Experten warnen vor millionenfach heruntergeladenen Apps aus dem Google Play Store oder App Store. Nutzt ihr sie, sind eure Daten in Gefahr.
- Sicherheitsforscher haben 13 weit verbreitete Android- und iOS-Apps entdeckt, die unverschlüsselte Zugangsdaten zu Cloud-Diensten enthalten.
- Diese Schwachstelle erlaubt Angreifern, auf sensible Nutzerdaten zuzugreifen oder diese zu manipulieren.
- Um das Risiko eines Datenlecks zu vermeiden, solltet ihr die betroffenen Apps besser löschen.
Immer wieder wird davor gewarnt, keine Apps aus dubiosen Quellen herunterzuladen. Denn mit hoher Wahrscheinlichkeit handelt es sich um eine getarnte Cyberbedrohung. Eine Untersuchung des Sicherheitsunternehmens Symantec zeigt allerdings, dass auch Anwendungen aus dem Google Play Store und Apples App Store eure Datensicherheit gefährden können. Insgesamt sind 13 Anwendungen betroffen, die teils millionenfach heruntergeladen wurden.
Die Gefahr dabei ist nicht sofort sichtbar. Denn es handelt sich nicht um klassische Malware, sondern um ein Sicherheitsproblem im Hintergrund. Die Apps enthalten fest einprogrammierte Zugangsdaten für Cloud-Dienste wie Amazon Web Services (AWS) und Microsoft Azure, was Angreifern Tür und Tor öffnet.
Laut Symantec wurden diese Apps mit sogenannten “hart kodierten” Zugangsdaten ausgeliefert. Das bedeutet, die App enthält unverschlüsselte Login-Informationen zu externen Cloud-Systemen. Jeder, der den Quell- oder Binärcode analysieren kann – etwa Hacker – hat dadurch potenziellen Zugriff auf sensible Datenbanken. Die Folge: Kriminelle könnten auf eure persönlichen Daten zugreifen, diese verändern oder sogar vollständig abziehen, ohne dass ihr es bemerkt. Genau deshalb solltet ihr schnell handeln.
Diese Android-Apps sind betroffen
Symantec hat acht Android-Apps identifiziert, bei denen diese gravierende Schwachstelle besteht. Diese wurden insgesamt über 10 Millionen Mal installiert. Schaut selbst, ob eine davon auf eurem Gerät ist:
- Pic Stitch: Über 5 Millionen Downloads
- Meru Cabs: Über 5 Millionen Downloads
- Sulekha Business: Über 500.000 Downloads
- ReSound Tinnitus Relief: Über 500.000 Downloads
- Saludsa: Über 100.000 Downloads
- Chola Ms Break In: Über 100.000 Downloads
- EatSleepRIDE Motorcycle GPS: Über 100.000 Downloads
- Beltone Tinnitus Calmer: Über 100.000 Downloads
Schon eine einzige dieser Apps kann potenziell eure Daten preisgeben – selbst wenn ihr sie nur gelegentlich nutzt.
Auch iOS-Apps sind nicht sicher
Auch im Apple App Store wurden fünf riskante Anwendungen gefunden. Sie wurden zwar nicht so häufig heruntergeladen, aber allein durch die Vielzahl an Bewertungen wird klar, wie verbreitet sie trotzdem sind:
- Crumbl: Über 3,9 Millionen Bewertungen
- Eureka – Verdiene Geld für Umfragen: Über 402.100 Bewertungen
- Videoshop : Video Editor: Über 357.900 Bewertungen
- Solitaire Clash – Gewinne echtes Geld: Über 244.800 Bewertungen
- Zap Surveys – Verdiene leicht Geld: Über 235.000 Bewertungen
Auch hier gilt: Die Nutzung allein bedeutet nicht automatisch, dass ihr bereits betroffen seid – aber die Gefahr ist real, wenn die Entwickler keine Updates liefern.
Warum ihr die Apps besser löschen solltet
Zwar sind die betroffenen Apps nicht mit Schadsoftware verseucht, aber gerade das macht sie so tückisch. Sie wirken vertrauenswürdig und sind offiziell über Google Play oder den App Store erhältlich. Die Sicherheitslücke entsteht durch die im Code hinterlegten Zugangsdaten für Cloud-Dienste.
Angreifer könnten diese Daten extrahieren, um auf Datenbanken mit sensiblen Informationen zuzugreifen. Zum Beispiel E-Mail-Adressen, Nutzungsdaten oder auch Bilder und Kontakte. Die einfachste Schutzmaßnahme: Löscht die betroffenen Apps.
Es ist nicht das erste Mal, dass Symantec solche Schwachstellen aufdeckt. Bereits 2022 entdeckte das Unternehmen über 1.800 Apps mit ähnlichen Problemen. 77 Prozent davon enthielten gültige Cloud-Zugangsdaten im Code. Die Gefahr durch solche Programmierfehler wird also noch immer unterschätzt.
Notfalllösung: VPN
Falls ihr eine dieser Apps unbedingt behalten wollt, solltet ihr zumindest zusätzliche Sicherheitsmaßnahmen treffen. Ein VPN (Virtual Private Network) wie ExpressVPN oder CyberGhost VPN kann euch dabei helfen, eure Verbindung zu verschlüsseln und eure IP-Adresse zu verschleiern. Zwar schützt ein VPN nicht direkt vor schlecht programmierten Apps, aber es erschwert den Datenzugriff über unsichere Netzwerke erheblich.
Sicher, schnell, anonym: Das sind die besten VPN-Dienste
Langfristig solltet ihr jedoch regelmäßig eure Apps überprüfen und darauf achten, ob sie Updates erhalten oder von vertrauenswürdigen Entwicklern stammen. Sicherheit beginnt nicht erst beim Hackerangriff, sondern bei der richtigen App-Auswahl.