Blog

Mittlerweile gibt es auf der Welt mehr Mobiltelefone als Menschen. Smartphones dienen als vernetzte Computer, Datenspeicher, Navigationsgeräte, Videorekorder und Fotoapparate. Wir lieben unsere mobilen Endgeräte und bringen ihnen unvoreingenommenes Vertrauen entgegen. Alle wichtigen Informationen – von persönlichen Kontodaten bis hin zu Zugriffsmöglichkeiten auf Unternehmensnetzwerke – sind darauf gespeichert. Ideale Voraussetzungen also für Cyberkriminelle: eine schier unendliche Anzahl von Geräten, die attackiert werden können und häufig unzureichende Sicherheitsvorkehrungen. Eine von Comparis durchgeführte Studie etwa zeigte, dass jedes vierte Smartphone in der Schweiz ungenügend geschützt ist, weil die Benutzenden Updates vernachlässigen. Cyberkriminelle wissen und nutzen das. Der aktuelle „Global Mobile Threat Report 2022“ von Zimperium stellt neue Daten und umfassende Analysen zur aktuellen Mobile-Security-Lage vor. Die Security-Forscher entdeckten über zwei Millionen Malware-Samples für Mobilgeräte, die auf jedem vierten Mobilgerät nachgewiesen werden konnten. Wer sich schützen will, sollte sein Smartphone, egal ob Android oder iOS, also auf dem neuesten Stand halten. Denn Hacker nutzen jede auch noch so kleine Schwachstelle aus, sei es in der mobilen Software, bei der Hardware oder den Netzwerkverbindungen.

Verschiedene Bedrohungsarten

Leider gibt es viele verschiedene Arten von mobilen Sicherheitsbedrohungen. Cybersecurity-Experten werden regelmässig mit neuen Angriffen konfrontiert, von denen die folgenden zu den häufigsten gehören:

1. Webbasierte mobile Bedrohungen
   Über mobile Websites kann Malware auf die mobilen Geräte heruntergeladen werden, ohne dass die Nutzenden es merken. Phishing ist eine typische Methode, mit der Angreifer Nutzende dazu bringen, auf Links zu Websites mit mobilen Bedrohungen zu klicken. Ein Hacker könnte zum Beispiel eine Website einrichten, die legitim aussieht (z. B. wie eine Bankwebsite), um die Anmeldedaten abzufangen.
    
2. App-basierte Bedrohungen
   Hacker entwickeln bösartige Anwendungen, die herunterladen oder sogar gekauft werden können. Einmal installiert, können diese Apps persönliche Daten von den Geräten stehlen oder Geld mit den Tap-and-Pay-Apps ausgeben oder die Nutzenden ausspionieren. Die bekannte Spyware Pegasus etwa wird von Kriminellen genutzt, um Smartphones zu infizieren und dann Personen abzuhören.
    
3. Bedrohungen aus dem Netz
   Mobile Geräte sind in der Regel mit mindestens zwei Netzen verbunden, manchmal auch mit mehr. Dazu gehören die Mobilfunkverbindung, Wi-Fi, Bluetooth und GPS. Jeder dieser Verbindungspunkte kann von Hackern ausgenutzt werden, um ein Gerät zu übernehmen, den Benutzenden zu täuschen oder in ein Unternehmensnetzwerk einzudringen. WiFi-Spoofing beispielsweise ist eine Bedrohung, bei der ein Angreifer den Zugang zu einem offenen WiFi-Netzwerk simuliert und Benutzer dazu verleitet, eine Verbindung herzustellen, um dann sensible Daten auszuspähen, die von diesem Netzwerk verarbeitet werden.
    
4. Physische Bedrohungen
   Das mag offensichtlich klingen, aber mobile Geräte sind klein und leicht zu stehlen. Ausserdem gehen sie ziemlich oft verloren. Ohne angemessene Gerätesicherheit ist ein gestohlenes Mobilgerät für Gauner eine Fundgrube für persönliche und finanzielle Informationen.
    

