Millionen ältere Android-Geräte sind potentiell unsicher, enthält das Betriebssystem bis Android 4.3 doch zahlreiche Sicherheitslücken, die durch Google oder die Geräte-Hersteller nicht mehr gefixt werden. Im Blog-Beitrag möchte ich ein paar Hinweise geben, was man zur Erhöhung der Sicherheit tun kann.
Da hier auch Einsteiger im Blog mitlesen bzw. betrifft, versuche ich die Ausführungen möglichst einfach zu halten. Die “Wissenden” können ja die Abschnitte überspringen
Welche Geräte sind betroffenen?
Sie besitzen Geräte mit einer Betriebssystem-Version bis Android 4.3? In diesen älteren Geräten sind Sicherheitslücken vorhanden, die durch Google oder die Geräte-Hersteller nicht mehr gefixt werden. Ich hatte im Artikel Google lässt schwere Android-Lücke ungepatcht – 1 Milliarde Geräte betroffen auf diese Problematik hingewiesen. Konkret ist es so, dass die von Browsern verwendete WebView-Komponente diese Sicherheitslücken aufweist. Leider greifen auch Apps auf diese WebView-Komponente (z.B. zur Anzeige von Webseiteninhalten oder von Werbung) zurück.
Also könnten die Sicherheitslücken beim Öffnen von Apps oder beim Surfen im Web ausgenutzt werden, um Schadsoftware auf dem Android-Gerät zu verteilen. Wie hier ausgeführt wird betrifft die Lücke “nur” Geräte mit älterem Betriebssystem-Versionen bis Android 4. In Android 4.4.x (Kitkat) ist die Lücke geschlossen.
Warum schließt Google diese Lücke nicht?
Nun, dies bleibt Googles Geheimnis. Offiziell hieß es bisher von Google, dass man keinen Geräte bis Android 4.3 für Hersteller mehr lizenziere – und damit ist das Problem vom Tisch. Denn ab Android 4.4.0 ist die betroffene Komponente überarbeitet worden. Inoffiziell ist es wohl so, dass es für Google schwierig ist, ein Update nur für diese Lücke herauszugeben.
Normalerweise wäre ein solches Android-Update Sache der Gerätehersteller, die das aber nicht anbieten. In neueren Android-Versionen können die Gerätehersteller dagegen recht einfach Update für solche Lücken ausliefern. Zwischenzeitlich hat Google auch offiziell angekündigt, die Lücke in den älteren Android-Versionen bis 4.3 nicht mehr schließen zu wollen. Man muss entweder auf ein neues Gerät ab Android 4.4 wechseln oder versuchen, mit den nachfolgend beschriebenen Maßnahmen wenigstens die größten Risiken zu minimieren.
Bin ich betroffen? Welche Android-Version habe ich?
Die erste Frage ist: Bin ich überhaupt betroffen bzw. habe ich ein Gerät mit einer Android-Version bis 4.3? Um die Android-Version abzufragen, sind folgende Schritte (demonstriert an einem Medion Lifetab 7332, funktionieren aber bei allen Android-Versionen) erforderlich.
1. Rufen Sie über den Home-Screen die App-Seite auf. In obigem Home-Screen wäre das Symbol am rechten Rand mit den 6 Pünktchen anzutippen.
2. Wählen Sie in der App-Seite das Symbol der Einstellungen-App (mit dem Zahnrädchen) an, um die App zu öffnen.
3. Blättern Sie in der Einstellungen-App zum untersten Eintrag Über das Telefon und tippen Sie diesen an.
Dann erscheint die hier gezeigte Seite “Über das Tablet” (oder “Über das Telefon”), in dem die genaue Android-Version (hier mal rot gekringelt) angezeigt wird. In obigem Beispiel ist Android 4.4.4 ausgewiesen – mein Medion Lifetab E7332 ist also nicht betroffen.
Was kann ich als Betroffener tun?
Stellen Sie bei der Abfrage fest, dass Sie auf dem Android-Gerät ein Betriebssystem vor Android 4.4 haben? Bliebe nur noch, das Gerät aus Sicherheitsgründen abzuschalten und auf ein neues Gerät zu wechseln. Nicht jeder kann oder will das – und es gibt Möglichkeiten, wie man sein Gerät etwas sicherer machen kann.
Google selbst liefert in diesem englischsprachigen Artikel einen Hinweis: Da die Schwachstelle in den WebView-Anzeigekomponenten des Android-Browsers liegt, heißt es, auf diese Funktionen zu verzichten.
Man darf den betroffene Browser (hier im Foto die App mit dem Symbol der blauen Weltkugel) nicht mehr einsetzen. Google empfiehlt, den Google Chrome oder den Firefox als Browser auf dem Android-Gerät einzusetzen. Beide Apps gibt es auch für ältere Android-Versionen kostenlos über die beiden obigen Links im Google Play Store.
Tipp: Den Home-Screen aufräumen
Meist wurde ja das blaue Browser-Symbol prominent vom Hersteller auf dem Home-Screen des Android-Geräts eingerichtet. Damit man nicht aus Versehen den falschen Browser aufruft, kann man den Browser mit der blauen Weltkugel vom Home-Screen löschen und den Google Chrome dort anordnen.
1. Drücken Sie etwas länger mit dem Finger auf das Symbol der Browser-App mit der blauen Weltkugel.
2. Sobald diese etwas vergrößert angezeigt wird, schieben Sie das App-Symbol zum Löschen Symbol.
Dieses wird als X (wie hier) oder als kleiner Mülleimer auf dem Home-Screen angezeigt. Sobald Sie das App-Symbol über dem X loslassen, entfernt Android das betreffende App-Symbol vom Home-Screen. Nun ist das Google Chrome-App-Symbol (oder der Firefox) auf dem Home-Screen anzuordnen.
