Sicherheitslücke bei Android entblößt Kalender und Kontakte

Das Google-Betriebssystem Android hat offenbar eine kritische Sicherheitslücke, die es Angreifern erlaubt, den Kalender sowie die Kontaktliste eines Handys oder Tablets auszulesen. Vor allem in ungesicherten WLAN-Netzen wie etwa öffentlichen Hotspots in Cafés oder Restaurants sind die persönlichen Daten eine leichte Beute, wie die Forscher der Universität Ulm entdeckt haben. Es gibt allerdings Mittel und Wege, sich vor dem Angriff zu wappnen.

Achtung: Lücke bei Android Eigentlich verschlüsseln die Google-Anwendungen die Login-Daten des Nutzers, zumindest beim ersten Mal. Im ClientLogin-Prozess vergibt Android dann aber das sogenannte authToken, das eine Gültigkeit von bis zu zwei Wochen aufweist und nicht verschlüsselt ist. Es enthält die Nutzerdaten, wird bei jedem Request des Programms verschickt und lässt sich mittels eines Sniffers aus der HTTP-Sitzung auslesen. In einem offenen WLAN muss der Angreifer nur auf ein Android-Gerät warten, das sich einloggt, dann kann er sich mit den Daten aus dem abgefangenen authToken selbst bei Google anmelden.

Ein Update von Google muss her

Die Nutzer können sich nicht komplett vor der Sicherheitslücke schützen, hierzu muss Google tätig werden und ein Update zur Verfügung stellen. Wer allerdings einige Ratschläge beachtet, kann die Gefahr auf ein Minimum reduzieren. So empfiehlt ZDNet, sich in offenen WLAN-Netzen nur mit deaktivierter automatischer Synchronisierung zu bewegen und keine Kontakte oder Termine zu bearbeiten, damit das authToken nicht übertragen wird. Nach der Nutzung sollte das offene Netz aus der Liste in den Einstellungen gelöscht werden, um automatischen Einwählen zu verhindern. Möglich ist zudem, an Stelle der Google-API via ActiveSync auf die Google-Dienste zuzugreifen. Hierfür wird ein Exchange-Konto benötigt, die Einstellung für verschlüsselte SSL-Verbindungen sollte aktiviert werden. Auch ein zweites Google-Konto, das nur die allernotwendigsten Daten enthält, ist eine Option, wenn auch eher eine Notlösung.

Betroffen sind alle Android-Versionen für Tablets und Handys, bei denen die Google-Anwendungen für Kalender, Kontakte oder Picasa zum Einsatz kommen. Im Test der Universität kamen die Android-Versionen 2.1 (auf dem Google Nexus One), 2.2 (HTC Desire, Nexus One), 2.2.1 (HTC Incredible S), 2.3.3 (Nexus One), 2.3.4 (HTC Desire, Nexus One) und 3.0 (Motorola Xoom) zum Einsatz. Erst die beiden letzten Versionen boten mehr Sicherheit, denn hier nutzen zumindest der Kalender und die Kontakte eine sichere HTTPS-Verbindung.

Update: Google verspricht Korrektur

Unterdessen hat sich auch Google zu Wort gemeldet und verspricht, sich dem Fehler anzunehmen. Näheres erfahren Sie in der entsprechenden Meldung.

Weitere Meldungen zum Thema Sicherheit