Risikobereich Betriebssysteme

Android war schon immer ein wenig Sorgenkind, wenn es um Sicherheit auf Smartphone Betriebssystemen geht. So wurden schon diverse Malware in den Google App Store geschmuggelt und Nutzende konnten dadurch ausgehorcht werden. Google hat sich in der letzten Zeit mehr dem Datenschutz verschrieben und versucht vorzusorgen.

Dennoch kommt das Unternehmen immer wieder in die Kritik wegen des Play Stores. So wurde letzten Herbst bekannt, dass in über 200 Apps der Android Trojaner GriftHorse verborgen ist, mit dem die Cyberkriminellen versuchen, die Benutzenden zum Abschluss teurer Premium-Dienste-Abonnements zu verführen. Die Schadsoftware soll weltweit bisher über zehn Millionen Opfer aus über 70 Staaten gefunden und von diesen möglicherweise Hunderte Millionen Euro erbeutet haben. Grundsätzlich geht es um kleine Beträge, aber die Masse ist hier das Problem. Sobald der Trojaner aktiviert wird, werden die Opfer mit Fake-Gewinnnachrichten bombardiert. Wird auf den Link geklickt, landet man sofort auf einem Abo. Die Falle hat zugeschnappt. Unterdessen wurden die Apps aus dem offiziellen Google Play Store entfernt, aber diese sind immer noch auf diversen anderen Stores erhältlich.

Zudem wird der Google Playstore immer wieder von neuer Banking-Malware infiltriert, wie z. B. Sharkbot, welche sich als Antivirenprogramm mit Systemreinigungsfunktionen ausgibt. Oder Xenomorph, welche sich als Performance-Booster App - wie etwa dem „Fast Cleaner“ - tarnt. Eines haben diese Banking-Malware gemeinsam: Sie zielen entweder auf den Diebstahl von Bankdaten oder auf die Überweisung von Geld von Bankkonten über automatische Überweisungssysteme (ATS).

Leider sind in der letzten Zeit viele Schwachstellen aufgekommen, für die Android Benutzer dringend auf die neueste Firmware updaten sollten, damit sie wieder geschützt sind. Eine der neuen Sicherheitslücken namens "Dirty Pipe" erlaubt es Angreifern, heimlich ein Nutzerkonto ohne jegliche Rechte anzulegen und es über Umwege für einen vollständigen Zugriff auf sämtliche Systemdateien zu nutzen.

Apple iOS - Der Musterschüler, der aus der Reihe tanzt

Apple iOS ist ein vermeintlich sicherer App Store sowie ein sehr eingeschränktes Betriebssystem mit guten Datenschutzfunktionen. Eigentlich sollte man meinen, mit einem Apple iPhone kann man fast nichts falsch machen. Leider doch, denn ein bekannter Sicherheitsexperte hat seit längerem Apple einige Schwachstellen zugesendet. Mit dem neuen Update auf iOS 15 wurde aber nur eine Schwachstelle geschlossen. Daraufhin hat sich der Experte entschieden, die entsprechenden Schwachstellen öffentlich zu machen, um den Druck auf Apple zu erhöhen. Apple hat sich bis jetzt noch nicht dazu geäussert. Bei den Schwachstellen geht es darum, dass über das Game Center von Apple, Nutzungsdaten erschlichen werden können. Es geht vor allem um Metadaten in der Kommunikation mit eigenen und fremden Nachrichten- und Telefonservices. Eine andere Schwachstelle funktioniert via Standortfreigabe, sodass Gesundheitsdaten und installierte Apps ausgelesen werden können.

Ein weiterer Minuspunkt: Seitens Apple wurde die vom Experten genannte Schwachstelle, die behoben wurde, noch nicht anerkannt. In den Foren wird daher immer mehr diskutiert, dass Apple immer weniger für die Meldung von Fehlern oder Schwachstellen Geld bezahlen möchte, so genannte Bug Bounties. Ohne das Anerkennen der Schwachstelle muss Apple dem Sicherheitsexperten kein Geld bezahlen. In der letzten Zeit gibt Apple vermehrt Sicherheitsupdates heraus. Da ist ein Zeichen dafür, dass in der letzten Zeit wenig gemacht wurde. Hier muss nun umso mehr nachgebessert werden.

