(MA) Mobile Endgeräte wie Smartphones oder Tablets werden sowohl im geschäftlichen als auch privaten Bereich zunehmend für Tätigkeiten genutzt, die noch vor einem Jahrzehnt hauptsächlich über den PC, das Notebook oder auf analogem Wege abgewickelt wurden. Hierzu zählen beispielsweise:

  • Zugriff auf Remote-Speicherplatz und Nutzung von Clouds (Dropbox, iCloud, Google Drive, …)
  • Social-Media-Aktivitäten (Facebook, Instagram, XING, LinkedIn, …)
  • Nutzung von Instant Messengern und vergleichbarer Software (Teams, WhatsApp, FaceTime, Skype, …)
  • Abwicklung und Verwaltung des E-Mail-Verkehrs
  • Verwalten von Kontakten (Adressbuch) oder Terminen (Kalender)
  • Online-Shopping
  • Verwaltung von Passwörtern
  • Nutzung von Online Banking und anderen Bezahlverfahren (z.B. PayPal)
  • Speicherung und Verwaltung persönlicher Fotos, Musik, Videos oder sonstiger Dokumente

Aufgrund dieser Tatsache spielen Informationssicherheits-Aspekte ebenfalls eine zunehmend wichtigere Rolle bei der Nutzung von mobilen Endgeräten.

Hier konzentrieren wir uns primär auf Smartphones und Tablets, auf denen die bekannten Betriebssysteme Android und iOS laufen (Entsprechen zusammen über 98% des Marktanteils der Betriebssysteme für Smartphones und Tablets). Sicherheitsaspekte in Bezug auf Notebooks und ähnliche Geräte, auf denen klassische Desktop Betriebssysteme laufen, werden wir zu einem späteren Zeitpunkt untersuchen.

Sicherheitskonzept mobiler Betriebssysteme

Schauen wir uns zunächst einmal grundlegende Sicherheitskonzepte moderner Betriebssysteme genauer an. Sowohl Apple als auch Google sind sich der Bedeutung von Informationssicherheit bewusst und haben in den letzten Jahren zunehmend Sicherheits-Features in den von Ihnen veröffentlichten Betriebssystemen implementiert. Insbesondere Google hat eine Vielzahl von Features eingebaut, da Android zunehmend als „unsicher“ in der Bevölkerung wahrgenommen wurde.

Sandboxing

Eine App darf ausschließlich in ihrer eigenen „Sandbox“ agieren, d.h. nur in dem speziell für sie zugewiesenen Speicherbereich Daten lesen und schreiben. Zugriffe auf Daten anderer Apps oder auf Daten des Betriebssystems sind nur über definierte, vom OS bereitgestellte Schnittstellen möglich und erfordern spezielle Berechtigungen.

Berechtigungskonzept

Der Benutzer muss vor dem Zugriff einer App auf schützenswerte Daten außerhalb der „Sandbox“ (z.B. Adressbuch, Kalender, Standortdaten, Mikrofon, Fotos, …) aktiv die Berechtigung erteilen. Bei aktuellen iOS- und Android-Versionen werden die Berechtigungen nicht bei der Installation, sondern beim angefragten Zugriff der App auf schützenswerte Daten abgefragt (dynamische Berechtigungszuweisung). Dies bietet mehr Granularität (Apps können einzeln Berechtigungen erteilt und entzogen werden) sowie mehr Verständlichkeit (oft ist die Notwendigkeit von Berechtigungserteilungen bei der Installation durch den Benutzer nichterkennbar).

Gerätesperre / Sperrbildschirm

Das Gerät kann mit Hilfe verschiedener Methoden vor unbefugtem Zugriff geschützt(gesperrt) werden. Die Gerätesperre kann durch Authentifizierung wieder aufgehoben werden, insbesondere: Eingabe eines Zahlencodes (PIN), eines Passworts oder eines korrekten (Wisch-)Musters, Authentifizierung durch Fingerabdruck- oder Gesichtserkennung.

