Bitdefender: Beliebte iOS-Apps versenden Passwörter unverschlüsselt

Das bedeutet, dass Unbefugte diese Daten abfangen und für Hacking missbrauchen könnten. Bitdefender prangert fünf Apps ausdrücklich an. Schwerpunkt der Untersuchung waren kostenlose, häufig bewertete iOS-Apps.

von Peter Marwan am 19. September 2012 , 21:22 Uhr

Mitarbeiter von Bitdefender haben bei Tests herausgefunden, dass einige beliebte Apps für iOS trotz der strengen Kontrollen von Apple für die Aufnahme in den App Store mit dem Versand von Passwörtern im Klartext eine gravierende Sicherheitslücke aufweisen. Die Daten könnten von Unbefugten abgefangen und für kriminelle Zwecke benutzt werden.

Bitdefenders Anti-Schnüffel-App Clueful (Screenshot: Bitdefender)

„Hinsichtlich der Handhabung sensibler User-Daten erfordert es seitens der iOS-App-Entwickler nur wenige Schritte, um sachgemäße Maßnahmen zu treffen, die Passwörter, Kontaktnamen und Telefonnummern verschlüsseln. Die Risiken, dass derartige Daten kompromittiert werden, können nicht außer Acht gelassen werden – die iOS-Privatsphäre sollte nicht auf die leichte Schulter genommen werden“, teilt Bitdefender mit. Da Smartphones sowohl im Berufs- als auch im Privatleben zum Einsatz kommen, sollte nach Ansicht des Unternehmens die Aufmerksamkeit für die Zugriffs- und Übertragungsrechte von Apps stets besonders hoch sein.

Bitdefender weist auf fünf Apps ausdrücklich hin, die Passwörter unverschlüsselt übertragen: Die erste ist „Wi-Fi Finder“ von JiWire. Die App hilft Usern, kostenpflichtige oder Gratis-Wi-Fi-Netzwerke zu finden. Die zweite ist „Texthog“. Diese App ermöglicht es, die persönlichen Finanzen und Ausgaben mobil im Blick zu behalten. Bitdefender hat vor allem wegen der Autosynchronisation mit dem texthog.com-Account Bedenken: Die könnte riskant sein, falls der User sie über ein Wi-Fi-Netzwerk vornimmt und dabei von Dritten überwacht wird.

Das dritte Negativbeispiel ist die App „iWrecked“ von Vurgood Applications, die bei der Abwicklung von Schadensfällen helfen soll, indem sie eine PDF-Datei inklusive Bildern des Unfalls erstellt, die im Anschluss direkt an das Versicherungsunternehmen gesendet werden kann. Allerdings versendet auch „iWrecked“ Passwörter im Klartext. Außerdem kritisiert Bitdefender die Apps „Melodis Voice Dialer“ von SoundHound sowie “Aloha: Hang with friends!” von VodkaCran: Beide handhaben Kontakte und Telefonnummern unsicher.

Nutzer, die sich um ihre Privatsphäre sorgen, können Apps zum einen mit dem Tool Clueful von Bitdfender prüfen. Es stand allerdings nur für kurze Zeit als App im App Store, bevor Apple die Freigabe entzog. Seit Ende August bietet Bitdefender daher die Funktionalität als Web-App

Symantec offeriert zudem ein praktisches, kostenloses Widget, um die Berechtigungen zu vergleichen, die sich Apps sichern. Bei der Auswahl zwischen zwei Programmen mit ähnlichen Funktionen kann sich der Nutzer so für dasjenige entscheiden, dass weniger oder aus seiner Sicht unkritischere Berechtigungen verlangt.

Mehr Schutz vor persönlichen Daten führt Apple mit iOS 6 ein. Sobald eine App auf sensible Daten zugreift, wird der Anwender in Form einer Dialogbox darauf aufmerksam gemacht. Der Nutzer kann den Zugriff erlauben oder ablehnen. Dieser Mechanismus ist Anwendern, die ihr Gerät gejailbreakt haben, schon länger bekannt. Das Tool Protect My Privacy schützt persönlichen Daten auf dem iOS-Gerät, indem es den Zugriff von Apps auf Kontakte, Standort, Geräte-ID und Musik unterbindet. Ganz soweit reichen die Möglichkeiten von iOS 6 nicht. Immerhin lässt sich der Zugriff auf Ortungsdienst, Kontakte, Kalender, Erinnerungen und Fotos einschränken. Die Optionen zum Datenschutz findet man in den Einstellungen.