Gebrauchte Androiden: Daten lassen sich auch nach Reset auslesen

Wenn das alte Android-Smartphone verkauft wird, gilt ein Zurücksetzen auf den Werkszustand als unbedingt zu empfehlende Sicherheitsmaßnahme um die eigenen Daten nicht Unbefugten auszuhändigen. Allerdings hilft die Maßnahme häufig nicht, wie eine aktuelle Untersuchung verschiedener Geräte zeigte. Sicherheitsforscher der University of Cambridge haben dafür 21 verschiedene gebrauchte Android-Smartphones auf eBay erworben und unter die Lupe genommen. Die Bandbreite der Betriebssystem-Versionen, die auf den Mobiltelefonen installiert war, reichte von 2.3.x (Gingerbread) bis 4.3 (Jelly Bean). Auch die Hersteller variierten: Es kamen Geräte von Samsung, HTC, LG Electronics, Motorola sowie drei Modelle von Googles Nexus-Serie zusammen.


Den Forschern gelang es, aus den Speichern aller Smartphones Daten des vorherigen Besitzers auszulesen und recht vielfältige Informationen zu erlangen. Diese waren zum Teil recht sensibler Natur. So konnte in 80 Prozent der untersuchten Fälle der Master-Token von Google wiederhergestellt werden, der eine Synchronisation mit dem Account des vorherigen Nutzers ermöglichte und dem neuen Besitzer so Zugang zu quasi allen Daten verschaffte, die als Backup in die Cloud gelegt wurden.

Aber auch ohne dies konnten verschiedene wichtige Informationen zurückgeholt werden. Darunter befanden sich beispielsweise die Zugangs-Tokens von Facebook, E-Mails, SMS und verschiedene Instant Messaging-Gespräche. Daher ist es sinnvoll, vor dem Verkauf eines Gerätes nicht auf die Bordmittel zu vertrauen, sondern mit externen Tools eine sichere Löschung des Speichers durchzuführen.

Hilfreich ist es auch, bereits im normalen Betrieb die Verschlüsselungs-Optionen zu nutzen, die neuere Android-Versionen bieten. Aber auch dies bietet nicht zwingend völlige Sicherheit. In wenigen Fällen gelang es den Forschern immerhin, genug Informationen aus dem Speicher auszulesen, um anschließend mit einer Brute-Force-Attacke Zugriff auf die kodierten Bereiche des Speichers zu erlangen. Dies ist zumindest dann möglich, wenn die Anwender als Passwort lediglich die übliche PIN verwenden.