Hersteller-Anpassungen machen Android angreifbar

Samsung hat TouchWiz, HTC hat Sense. Viele Hersteller wollen in der Masse der Android-Geräte mit individuellen Software-Features punkten. Nach einer neuen Studie bringen diese Anpassungen aber auch immer eines mit sich: mehr Sicherheitslücken. "Mehr Code bringt mehr Fehler"
Immer wieder tauchen in Googles Play-Store schädliche Apps auf. Bei den jetzt untersuchten Mini-Programmen ging es aber nicht um zwielichtige Software aus den Tiefen des Internets. Android Geräte: Gleiches OS, verschieden Apps Forscher des Department of Computer Science der North Carolina State University wollen herausgefunden haben, dass Software, die von Herstellern zusätzlich installiert wird, auch immer neue Sicherheitsrisiken mit sich bringt.

Eine entsprechende Studie wurde diese Woche auf einer Konferenz in Berlin vorgestellt. Demnach mussten zehn Android-Smartphones von verschiedenen Herstellern zeigen, wie es mit der Sicherheit ab Werk wirklich bestellt ist. Dabei wurden jeweils ein aktuelles und ein älteres Modell von Samsung, HTC, Sony, LG und zwei Nexus-Modelle von Google verglichen.

Die vorinstallierten Apps wurden von den Forschern in drei Gruppen eingeteilt. Apps, die im Zuge des Android Open Source Project auf vielen Android-Geräten zu finden sind. Apps, die von Anbietern wie Facebook auf die Geräte gebracht werden und zu guter Letzt Apps, die von den Herstellern selbst auf Smartphones und Tablets installiert werden.

Apps, die zu viel dürfen
Die Forscher nahmen sich jedes Programm einzeln vor, um mögliche Schwachstellen aufzudecken. Außerdem wurden die Berechtigungen der Apps daraufhin untersucht, ob sie für die Funktion des Programms wirklich nötig sind.


Das ernüchternde Ergebnis: gerade einmal 15 Prozent aller untersuchten Apps sind beim Rechte-Management genügsam - der Rest genießt Genehmigungen, die nicht nötig wären.

Kein Smartphone sauber
Das wirkliche Problem sehen die Forscher aber in den vorinstallierten Apps der Hersteller selbst. Keines der zehn getesteten Geräte kam ohne Sicherheitslücken aus der Verpackung, die auf diese Programme zurückzuführen sind.

Bei Geräten mit Android in der Version 2.x wurden rund 22 Sicherheits-Lecks identifiziert. Ist Android 4.x installiert , konnten im Schnitt noch 18 Lücken gefunden werden. Wirklich deutlich wird der Sicherheits-Unterschied aber in dem Vergleich, den die Studie zwischen dem Galaxy S3 und dem Nexus 4 zieht.

Während das Samsung Smartphone mit 40 Schwachstellen ausgeliefert wird, die von Apps verursacht werden sollen, sind es beim Nexus-Gerät mit purem Android OS nur drei.

Hersteller müssen sauber arbeiten
Sollten also alle Hersteller auf ihre Zusatz-Software verzichten um Android sicherer zu machen? Wenn es nach den Forschern geht, auf keinen Fall: "Wir glauben nicht, dass die Unternehmen aufhören sollen, Android anzupassen", "Sie sollten aber immer berücksichtigen, dabei nicht neue Sicherheits-Lücken einzubauen."

Eine unmittelbare Gefahr geht von den entdeckten Lecks nicht aus. Die Forscher wollen aber die Aufmerksamkeit dafür schärfen, dass auf diesem Weg Schadsoftware noch leichter in unseren Smartphones landen kann.