Nutzerdaten bei Tausenden Android- und iOS-Apps offen in der Cloud

Keine Hacker-Angriffe, sondern simple Konfigurationsfehler sorgen dafür, dass von tausenden iOS- und Android-Apps Daten aus der Cloud offen ins Netz plätschern. Sicherheitsforscher sehen in der Flut an inkompetenten Entwicklern ein zunehmendes Problem.

Passwörter, Gesundheitsdaten und Co. sind in dieser Wolke nicht sicher

Dass Inkompetenz und Unwissen bei vielen Problemen rund um Datensicherheit eine zentrale Rolle spielt, ist bekannt. Eine Untersuchung von Zimperium, einem Unternehmen spezialisiert auf Mobile Security, zeigt jetzt deutlich: Viele Apps für iOS und Android können in Bezug auf die Nutzerdaten als Paradebeispiel herangeführt werden, wie bei Cloud-Anbindung simple Konfigurationsfehler zu kritischen Lücken führen.

Wie Wired berichtet hatte Zimperium 1.3 Millionen iOS- und Android-Apps einem automatisierten Test unterzogen, der die Anwendungen auf häufig auftretende Cloud-Fehlkonfigurationen überprüft. Das Ergebnis: 84.000 Android-Apps und fast 47.000 iOS-Apps nutzen öffentliche Cloud-Dienste wie AWS, Google Cloud oder Azure. Bei 14 Prozent dieser Anwendungen sorgen Fehler in der Konfiguration dafür, dass Nutzerdaten von Passwörtern bis hin zu medizinischen Daten offen im Netz zugänglich sind.

"Es ist ein beunruhigender Trend", so Shridhar Mittal, CEO von Zimperium laut Wired. "Viele dieser Apps haben einen Cloud-Speicher, der vom Entwickler oder demjenigen, der diesen eingerichtet hat, nicht richtig konfiguriert wurde, und deshalb sind die Daten für so gut wie jeden sichtbar. Und die meisten von uns haben einige dieser Apps im Moment." Und damit nicht genug: Manche Anwendungen sind laut den Forschern so schlecht angelegt, dass es bösen Akteuren sogar möglich ist, Daten zu ändern oder zu überschreiben.

Keine Namen

Zimperium gibt in seinem Bericht an, mit einigen Entwicklern Kontakt aufgenommen zu haben, die Reaktionen seien aber "überschaubar". Namen der betroffenen Apps will man wegen der weiterhin vorhandenen Angriffsvektoren nicht nennen, liefert aber ein kritisches Beispiel. So findet sich unter den Apps mit simplen Konfigurationsfehlern unter anderem eine "mobile Wallet eines Fortune 500-Unternehmen".