Ein gesperrtes Gerät erlaubt den Zugriff nur auf den Sperrbildschirm, die dort verfügbaren Funktionen sind durch den Benutzer einstellbar. Das Sicherheitskonzept sieht zum Schutz vor Brute-Force Angriffen Timeouts vor, so dass bei mehrfachen Fehlversuchen das Gerät für eine gewisse Zeit (Android: 30 Sekunden nach 5 Fehlversuchen, iOS: gestaffelt, 1 Minute bis unendlich) keine Eingaben auf dem Gerät getätigt werden können. Bei iOS kann darüber hinaus eingestellt werden, dass alle Daten auf dem Gerät nach 10 Fehlversuchen gelöscht werden. Wird das Gerät durch ein Timeout dauerhaft gesperrt, muss es mit iTunes verbunden werden, um die Sperre aufzuheben.

Geräteverschlüsselung

Alle auf dem Gerät gespeicherten Daten werden verschlüsselt (iOS) bzw. können verschlüsselt werden (Android).

iOS:

  • Hardwareseitige, native, nicht deaktivierbare Verschlüsselung
  • AES 256 Crypto Engine zwischen persistentem Flash-Speicher und Arbeitsspeicher
  • Weltweit eindeutige, in den Anwendungsprozessor eingebrannte ID (UID -> Hardware Key) fließt in die Verschlüsselung ein
  • Jede Datei wird mit einem 256-Bit-AES-Schlüssel verschlüsselt, in dem neben dem Hardware Key je nach Datei auch das Benutzergeheimnis (Code-Sperre, Wischmuster, biometrische Merkmale) mit einfließt
  • Biometrische Authentifizierung (z.B. Fingerabdruck, Gesichtsmerkmale) erhöht die Stärke der Verschlüsselung (höhere Entropie als ein einfaches Passwort).

Android:

  • Automatisch aktivierte oder manuell aktivierbare softwareseitige Verschlüsselung (Schlüsselmaterial im Speicher des Geräts und somit potenziell auslesbar)
  • 128-Bit-starke symmetrische Verschlüsselung (Master Key wird beim Start des Geräts generiert. Mit dem Benutzergeheimnis verschlüsselter Master-Key wird gespeichert)

App Store / Google Play Store

Apps können unter iOS nur aus dem App Store heruntergeladen werden. Nur Apps, die von Apple automatisiert auf Sicherheitsaspekte geprüft wurden und den „App Store Review Guidelines“ (vgl. [App19b]) entsprechen, werden dort veröffentlicht. Damit wird ein Mindestmaß an Sicherheit, insbesondere auch in Bezug auf den Datenschutz, gewährleistet. Für iOS gibt es (mit Ausnahme von Enterprise-Stores) keine Drittanbieter-Stores. Für Android gibt es neben der offiziellen Vertriebsplattform (Google Play Store) die Möglichkeit, Apps (als APK-Datei) aus Drittanbieter-Stores herunterzuladen und zu installieren (z.B. Amazon App Store, F-Droid, SlideME, XDA Labs, …).

Zwei-Faktor-Authentifizierung

Die beiden führenden Hersteller (Apple, Google) bieten eine Zwei-Faktor-Authentifizierung für die Apple-ID bzw. für das Google-Konto an.

Patchdays

Sowohl Apple als auch Google bringen für ihre Betriebssysteme iOS bzw. Android regelmäßig OS-Patches heraus, die neu entdeckte Schwachstellen (Sicherheitslücken oder Fehlfunktionen) schließen. Besonderheit bei Android: Aufgrund des Customizings des quelloffenen Codes durch Gerätehersteller und Provider beheben Patches von Google nur Sicherheitslücken in unmodifizierten Betriebssystemen (Stock-Android). Modifizierte OS-Versionen erhalten Sicherheitsupdates erst, wenn Hersteller und Provider das Update freigeben (verspätet oder gar nicht).