Sicherheit mobiler Geräte

Was ist Sicherheit mobiler Geräte?

Eine Frist, ein zugelassenes Tool, das nicht ganz funktioniert, und eine ausgefeilte Landingpage, die eine kostenlose Lösung bietet. Sie installieren die APK per Sideload. Tage später schreibt das Sicherheitsteam per E-Mail: Die App hat Ihren Bildschirm aufgezeichnet und Ihre SMS-Codes weitergeleitet, und jemand hat sich von einem anderen Kontinent aus bei Ihrem Arbeitskonto angemeldet. Eine einzige Berechtigung hat gereicht: der Zugriff auf die Bedienungshilfen. MFA hilft nicht, wenn beide Faktoren auf demselben Telefon vorhanden sind. Sie deinstallieren die App, blockieren unbekannte Quellen und melden sich bei der Geräteverwaltung an.

Was Sie lernen in Sicherheit mobiler Geräte

• Erkennen Sie per Sideload installierte APKs aus unbekannten Quellen als hochriskanten Installationsweg, der die Prüfungen im Play Store und App Store umgeht
• Erkennen Sie den Zugriff auf die Bedienungshilfen als Android-Berechtigung mit dem höchsten Risiko und erteilen Sie ihn keiner App, die ihn nicht zwingend benötigt
• Prüfen Sie die Berechtigungen installierter Apps in Settings und deinstallieren Sie Apps mit Zugriffsrechten, die sie nicht benötigen
• Blockieren Sie Installationen aus unbekannten Quellen auf Betriebssystemebene, um eine ganze Klasse von Sideload-Angriffen vollständig abzuwehren
• Registrieren Sie ein Arbeitsgerät in Mobile Device Management, um die kontinuierliche Durchsetzung von Sicherheitsrichtlinien durch die IT, Berechtigungsprüfungen und den Widerruf von Zugriffen aus der Ferne zu ermöglichen

Sicherheit mobiler Geräte — Trainingsschritte

1. Ein Pitch morgen früh

   Es ist Dienstagnachmittag in Alices Homeoffice. Morgen früh um 9 Uhr präsentiert sie dem Vorstand das Pitch-Deck zu Project Atlas – und in drei zugehörigen Kunden-PDFs müssen Seiten neu angeordnet werden, bevor das Briefing-Paket heute Abend verschickt wird. Das von Kinetic Solutions zugelassene PDF-Tool kann Anmerkungen hinzufügen, jedoch keine Seiten neu anordnen. Alice greift zum Telefon, um schnell eine Alternative zu finden.

2. Browser öffnen

   Alice nimmt ihr Telefon, entsperrt es und öffnet den Browser. Die Searchify-Startseite wird geladen und wartet auf eine Suchanfrage.

3. Nach einem Tool suchen

   Alice tippt auf das Searchify-Suchfeld und gibt die Suchanfrage ein, die sie in der letzten Stunde gemurmelt hat – alles, was das Tool tun soll, plus alles, wofür sie nicht bezahlen möchte.

4. Das oberste Ergebnis

   Die Ergebnisse werden geladen. Der erste Treffer ist eine gesponserte Anzeige für PDF Pro Suite – in auffälligem Grün, mit dem Hinweis „keine Anmeldung“ und dem Versprechen eines direkten Downloads. Darunter stehen Adobe und Smallpdf, doch dort ist eine Installation über den Play Store erforderlich oder die Zahl der kostenlosen Aufgaben pro Tag begrenzt. Alice will um 15 Uhr angesichts der Präsentation am nächsten Morgen kein Kleingedrucktes lesen. Sie tippt auf das oberste Ergebnis.

5. Der APK-Download

   Die Landingpage von PDF Pro Suite wird geladen. Sie wirkt professionell – mit Erfahrungsberichten, Screenshots, einer Bewertung von 4,9 Sternen und dem leuchtend grünen Button „APK herunterladen“. Die Seite wirbt damit, dass kein Konto im Play Store erforderlich ist. Unter Zeitdruck tippt Alice auf „Herunterladen“, ohne weiter darüber nachzudenken, woher die App stammt.

6. Die APK öffnen

   Eine Downloadleiste im Chrome-Stil gleitet vom unteren Bildschirmrand nach oben. Nach wenigen Sekunden ist der Download der APK abgeschlossen und in der Leiste erscheint die Schaltfläche Öffnen . Alice tippt darauf – und Android hält sie auf.

7. Die Sperre von Android

   Aus Sicherheitsgründen darf Ihr Smartphone derzeit keine unbekannten Apps aus dieser Quelle installieren. Das ist kein Fehler, sondern eine Warnung. Seit Android 8 darf keine App andere Apps installieren, bis der Besitzer es erlaubt, und zwar jeweils für eine Quelle; Chrome wurde das nie erlaubt. Niemand hat PDF Pro Suite geprüft. Alice versteht die Schaltfläche Settings als Weg hindurch, nicht als Grund, anzuhalten.

8. Diese Quelle zulassen

   Settings öffnet sich direkt auf der eigenen Seite von Chrome, Install unknown apps , mit einem einzigen Schalter: Allow from this source . Darunter fasst Android den Handel zusammen – das Telefon wird anfälliger, und jeder Schaden geht zu ihren Lasten. Alice legt den Schalter um, geht zurück und tippt auf Installieren , als Android ein letztes Mal nachfragt.

9. Übermäßige Berechtigungen

   Die Installation dauert nur Sekunden. PDF Pro Suite öffnet sich mit einem eigenen Einrichtungsbildschirm und listet auf, was die App alles braucht, bevor sie eine Seite bearbeitet. Zwei Punkte – Bedienungshilfen und SMS-Nachrichten – haben in einem PDF-Editor nichts zu suchen. SMS wird über einen gewöhnlichen Android-Berechtigungsdialog abgefragt. Bedienungshilfen lassen sich dagegen nicht per Dialog erteilen: Die App schickt Alice zu Settings > Accessibility , wo sie den Vorlesedienst selbst einschalten soll. Alice überfliegt die Liste, entscheidet, dass die App noch vor heute Abend laufen muss, und macht sich bereit, alles zuzulassen.

10. Alle zulassen

    Alice tippt auf Alle zulassen , und die Installation ist abgeschlossen. Mit diesem einen Tipp hat sie SMS, Kontakten, Mikrofon, Kamera und Dateien zugestimmt, ohne eine einzige Anfrage gelesen zu haben. Danach schickt die App sie zu Settings, damit sie den Vorlesedienst einschaltet.