Smartphones und Tablet-PCs mit Android sind ein beliebtes Ziel von Cyberkriminellen. Viele Nutzer versuchen sich daher vor Malware mit einer Sicherheits-App für ihr Gerät zu schützen. Doch wie das Fraunhofer-Institut für Sichere Informationstechnologie (SIT) in Tests herausgefunden hat, bieten viele dieser Sicherheits-Apps nur einen trügerischen Schutz: Denn sie haben selbst schwerwiegende Sicherheitslücken.

Die Experten des Fraunhofer-Instituts schauten sich die aktuellen Versionen bekannter Anwendungen von Anbietern wie Avira, Kaspersky, McAfee, Eset und Clean Master Security genauer an. Das traurige Ergebnis: In allen analysierten Apps wurden Sicherheitslücken gefunden. Dadurch können Hacker zum Beispiel die App in ein Angriffswerkzeug umwandeln und Smartphones übernehmen, um dann vom Besitzer Geld zu erpressen.

Die Sicherheitslücken erlauben das Abschalten der Schutzfunktion der Sicherheits-App – der Nutzer merkt davon nichts. Auch das Klauen von persönlichen Daten wie dem Adressbuch war im Test möglich.

„Wir haben die Hersteller umgehend über die Sicherheitslücken informiert. Die überwiegende Mehrheit hat sofort reagiert und die Sicherheitslücken geschlossen“, so Michael Waidner, Leiter des SIT. „Auf Smartphones, auf denen die Apps automatisch Updates aus den App-Stores herunterladen, sind die Sicherheitsprobleme behoben. Sofern Nutzer keine automatische Update-Funktion aktiviert haben, sollten sie die eigenen Apps umgehend aktualisieren, um sich vor möglichen Angriffen zu schützen.“

Doch wie kann es sein, dass Apps, die eigentlich für Sicherheit sorgen sollen, selbst solche Sicherheitslücken aufweisen? Laut den Sicherheitsexperten des SIT liegt die wesentliche Ursache für viele der gefundenen Schwachstellen darin, dass die Apps im Stundentakt Update-Informationen auf das Smartphone oder Tablet laden. Dabei handelt es sich zum Beispiel um Signaturen für die Erkennung neuer Schädlinge. Diese Updates kommen direkt von den Servern der Hersteller. Die Apps prüfen dabei nicht ausreichend, ob die Updates unter Umständen manipuliert wurden.

„Ist der Kanal, durch den das Update heruntergeladen wird, angegriffen worden, kann Code nach dem Man-in-the-Middle-Prinzip eingeschleust werden“, erklärt Waidner. Eine Möglichkeit für einen solchen Angriff wäre zum Beispiel ein öffentliches WLAN.

Weitere detaillierte Informationen zu den einzelnen Sicherheitslücken in den analysierten Security-Apps stellt das Fraunhofer SIT in einem PDF-Dokument zur Verfügung.