Outlook.com: Android-App soll Nutzerdaten ungeschützt ablegen

Ein Sicherheitsunternehmen hat in der App für Outlook.com für das mobile Betriebssystem von Google gleich mehrere sicherheitsrelevante Schwachstellen gefunden. Eine betrifft E-Mail-Anhänge, die ungeschützt auf der SD-Karte abgelegt werden, was den Zugriff ermöglicht, wenn man das Gerät in die Hand bekommt. Include Security, ein Sicherheitsberatungsunternehmen, hat auf seiner Webseite eine Analyse der Android-App für Outlook.com vorgelegt und bescheinigt der Microsoft-Anwendung einige relevante Lücken (via ZDNet). Eine davon betrifft die Anhänge: Nach Include-Angaben speichert die App empfangene Attachements von Haus aus in einem Ordner auf der SD-Karte, dieser ist mit einem Programm mit READ_EXTERNAL_STORAGE-Genehmigung lesbar.

Nicht betroffen sind die neuesten Versionen des Betriebssystems, da seit Android 4.4 derartige Daten in einem privaten Ordner im Smartphone-Speicher abgelegt werden müssen. Da die Verbreitung der neuesten Version des OS aber noch eine Minderheit betrifft, ist diese Schwachstelle für viele von Bedeutung. Benötigt wird allerdings physikalischer Zugriff auf das Gerät, auch den Sperrbildschirm müssten Missetäter erst einmal überwinden. Erfahrene Anhalter durch die Galaxis wissen also: Keine Panik.

Zweite "Schwachstelle" ist eher missverständliche Beschreibung

Include Security berichtet von einer "Schwachstelle", die allerdings nur im weitesten Sinne so gesehen werden kann, eher als missverständlichen Text: Denn die App bietet ein Pincode-Feature, das suggeriert, der Nutzer würde damit seine E-Mails schützen, also verschlüsseln.

Das ist jedoch nicht der Fall, da hier nur der Zugang zum App-Interface geschützt wird, aber nicht die eigentliche Kommunikation. Erfahrene Anwender werden mit den Schultern zucken, für Durchschnittsanwender sollte Microsoft aber wohl besser den Beschreibungstext ändern.

Microsoft hat gegenüber ZDNet nur auf die erste "Lücke" reagiert und verweist zum einen auf die Sandbox des Betriebssystems sowie die Möglichkeit, die SD-Karte über die Smartphone-Einstellungen verschlüsseln zu können.