlich sind. Dafür sind die dann oft – mal mehr, mal weniger dezent – mit Werbung garniert.
Manche Apps tun aber nicht nur das, was sie sollen, beziehungsweise was der Benutzer von ihnen erwartet. Sie kommunizieren darüber hinaus noch übers Internet mit Servern des Herstellers, mit denen von Zugriffsanalyse-Diensten und – bei anzeigenfinanzierten Apps – mit Servern von Werbevermarktern.
Apps überwachen, wann und wie Sie sie benutzen
Einigermaßen unbedenklich ist die Übertragung von statistischen Daten an den Hersteller, also zum Beispiel die Infos, wie oft ein bestimmter (aber namentlich nicht bekannter) Benutzer die App gestartet und welche Aktionen er durchgeführt hat. Hier greift das Argument, dass der Hersteller diese Infos benötigt, um sich bei der Weiterentwicklung der App am Bedarf der Benutzer auszurichten.
Analyse-Dienste erstellen Benutzerprofile von App-Anwendern
Kritischer wird’s, wenn der Hersteller zur Erhebung und Auswertung dieser Daten einen externen Dienst nutzt. Der Zugriffsanalyse-Dienst Flurry.com zum Beispiel ist mutmaßlich vor allem deswegen so populär, weil er sein Produkt „Flurry Analytics“ App-Herstellern komplett kostenlos anbietet. Diese müssen nur ein paar Zeilen zusätzlichen Code in ihre App einbauen, schon meldet diese detaillierte gerätespezifische Nutzungs-Statistiken an Flurry, die der App-Entwickler fertig aufbereitet einsehen kann.
Flurry Analytics ist aber nicht ohne Grund kostenlos. Denn der Dienst nutzt die ermittelten Daten auch selber – und zwar App-übergreifend. Basierend darauf, welche Apps ein Anwender wie oft und wie intensiv nutzt, ordnet der Dienst ihn in Personen- beziehungsweise Interessengruppen ein, zum Beispiel als Musik- oder Filmliebhaber, Business Professional, Hardcore Gamer und Auto-Enthusiast. So erfährt nicht nur der App-Entwickler, wer seine Nutzer sind, sondern auch Flurry selbst. Und diese Daten kann das Unternehmen bestens für sein zweites Standbein gebrauchen: Ein eigenes Werbenetzwerk, das App-Hersteller ebenfalls schnell und einfach in ihre App integrieren können. Und für die Werbewirtschaft ist die Information, welcher Benutzer welche Interessen hat, Gold wert. Denn so lassen sich Anzeigen zielgerichtet ausspielen.
Flurry brüstet sich damit, Daten von 1,3 Milliarden Mobilgeräten weltweit zu erhalten, da auf diesen mindestens eine App installiert ist, die Flurry Analytics nutzt. Durchschnittlich seien es sogar 7 Apps pro Gerät. Das ist auch nicht weiter verwunderlich, denn Flurry zufolge ist der Dienst in über 500.000 verschiedenen Apps integriert.
Benutzerprofile basieren auf Geräte-Kennung(en)
Um gerätespezifische Profile zu erstellen, lesen viele Apps die Identifikationsnummern unveränderlicher Hardwarekomponenten aus, zum Beispiel die „MAC-Adresse“ des WLAN-Chips, die des Mobilfunkmoduls (IMEI) oder die von Android generierte „Android ID“ oder „Werbe-ID“.
Es gibt darüber hinaus auch Apps, die das Adressbuch, SMS oder andere persönliche Daten aus dem Smartphone auslesen und versenden.
Manche Apps übertragen Passwörter unverschlüsselt
Eine noch größere Gefahr geht von Apps aus, bei denen man sich mit Zugangsdaten für einen bestimmten Dienst anmeldet. Wenn diese Apps die Benutzerdaten unverschlüsselt übertragen, könnten sie von Datenspionen mitgeschnitten werden. Und zwar immer dann, wenn das Smartphone in einen öffentlichen Hotspot eingebucht ist, zum Beispiel in einem Restaurant, Café oder Hotel. Da viele Anwender die gleichen Benutzerdaten für mehrere Internet-Dienste verwenden, stehen einem Kriminellen damit Tür und Tor offen.
