Wer lauscht denn da? Rund 900 Millionen Android-Smartphones und Tablets haben mehrere kritische Sicherheitslücken. Findige Angreifer können darüber die Geräte vollständig übernehmen. Wie sich Nutzer schützen können.

Wer auf seinem Android-Smartphone neue Apps installiert, sollte genau hinsehen: Rund 900 Millionen Smartphones und Tablet-Computer mit dem Google-Betriebssystem Android sind nach Darstellung der israelischen Sicherheitsfirma Check Point anfällig gegen Hackerattacken. Forscher der Firma entdeckten vier Sicherheitslücken, über die Angreifer den vollen Zugriff auf die Geräte bekommen können – vorausgesetzt, die Nutzer laden eine präparierte Anwendung herunter.

Betroffen sind Smartphones und Tablets, die mit einen Chipsatz von Qualcomm arbeiten. Die Fehler liegen in der Treiber-Software des LTE-Moduls, das der Marktführer bei Smartphone-Chips zuliefert, nicht im Betriebssystem selbst. „Da die gefährdeten Treiber auf den Geräten bei der Herstellung vorinstalliert werden, können sie nur mit einem Patch vom Hersteller oder Netzbetreiber repariert werden“, schreibt Check Point in einem Blogeintrag.

Die vier Sicherheitslücken ermöglichen es nach Angaben von Check Point unter bestimmten Umständen, dass Angreifer volle Lese- und Schreibrechte aufs ganze System bekommen, den sogenannten Root-Zugriff. Damit könnten sie beispielsweise auf gespeicherte Daten und Fotos zugreifen, Kamera und Mikrofon einschalten oder mit dem Gerät teure Premiumnummern anrufen. Die Check-Point-Experten nennen das Problem in Anspielung darauf „Quadrooter“.

Allerdings ist das nur mit einem mehrstufigen Angriff möglich. Voraussetzung ist zum einen, dass sie die Sicherheitslücke kennen und ausnutzen können. Zum anderen, dass sie den Android-Nutzern eine präparierte App unterschieben können. Dafür müssen sie das Programm an der Sicherheitsüberprüfung von Google vorbei in den Play Store bringen, den die meisten ausschließlich nutzen. Und nicht zuletzt müssen sie die Nutzer dazu bewegen, die App auch zu installieren.

Bislang wurden die Sicherheitslücken nicht ausgenutzt

Dass sich die Sicherheitsmaßnahmen überwinden lassen, zeigen Fälle aus der Vergangenheit. So haben Kriminelle immer wieder schädliche Apps in den Play Store bringen können. Und immer wieder fallen Nutzer auf Betrüger herein. Zuletzt berichteten Sicherheitsforscher über zahlreiche Apps, die sich als „Pokémon Go“ oder Helfer für das beliebte Spiel ausgaben, aber nichts mit dem Entwickler Niantic zu tun hatten und beispielsweise Daten stehlen oder teure Premium-SMS verschicken sollten.

In der Praxis seien die Sicherheitslücken bislang nicht ausgenutzt worden, erklärte Check Point. Zu den betroffenen Geräten gehören die neuen Samsung-Spitzenmodelle Galaxy S7 and S7 Edge, die Google-Geräte Nexus 5X, 6 und 6P, das BlackBerry Priv, die HTC-Modelle One, M9 und HTC 10, das Sony Xperia Z Ultra, das Moto X von Motorola sowie die LG-Geräte G4, G5, und V10. Wann es Sicherheitsupdates gibt, ist derzeit nicht klar – häufig dauert der Prozess bei Android-Modellen mehrere Monate, viele ältere Geräte erhalten gar keine Aktualisierungen mehr.

Nutzer können sich mit einer Reihe von Maßnahmen vor Angriffen schützen. Check Point empfiehlt, Android-Updates unverzüglich zu installieren und so Sicherheitslücken zu schließen. Bei der Installation von Apps sollten Nutzer genau prüfen, welche Rechte diese einfordern und im Zweifelsfall lieber darauf verzichten. Die Experten raten außerdem davon ab, außerhalb des offiziellen Play Stores Software zu beziehen.

Der Fall erinnert an die bislang größte Android-Sicherheitslücke Stagefright. Google stopfte damals zwar die Lücke und verteilte ein Update an die Handyhersteller. Doch die Hersteller der Geräte entscheiden selbst darüber, wann und wie sie das Update an ihre Nutzer weitergeben. Daher mussten viele Nutzer monatelang auf ein Sicherheitsupdate warten. Bei etlichen Geräten wurde damals die Sicherheitslücke überhaupt nicht geschlossen.

von

Günter Schwarz – 09.08.2016