Android: Screenshots und Videos von Apps aufgezeichnet und an Dritte gesendet

Das Forscherteam der ReCon untersuchte eine Reihe von Apps bei Android im Hinblick auf Sicherheitsrisiken. Dabei fand man auch heraus, dass einige von ihnen Abbildungen des Bildschirms der Nutzer aufzeichnen, ohne dass diese einwilligen müssen oder darüber informiert werden. Die Ergebnisse liefern Anlass zur Sorge.

Die Studie der ReCon: 17.260 Android Apps analysiert

Die ReCon setzt sich aus internationalen Forschern zusammen, die der Northeastern University, University of Helsinki, INRIA, und University of California, Santa Barbara angehören. Einige von ihnen haben im Zuge ihrer Zusammenarbeit nun 17.260 populäre Android Apps auf Datenleaks oder Sicherheitsrisiken hin geprüft. Dabei wurden die Apps bei Google Play, App China, Mi.com, und Anzhi extrahiert. Das Fazit, dass die Analysten in der Beschreibung ihrer Arbeit ziehen, ist für die Nutzer beängstigend:

Our study reveals several alarming privacy risks in the Android app ecosystem, including apps that over-provision their media permissions and apps that share image and video data with other parties in unexpected ways, without user knowledge or consent. We also identify a previously unreported privacy risk that arises from third party libraries that record and upload screenshots and videos of the screen without informing the user. This can occur without needing any permissions from the user.

Während die Analyse insgesamt auf einige Risiken verweist, die bei Apps hinlänglich bekannt sind, geben die Forscher ebenfalls an, ein bis dahin unentdecktes Problem identifiziert zu haben. In ihrem veröffentlichten Bericht ist die Rede von Third Party-Speicherstätten, die die Screens bei Apps, in denen sie eingebettet sind, ohne die Einwilligung der Nutzer aufzeichnen können. Daher sind Nutzer in diesem Fall unwissentlich und unwillentlich einer Überwachung durch Dritte ausgesetzt. Darüber hinaus ermittelt der Bericht, dass verschiedene Apps Video- und Fotodaten mit anderen Parteien teilen, indem sie diese in Clouds hochladen, ohne explizit darauf hinzuweisen.

Als problematische Ursache erkennen die Autoren und Autorinnen vor allem die uneinheitlichen Angaben zum Einholen von Erlaubnissen der User bei den Apps. Zum einen werden häufig in den Richtlinien Abfragen von Erlaubnissen zum Teilen implementiert, auf die gar nicht zurückgegriffen wird. Zum anderen werden im Code oft multimediale Scanmechanismen verankert, die höchstens implizit eine Erlaubnis zum Teilen von Daten einfordern.

Die Analyse im Modell

Für die Überprüfung der Forscher wurden etwa 8.038 Apps von Google Play herangezogen, die eine Erlaubnis für den Zugriff auf die Kamera oder das Mikrofon erfordern. Dann wurden für das gesamte Set an Apps die Fragen gestellt:

• sind für die Apps Einwilligungen für den Zugriff auf Mikrofon und Kamera sowie die externe Speicherung von Daten nötig?
• hat der jeweilige Bytecode Referenzen zu Media APIs wie etwa Android.Hardware.Camera?
• sind Referenzen dieser Media APIs in Code-Sammlungen Dritter zu finden und in welchen?

Obwohl im Vordergrund einer Prüfung von Sicherheitsrisiken bei Apps immer die Frage nach den Erlaubnissen derselben steht, können diese mitunter irreführend sein.

Ein Beispielfall liefert die App GoPuff, die bei ihrer Nutzung den Screen des Smartphones filmte und an Appsee, eine Analyseplattform für Apps weitergab. In der Beispielanalyse erwies sich diese Aufzeichnung als Sicherheitsrisiko, weil die Postleitzahl an Dritte weitergegeben wurde. Und genauso könnten andere Daten übermittelt werden. Appsee selbst braucht als Dritter keine Einwilligung für die Speicherung der Aufnahmen und ebenso wenig wird der Nutzer darüber informiert. Die Verantwortung wird auf die Entwickler abgewälzt; doch wenn diese die Aufzeichnungen nicht als sensibel einstufen – und das tun laut dem Bericht nur fünf von 33 Apps bei ähnlichen Fällen –, gelangen reihenweise abgefilmte Ansichten von Userscreens zu Appsees API.

ReCons Forscher schätzen das Aufzeichnen über die App ohne Wissen der Nutzer als Verletzung der Privatsphärerichtlinien ein. Auf die Information hin hat Google Appsee und GoPuff unter die Lupe genommen. Die App wurde Mitte letzten Monats aktualisiert.

Nur ein Fall von vielen

Neben diesem Problem deutet der Bericht auch die Problematik mit geteilten Screenshots an. Diese werden von Apps beispielsweise an TestFairy weitergegeben. Bei den ermittelten Screenshots finden sich Hinweise zu Kontakten oder Antworten bei Umfragen und vieles mehr.

Die Sicherheitsrisiken beim Teilen von Screenshots oder abgefilmten Screens mit Third Parties sind offensichtlich; umso mehr, wenn der Nutzer nicht explizit informiert ist. Meist findet sich eine Diskrepanz zwischen der Erlaubnis, die Apps abfragen und jener, die sie bräuchten, damit ihr Service ordentlich funktioniert. Dabei wird im Zuge von umfassenden Einwilligungsabfragen zur Weitergabe von Daten oder zum Zugriff auf die Kamera etc. oft argumentiert, dass dies für eine Optimierung der Services insgesamt genutzt werde. Allerdings werden massenhaft Daten der Nutzer ohne deren Übersicht weitergegeben. Was bestätigt, dass Apps zum Teil nicht nur mithören, wie es bei der App der spanischen Fußballliga La Liga der Fall war, wo Nutzer zu unfreiwilligen Spitzeln für die Eintreiber von Zahlungen für TV-Rechte wurden. Sie sehen auch mit.

This opens up the potential for unexpected exposure to additional media exfiltration with the inclusion of new libraries in future versions of the app,

heißt es im Beschluss des Berichts. Dieser ist hier im Detail nachzuvollziehen. Informationen zu den Forschern und ihren Datensets finden sich auf der ReCon-Website.

Die Ausführungen ihrer Analyse weisen Nutzer nur wieder darauf hin, genau zu prüfen, welche Rechte sie den Apps auf ihrem Smartphone zusprechen und was dadurch mit Dritten geteilt werden könnte. Zum Vorteil der Nutzer, aber ebenso zum Nachteil. Ganz zu schweigen von der vielleicht nicht gezielten, aber berechnenden Übernahme und Speicherung visueller Informationen von einem ganz privaten Teil des Alltags der Nutzer.

Berichte wie jener helfen, die mitunter fragwürdigen Praktiken von App-Entwicklern und Third Party-Plattformen aufzudecken, sodass zumindest teilweise Nachbesserungen bei den Datenschutzrichtlinien angeregt werden. Genau das sollte der Anspruch sein und jeder Nutzer kann helfen ihn zu untermauern. Denn nicht jeder App kann man dieselbe Integrität unterstellen.