Android-Rechtesystem schützt unzureichend vor Datenspionen
Welche Daten eine App verschickt und ob diese verschlüsselt sind, bemerkt der Benutzer normalerweise nicht. Das einzige, was Sie beeinflussen können ist, welche Apps mit welchen Berechtigungen Sie installieren. Denn Android überwacht, auf welche Informationen und Funktionen eine App zugreifen will und lässt nur diejenigen zu, für die sie Genehmigungen angefordert und vom Nutzer bestätigt bekommen hat: Vor jeder App-Installation zeigt Android Ihnen an, welche Zugriffsrechte diese benötigt und bittet Sie um Zustimmung. Das Problem ist allerdings: Die Android ID und die Werbe-ID kann jede App abfragen, ohne dafür eine Genehmigung zu benötigen.
Welche Rechte eine App braucht, legt ihr Autor in einer Datei namens Androidmanifest.xml fest, die sich im Installationspaket (APK) jeder Android-App befindet. Er kann hier theoretisch auch weitergehende Rechte einfordern, als die App tatsächlich benötigt und diese erst in einer zukünftigen Version der App nutzen.
Um bei bereits installierten Apps herauszufinden, welche Rechte Android ihnen gewährt, wechseln Sie in die Android-Systemeinstellungen und dort in die App-Verwaltung. Wechseln Sie über die horizontale Rubrikenauswahl zu „Alle“ (ganz rechts) und tippen Sie einen App-Eintrag an. Daraufhin landen Sie in der „App-Info“, wo Sie durch herunterscrollen zum Abschnitt „Rechte“ gelangen.
Erscheint ein Update für eine App, das weitergehende Rechte benötigt, wird dieses nicht automatisch installiert. Stattdessen weist das System Sie darauf hin, dass ein „zu genehmigendes Update“ vorliegt. Sie erhalten dann im Play Store vor der Aktualisierung die bisherigen und – deutlich gekennzeichnet – die neu eingeforderten Zugriffsrechte präsentiert und entscheiden daraufhin, ob Sie das Update installieren möchten oder nicht.
Das Android-Sicherheitssystem lässt aber, selbst wenn der Benutzer zustimmen würde, nicht alles zu. Aktionen, die zu tief ins System eingreifen und dieses oder sogar die Hardware beschädigen könnten, kann eine App im Normalfall nicht einfordern. Etwas anderes ist es, wenn Sie Ihr Android-Gerät gerootet haben, es also sozusagen im Administrator-Modus benutzen. Dann kann jede App auch Superuser-Rechte einfordern und dann auf dem Gerät machen, was sie will. Einhalt gebieten kann dann nur noch eine Super-User-App, die beim Rooting-Vorgang normalerweise automatisch installiert wird. Sie passt auf, dass nur die Apps die erhöhten Privilegien nutzen dürfen, denen Sie das gestattet haben.
Gratis-App leistet eingeschränkte Entscheidungshilfe
Allein aufgrund der angefragten Zugriffsrechte zu entscheiden, ob eine App aus Datenschutz-Sicht harmlos ist, würde hellseherische Kräfte voraussetzen – oder Programmier-Kenntnisse und ein genaues Studium des Quelltextes. Daher entscheiden die meisten Anwender aus dem Bauch heraus oder ignorieren die potentielle Gefahr gleich ganz. Ein gewisses Maß an Sicherheit verspricht die kostenlose Android-App „ Clueful Privacy Advisor “ des Antiviren-Herstellers Bitdefender. Sie greift online auf eine Datenbank von Bitdefender zu, in der verzeichnet ist, von welchen Apps ein geringes, moderates oder hohes Privatsphäre-Risiko ausgeht. Die Angaben stammen aus Analysen, die Bitdefender regelmäßig für über 100.000 Apps vornimmt.
Bitdenfender wägt dabei ab, ob die Datenübertragungen, die ein Privatsphäre-Risko darstellen, für das korrekte Funktionieren der App unbedingt nötig sind. Falls ja, kann sich das positiv auf die Einstufung der App auswirken. So ordnet Bitdefender zum Beispiel WhatsApp in die unterste Gefahren-Kategorie „Geringe Risiko-App“ ein, obwohl sie zahlreiche riskante Zugriffsberechtigungen besitzt, zum Beispiel auf den Standort des Geräts, das Benutzerprofil, gespeicherte Fotos, das Adressbuch sowie auf die SMS- und die Telefonie-Funktion. In den Detail-Informationen schreibt Clueful dazu: „Erwartetes Verhalten“ und weiter „Nötige Informationen für das optimale Funktionieren der App“.
Eine Garantie dafür, dass die App kein Schindluder mit den Daten treibt, übernimmt Bitdefender aber nicht. So heißt es zum Beispiel bei der Berechtigung „Kann Ihre Kontaktliste lesen“ in den Erläuterungen: „[…] Stellen Sie sicher, dass es sich hier um eine vertrauenswürdige App handelt“.