Berechtigungen mobiler Apps

Was ist Berechtigungen mobiler Apps?

Bei Diskussionen über mobile Bedrohungen stehen häufig per Sideloading installierte APKs und unbekannte Quellen im Mittelpunkt – also die spektakulären Fälle. Diese Übung behandelt ein wesentlich häufigeres Szenario: Eine App aus dem offiziellen Play Store hat einen unauffälligen Eintrag und eine Fünf-Sterne-Bewertung, fordert aber Berechtigungen an, die nichts mit ihrer eigentlichen Funktion zu tun haben. Der Play Store prüft auf Malware, nicht auf übermäßige Zugriffsrechte. Sobald Nutzende den Berechtigungsdialog bei der Installation bestätigen, behält die App diese Berechtigungen so lange, bis sie jemand bemerkt und manuell entzieht. Die Simulation beginnt an einem Dienstagmorgen mit einer E-Mail des Security Operations Center. Die Anomalieerkennung hat eine anhaltende Datenexfiltration von einem Arbeitstelefon gemeldet, das mit dem Konto der nutzenden Person verknüpft ist. Die Verursacher sind keineswegs exotisch: ein kostenloser QR-Scanner zum Erfassen von Leistungsbelegen auf Papier und eine kostenlose LED-Taschenlampe zum Prüfen von Dokumenten. Beide stammen aus dem Play Store und wurden jeweils mehr als eine Million Mal heruntergeladen. Eine App hat sechs Wochen lang Kontakte, Mikrofonaufnahmen und Standortabfragen an einen Command-and-Control-Server übertragen. Die andere hat dieselben Daten abgeschöpft und ist für die Exfiltration vorbereitet, hat sie aber noch nicht übertragen. Im Security Portal liest die nutzende Person den Schadensbericht für jede App und geht die Audit-Checkliste durch. Anschließend nimmt sie die eigentliche Behebung am Telefon vor. Die Übung führt in der App Settings eine allgemeine Ansicht zur Berechtigungsprüfung ein: eine Liste installierter Apps mit farblich nach Risikostufe gekennzeichneten Berechtigungs-Chips und der Möglichkeit, jede Berechtigung mit einem einzigen Tippen zu entziehen. Die nutzende Person deinstalliert den QR-Scanner vollständig, weil der Missbrauch seiner Berechtigungen bereits zur Exfiltration geführt hat. Der Taschenlampen-App entzieht sie gezielt die drei übermäßigen Berechtigungen, lässt sie aber installiert – eine Taschenlampe benötigt berechtigterweise Kamera für die LED-Hardware und sonst nichts. Das Kernprinzip der Übung ist die Ein-Satz-Regel: Eine Berechtigung ist nur dann angemessen, wenn Sie die für Nutzende sichtbare Funktion, die sie ermöglicht, in einem einzigen Satz benennen können. „Kamera, damit die App QR-Codes lesen kann“ ist plausibel; „SMS, damit die App ... Ihre Nachrichten lesen kann?“ fällt sofort durch. Die Schulung endet mit einem Quiz aus fünf Fragen. Es behandelt Berechtigungsdialoge bei der Installation, die Grenzen der Prüfungen im Play Store, die richtige Reaktion auf aktiv missbrauchte Berechtigungen, die besonderen Risiken kostenloser Utility-Apps und eine angemessene Sicherheitshygiene für Arbeitstelefone.

Was Sie lernen in Berechtigungen mobiler Apps

• Erkennen, dass der Play Store und der App Store auf Malware und Richtlinienverstöße prüfen – nicht auf Berechtigungen, die über den angegebenen Zweck einer App hinausgehen
• Bei der Prüfung von Berechtigungsanfragen die Ein-Satz-Regel anwenden: Wenn sich die für Nutzende sichtbare Funktion, die eine Berechtigung ermöglicht, nicht benennen lässt, lautet die Antwort „Nein“
• Mikrofon, SMS und Kontakte als besonders folgenreiche Berechtigungen erkennen, die bei jeder nicht unbedingt erforderlichen App besonders sorgfältig geprüft werden müssen
• Berechtigungen installierter Apps unter Settings prüfen und abhängig von einem aktiven Missbrauch zwischen dem gezielten Entzug einzelner Berechtigungen und der vollständigen Deinstallation entscheiden
• Eine vierteljährliche Berechtigungsprüfung für Arbeitstelefone einführen und mobile Geräte mit derselben Sicherheitshygiene behandeln wie Laptops und Workstations

