Sicherheitsforscher: Microsofts Outlook-App für Android gibt Nutzerdaten preis

Die Sicherheitsfirma Include Security hat eine Schwachstelle in Microsofts Outlook.com-App für Android entdeckt. Unbefugte könnten sich demnach Zugang zu vertraulichen Informationen verschaffen. Betroffen sind offenbar Nutzer, auf deren Geräten Android 4.3 und früher läuft.

Die Pincode-Funktion von Microsofts Outlook-App regelt laut Include Security nur den Zugriff auf die App, nicht aber auf die gespeicherten E-Mails (Screenshot: ZDNet).

Die App für Microsofts E-Mail-Dienst legt Dateianhänge in der Voreinstellung in einem Ordner auf der SD-Karte ab, der von allen Programmen gelesen werden kann, die über die Berechtigung „READ_EXTERNAL_STORAGE“ verfügen. Android 4.4 bietet die Möglichkeit, private Ordner auf der SD-Karte zu erstellen, die nur für die jeweilige App lesbar sind. Älteren Android-Versionen fehlt diese Funktion jedoch, weswegen die Anhänge unter Android 4.3 und früher nicht geschützt sind.

Darüber hinaus kritisiert Include Security die PIN-Funktion der Outlook.com-App. Nutzer können die Anwendung mit einem mehrstelligen Zahlencode schützen, was den Eindruck erwecke, E-Mails seien dann verschlüsselt. Allerdings verhindert die PIN nur einen unbefugten Zugriff auf die App.

Die PIN-Sperre ist ab Werk ausgeschaltet. Sie kann über das Zahnrad-Symbol im Menü aktiviert werden. Dort heißt es dann: „Zum Schutz Ihrer E-Mails erstellen Sie bitte einen Pincode“, was laut Include Security irreführend ist, weil die Nachrichten an sich nicht geschützt seien. Vielmehr könne jeder mit Zugriff auf ein Android-Gerät mit austauschbarer SD-Karte alle gespeicherten Daten lesen. Andernfalls sei dies nur bei aktiviertem USB-Debugging möglich – einer Zusatzeinstellung, die nur im Entwicklermodus von Android zur Verfügung steht.

Include Security verweist auch auf andere Apps mit ähnlichen Problemen. Ein Beispiel ist die Mail-App unter iOS 7, die selbst dann nicht in der Lage ist, auf einem iPhone oder iPad gespeichert Dateianhänge zu verschlüsseln, wenn die Verschlüsselung für alle Inhalte eingeschaltet wurde.

Ein Microsoft-Sprecher verwies auf Nachfrage von ZDNet USA auf die Android-Sandbox, in der alle Apps ausgeführt würden und die die Daten eines Nutzers schütze. Darüber hinaus empfiehlt es Kunden, die mehr Sicherheit benötigen, ihre SD-Karte zu verschlüsseln. Auch Include Security erwähnt diese Funktion, die sich in den Einstellungen unter dem Punkt „Sicherheit“ findet.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

12 Stunden ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

13 Stunden ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

20 Stunden ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

1 Tag ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

2 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

2 Tagen ago