Zscaler warnt vor Sicherheitslücken in mobilen Apps

Der amerikanische Anbieter von Sicherheitslösungen Zscaler warnt vor dem Abfließen von Informationen über mobile Apps. Dies geht aus einer Analyse von Transaktionen hervor, die Zscaler in seiner globalen Sicherheits-Cloud aufgezeichnet hat. Darin verarbeitet die Firma pro Quartal unter anderen mehr als 45 Millionen Internet-Transaktionen, die alleine von den mobilen Betriebssystemen Android und iOS generiert werden.

Aufbauend auf dieser Datenbasis untersuchte das Research-Team des Sicherheitsspezialisten das Verhalten mobiler Apps hinsichtlich Verstößen zur Privatsphäre und dem Abfließen von Informationen in den Kategorien Geräte-Metadaten, standortbezogene Daten und vertrauliche Informationen zur Identifikation von Personen.

Unter Android sind laut Zscaler 60.000 Transaktionen pro Quartal potenziell gefährlich, was etwa 0,3 Prozent der 20 Millionen Android-Transaktionen entspricht. 58 Prozent davon betreffen Metadaten, wie IMEI-, MAC oder IMSI-Nummern, die zum Tracken der Geräte und für gezielte Attacken genutzt werden können. 39,5 Prozent beinhalten Daten zum Standort des Anwenders mit exakten Koordinaten. Und die restlichen 2,7 Prozent der potenziell absickernden Daten sind Informationen zur Identifizierung von Personen, wie beispielsweise die Handynummern und E-Mail-Adressen der Anwender. Für ein Prozent der abfließenden Daten unter Android ist Schadsoftware verantwortlich, der Rest geht auf die Nutzung von Standard-Anwendungen zurück.

Unter iOS hat Zscaler 130.000 Transaktionen pro Quartal identifiziert, die Daten der Nutzer abgreifen. Das entspricht etwa 0,5 Prozent der 26 Millionen aufgezeichneten Transaktionen. Die Apps versuchten die Daten der Anwender, die Informationen über die Privatsphäre enthalten, an externe Stellen weiterzuleiten. Davon sind 72,3 Prozent Geräteinformationen, 27,5 Prozent standortbezogene Daten und 0,2 Prozent Informationen zur Identifizierung des Nutzers. Fünf Prozent der Datenleaks basieren auf einer Infektion durch Schadsoftware, für den Rest sind Standard-Anwendungen verantwortlich.

Laut Zscaler zeigen diese Erkenntnisse, dass beachtliche Mengen persönlicher Informationen durch ein Anzapfen des unternehmensweiten Datenverkehrs von Mobilgeräten abfließen könnten: alleine die Zscaler-Cloud konnte fast 200.000 Beispiele solcher Datenlecks aufdecken und stoppen.

Risiken durch den Abfluss persönlicher Daten

Die über mobile Apps gesammelten persönlichen Daten können laut Zscaler für weiterreichende Angriffe auf Unternehmensnetze eingesetzt werden. Da die Informationen zur Geräteerkennung der Hardware, wie MAC, GSM IMEI, IMSI und UDID, global einzigartig vergeben werden und sich mit der Lebenszeit eines Gerätes nicht verändern, ist darüber das Tracking und die Verbindung zum physikalischen Gerät jederzeit möglich. Damit können sie für eine Reihe von Attacken eingesetzt werden, wie Remote-Denial-of-Service Attacken per SMS oder das Ausspionieren von SIM-Karten.

Laut des Sicherheitsanbieters müssen Unternehmen wegen der Sicherheitslücken mobiler Apps, die aufgrund unzureichender Sicherheitsinvestments der App-Entwickler entstehen, selbst aktiv werden. Für den Schutz ihrer Mitarbeiter, die Infrastruktur des Netzwerkes und den Datenbestand von Unternehmen sei es ratsam, dass Firmen geeignete Sicherheitsmaßnahmen ergreifen. Sicherheitslösungen, die den mobilen Datenverkehr lückenlos analysieren und gegebenenfalls blocken und mehrstufige, intelligente Sicherheitskonzepte kombinieren, strikte Mobile Device Management-Policies und Schulungen der Mitarbeiter zu App-Sicherheit helfen, Datenverlust und Sicherheitsverstöße zu vermeiden.

Ein Blick auf die geografische Analyse zeigt, dass iOS-Anwender vor allem durch chinesische Apps gefährdet sind, während unter Android vorwiegend Anwendungen aus den USA Nutzerdaten ausspähen.