Berechtigungen mobiler Apps — Trainingsschritte

1. Ein QR-Scanner für Anrufe mit Versicherten

   Mittwochnachmittag. Alice telefoniert mit einem Versicherten, der ihr die Angaben von einem Stapel Leistungsbelege vorliest. Die vorinstallierte Kamera-App kann jeden Beleg fotografieren, doch die vom Unternehmen bereitgestellte App zur Leistungsbearbeitung benötigt den QR-Code auf der Rückseite – und die Kamera kann ihn nicht auslesen. Sie braucht einen kostenlosen QR-Scanner, und zwar in den nächsten dreißig Sekunden.

2. Nach einem QR-Scanner suchen

   Der Play Store wird geladen. Auf dem Startbildschirm werden empfohlene Apps angezeigt, darüber befindet sich eine große Suchleiste.

3. Den obersten Treffer auswählen

   Vier Treffer werden angezeigt. ScanZap Pro steht ganz oben: 4,8 Sterne, mehr als eine Million Downloads, kostenlos und ohne lästige Hinweise. Alice müsste daran vorbeiscrollen, um die Alternativen überhaupt zu sehen.

4. Auf „Installieren“ tippen

   Die Detailseite der App wird geladen. Oben sieht Alice Sterne, Downloadzahlen, Screenshots und eine grüne Schaltfläche Installieren . Der Herausgeber ist RegionWave Software – Alice kennt den Namen nicht, doch bei mehr als 1 Mio. Downloads und 4,8 Sternen prüft sie die Anbieterangabe nicht weiter.

5. Berechtigungen, die ein QR-Scanner nicht benötigt

   Der Paketinstaller von Android wird eingeblendet. Vor der Installation fordert ScanZap Pro Alice auf, sechs Berechtigungen zu erteilen. Zwei davon – Kamera und Speicher – sind für einen Scanner nachvollziehbar. Die anderen vier ergeben überhaupt keinen Sinn.

6. Trotzdem installieren

   Alice hat einen Versicherten in der Leitung und muss einen Stapel Belege abarbeiten. Sie überfliegt die Berechtigungsliste, nimmt sich vor, später darüber nachzudenken, und tippt auf „Installieren“. Die App ist nach zwei Sekunden installiert, scannt ihren Test-QR-Code einwandfrei und erfüllt ihren Zweck. Bis zum Ende des Anrufs hat Alice den Berechtigungsdialog vergessen. Genau so gelangt die häufigste mobile Bedrohung des Jahres 2026 auf ein Gerät: nicht als Malware, die die Prüfung des Stores umgeht, sondern als seriös wirkende App, die weit mehr Berechtigungen anfordert als nötig. Nutzende bestätigen den Dialog, weil die konkrete Aufgabe dringlicher erscheint als das abstrakte Risiko.

7. Ein ruhiger Dienstagmorgen

   Es ist 7:18 Uhr. Alice sitzt mit ihrem ersten Kaffee im Homeoffice. ScanZap Pro ist noch immer auf ihrem Telefon und erfasst weiterhin Belege, wenn ein Versicherter anruft. Auch die kostenlose Taschenlampen-App, die sie einige Wochen nach dem Scanner installiert hat, ist noch vorhanden. Beide Apps sind weiterhin regulär im Play Store gelistet und erfüllen scheinbar genau ihren Zweck. Zumindest hat es bisher so ausgesehen.

8. Eine E-Mail vom SOC

   Alices Laptop meldet sich mit einem Signalton. Ganz oben in ihrem Posteingang liegt eine neue, als dringend markierte E-Mail des Riverstone Security Operations Center. Schon der Betreff verdirbt ihr den Morgen, noch bevor sie ihren Kaffee ausgetrunken hat. Das SOC hat genau rekonstruiert, auf welche Daten jede App auf ihrem Telefon zugegriffen hat.

9. Warum hat der Play Store das nicht erkannt?

   Bevor Sie mit der Behebung beginnen, denken Sie kurz über die Frage nach, die Ihnen vermutlich am unangenehmsten ist.

10. Security Portal öffnen

    Alice muss sich anmelden und die Prüfung Schritt für Schritt durchführen. Die E-Mail des SOC verweist direkt auf das echte Riverstone Security Portal.