Enisa bemängelt Sicherheit von App Stores

Die europäische Agentur für Cybersecurity Enisa fordert, dass die Smartphone-Branche sich auf gemeinsame Standards zur Bekämpfung von Schadsoftware für Mobilgeräte einigt – vor allem, was App Stores betrifft. Diese Stellungnahme findet sich in ihrem jüngsten Bericht: „Appstore security: 5 lines of defence against malware„.

Die Autoren schreiben, Malware für Mobilgeräte nehme rasch zu. Der Anwender aber werde durch die unterschiedlichen Sicherheitsansätze der App Stores verschiedener Hersteller zusätzlich irritiert. „Es geht um viel: Endverbraucher, Behördenmitarbeiter und Firmenvertreter nutzen gleichermaßen Smartphones, um große Mengen vertraulicher und privater Daten zu speichern. Wir empfehlen einen branchenweiten Ansatz für den Kampf gegen Malware und unsichere Apps.“

Im Dezember 2010 hatte die Enisa schon Phishing und Spyware als große Sicherheitsrisiken eingestuft. Es gebe zwar weniger Malware für mobile Endgeräte als für PCs, diese sei aber sehr gefährlich, wenn sie persönliche Daten abgreife oder wiederholt teure Telefondienste anrufe.

Wie der Titel der Broschüre mit 16 Seiten Text ankündigt, zählt die Enisa fünf Verteidigungslinien auf, an denen Malware abgefangen werden kann. Erste ist die App-Überprüfung durch den Anbieter, sowohl von Hand als auch maschinell. Als zweite Stufe nennt die Agentur ein reputationsbasiertes Listing im App Store, damit Nutzer wissen, ob sie der App vertrauen können – oder im Fall neuer Apps, ob der Entwickler einen guten Ruf genießt.

Dritte Verteidingungslinie wäre der Enisa zufolge der Rückruf von Apps, also ein „Kill Switch“ (wörtlich: Todesschalter) des Herstellers. Er sollte demnach für Notfälle die Option besitzen, Apps von den Geräten der Anwender zu entfernen. Viertens fordert die Enisa bessere Sicherheitsvorkehrungen auf den Geräten selbst, insbesondere Sandkästen, in denen die Programme laufen, ohne mehr als die absolut notwendigen Zugriffsrechte zu haben. Die fünfte Methode nennen die europäischen Sicherheitsexperten „Jails“ (Gefängnisse) oder auch „ummauerte Gärten“. Es geht darum, von vornherein nur einen oder wenige App Stores für ein Betriebssystem zuzulassen. Allerdings müsse man aufpassen, so nicht den legitimen Wettbewerb zu behindern.