Nicht vertrauen, schützen!

Überlegen Sie, wohin überall Sie Ihr Smartphone mitnehmen und wo es mithören kann. Welche Kommunikationskanäle laufen über Ihr Telefon? Welche Daten sind auf Ihrem Telefon gespeichert und auf welche Daten hat Ihr Telefon Zugriff? Im Vergleich zu einem Computer ist das Smartphone immer in einem Standby-Zustand und somit jederzeit erreichbar und fernsteuerbar. Somit kann immer und alles aufgezeichnet werden.

Quick Guide für das Smartphone

1. Halten Sie Ihr Smartphone mit der neuesten Firmware aktuell. Dadurch können erkannte Sicherheitslücken nicht mehr ausgenutzt werden.
2. Schützen Sie Ihr Smartphone mit einem PIN oder mit dem Fingerabdrucksensor. Gesichtserkennung ist eine Möglichkeit, doch ein wenig unsicher.
3. Installieren Sie nur Apps, die Sie wirklich brauchen und geben Sie diesen nur die nötigsten Rechte. Laden Sie zudem Apps nur von einem autorisierten Store wie dem Apple App Store oder dem Google Play Store herunter. Meiden Sie inoffizielle Stores, auch wenn das Angebot verlockend klingt.
4. Geben Sie Ihr Smartphone nicht aus der Hand. Es ist schnell auf einen unerwünschten Link geklickt oder auf einer bösartigen Seite gesurft.
5. Deaktivieren Sie die Sprachsteuerung und weitere Funktionen, wenn Sie diese nicht benötigen.
6. Installieren Sie einen vertrauenswürdigen Antivirus auf Ihrem Smartphone.
7. Lassen Sie Ihr Smartphone nie unbeaufsichtigt herumliegen.
8. Nehmen Sie Ihr Smartphone nicht überall mit - ich weiss, leichter gesagt als getan.
9. Sollten Sie Smartphones in Ihrem Unternehmen einsetzen, verwalten Sie diese aktiv mit einem Endpoint-Managementtool.

Auch Unternehmen müssen Ihre Mobilgeräte schützen

Unternehmen, die ihren Mitarbeitenden mobile Geräte zur Verfügung stellen oder ihnen erlauben, ihre privaten Geräte für die Arbeit zu nutzen, müssen zunächst strenge Sicherheitsmassnahmen einführen. Diese sollten zumindest die zulässige Nutzung, Massnahmen zur Diebstahlsicherung und obligatorische Sicherheitseinstellungen umfassen. Der Richtlinienrahmen muss zudem die Überwachung der Einhaltung und die Behebung von Mängeln beinhalten. Letztlich führt auch kein Weg an einem professionellen Endpoint Detection and Response System vorbei, mit dem Cyberangriffe frühzeitig gestoppt werden können. Und nicht zuletzt muss das Bewusstsein für mobile Sicherheit geschärft werden. Sicherheitstrainingsprogramme sollten das Thema der Sicherheit mobiler Geräte beinhalten, welche Aktivitäten auf die Unternehmensgeräte gehören (und welche nicht) und welche alltäglichen Praktiken Mitarbeitende anwenden können, um zu vermeiden, dass sie Opfer gängiger Bedrohungen werden.

Zusammen. Sicher.

Seien Sie persönlich achtsam mit Ihren mobilen Endgeräten und werden Sie nicht zum Opfer. Hinterfragen Sie auch die Sicherheit der mobilen Endgeräte in Ihrem Unternehmen. Kontaktieren Sie uns. Wir helfen Ihnen gerne, auch bei Smartphones die Sicherheit zu erhöhen.

Sie haben einen Security-Notfall und brauchen Hilfe? Unser Incident Response Team ist 7x24 für Sie da.