1. Rufen Sie über das Symbol mit den 6 Pünktchen die Seite mit den Android-Apps auf und suchen Sie dort das App-Symbol der gewünscht Browser-App (hier Chrome).
2. Drücken Sie mit dem Finger etwas länger auf das Symbol der gewünschten App, bis der verkleinerte Home-Screen erscheint oder bis die App vergrößert angezeigt wird.
3. Anschließend schieben Sie, bei weiter auf dem App-Symbol gedrückten Finger, das Symbol an die gewünschte Position auf dem Home-Screen.
Sobald Sie den Finger abheben, wird das App-Symbol an der betreffenden Position angeheftet. Die App bleibt übrigens auch noch als Symbol in der App-Seite erhalten. Schauen Sie notfalls in ihrem Gerätehandbuch nach, falls der Hersteller die Android-Version so angepasst hat, dass das Verschieben der App etwas anders funktioniert.
Antivirus-App installieren!
Installieren Sie zudem eine Antivirus-App aus dem Google Play Store, um das Android-Gerät vor gefährlichen Apps, Schädlingen in E-Mails etc. zu schützen. Unter diesem Link finden Sie eine Reihe kostenloser Antivirus-Apps für Android im Google Play Store. Mobile Security von AVAST oder AntiVirus FREE von AVG Mobile wären zum Beispiel mögliche Kandidaten. Zum Installieren rufen Sie die App Google Play Store (in obigem Fotos als “Einkauftüte” auf dem Home-Screen oben rechts zu sehen) auf und suchen dort nach dem Namen der Sicherheits-App. Diese lassen Sie dann installieren.
Apps überprüfen und entrümpeln
Als weitere Maßnahme sollten Sie anschließend alle Apps überprüfen, ob diese eventuell Werbung einblenden oder Webseiteninhalte anzeigen. Verzichten Sie nach Möglichkeit auf diese Apps, um das Risiko zu minimieren. Deinstallieren lassen sich selbst auf das Gerät gebrachte Apps, indem Sie in der Apps-Seite wieder auf die App Einstellungen tippen und dann den Befehl Apps wählen.
Es wird Ihnen die Liste der installierten Apps angeboten. Tippen Sie auf die selbst installierte App, die zu entfernen ist. Dann erscheint eine Seite mit Schaltflächen, um die App zu stoppen, Daten zu löschen und die App zu entfernen. Tippen Sie auf die Deinstallieren-Schaltfläche und befolgen Sie die angezeigten Anweisungen.
Wenn Sie die obigen Anweisungen ausführen, keine kritischen Daten auf dem Android-Gerät speichern und auch sonst vorsichtig beim Abrufen von Webinhalten sind, sollte sich das Risiko stark reduzieren lassen. Sie können dann das Android-Gerät durchaus weiter verwenden. Nachtrag: Gerade bei Spiegel Online diesen Artikel zum Thema gefunden.
Ähnliche Artikel:
Sicherheits-Infos: Erpressungstrojaner, buggy Android-Apps
Vorsicht: Android-Trojaner verschlüsselt eure Speicherkarten
PornDroid-Erpressungs-Trojaner für Android
Android-Trojaner macht Fotos und schneidet Anrufe mit
Android-Backdoor in China-Phones
Von Android-Malware und Vodafone Router-Lücken
Android-Antivirus: Das Smartphone vor Malware schützen
Android x86: Apps installieren Teil 1
Android x86: Apps installieren Teil 2
Hallo
Das Problem ist ja nicht nur das fixen der Sicherheitslücke, die HErsteller müßten diesen Patch dann auch noch verteilen. Was wohl eher nicht passieren würde, denn dann hätten die Geräte ja wohl schon Kitkat bekommen.
Gruß Jörg
Kleiner Nachtrag: In den älteren Versionen gibt es auch einen Bug im Wi-Fi Direct-Teil, über den man das Android-Gerät zum Absturz bringen kann. Einige Hinweise zu diesem Thema finden sich hier bei heise.de. Diese Lücke stufe ich aber als nicht sonderlich schwerwiegend ein.
Wäre es nicht einfacher und sicherer den Standartbrowser einfach komplett zu deaktivieren? Damit löscht der sich ja selber aus dem Startbildschirm und Programmauswahl und ein versehentliches aktivieren ist dann auch nicht mehr drin.
PS: Programme kann man auch generell über die Programmauswahl deinstallieren, dazu muss man nicht zwangsläufig in die Einstellungen navigieren.
Vielleicht habe ich was übersehen – aber ohne Root kommst Du unter „Einstellungen -> Apps“ doch gar nicht an die betreffende Browser-App heran. Und damit fällt „Deaktivieren“, selbst wenn es ich der App-Seite angeboten würde, doch weg?
Und was meinst Du mit „über die Programmauswahl deinstallieren“ genau?
Geht erst ab Android 4 in den Einstellungen, davor geht es in der Tat nur mit Root. Zur Lücke selbst kann man sich doch auch einfaach von Google im Browser Abmelden, dann wird nichts mehr Installiert, außer man bestätigt die automatische Anmeldung wieder. Virenscanner unter Android bringen nicht viel, da diese ja nur die Apps überprüfen. Im Play Store wird man kaum welche finden und wenn dies bekannt ist löscht Google diese im Store und von dem Gerät, desweiteren sieht man ja vorher welche Rechte die App haben will.
@Elefant: Bzgl. Virenscanner ist der Denkfehler, dass es nicht nur infizierte Apps gibt, sondern Dokumente, Webseiten und E-Mails. Werden die nicht gescannt? Ich meine, dass die Antivirus-Apps da schon eingreifen.