Android ‘Datenschutz-Tresor’-Apps stehlen Daten und Fotos

[English]Sicherheitsforscher von CyberNews warnen vor der Verwendung von Android Datenschutz-Apps (Privacy Vault-App, Datenschutztresore) aus dem Google Play Store, die angeblich dem Schutz privater Daten dienen. Eine Analyse hat ergeben, dass 30 sogenannte Privacy Vault-Apps die anvertrauten Daten missbrauchen und die Geräte mit Ad- oder Malware infizieren.

'Den Bock zum Gärtner machen' – dieser Spruch ging mir durch den Kopf, als ich die Meldung der Sicherheitsforscher von CyberNews die Tage auf den Tisch bekam. Eigentlich entwickeln mehr und mehr Anwender ein Bewusstsein für Privatsphäre. Vor einigen Tagen bin ich auf diesen Artikel gestoßen. Dessen Aussage: Die Hälfte der Amerikaner haben sich aus Datenschutzgründen gegen die Nutzung eines Produkts oder eines Diensts entschieden. Fand ich erstaunlich, war mein Vorurteil doch, dass die USA diesbezüglich das Land der Unbekümmertheit sei.

Offensichtlich möchten immer mehr Menschen ihre sensibelsten privaten Bilder, Videos, Passwörter und Nachrichten sicher von Hackern aufbewahren. Die Datenschutz-Tresor-Apps (Privacy Vault-Apps) boomen und viele Menschen laden sich für diesen Zweck kostenlose Android-Apps aus dem Google Play Store herunter. Die Android-App Privacy Vault– Hide Photos and Video Locker hat über 100.000 Installationen.

Datenschutztresor-Apps: Wolf im Schafspelz

Sicherheitsforscher von CyberNews haben sich populäre Datenschutz-Apps (Privacy Vault-Apps) aus dem Google Play Store angesehen und kamen zu erschreckenden Ergebnissen.

Das Prinzip des Datenschutztresors

Mit einer Datenschutztresor-App (Privacy Vault-App) speichern die Nutzer alle Ihre sensiblen Daten in einen geheimen, kennwortgeschützten (oder sogar verschlüsselten) Ordner auf dem Android Gerät. Auf diese Weise können Dritte, selbst wenn sie Zugriff auf ein Smartphone oder Tablet bekommen, nicht, oder nur schwer, auf allzu sensible Daten zugreifen.

Das Problem: Als Nutzer muss ich dem Entwickler der App vertrauen, dass der erstens seinen Job beherrscht und die App keine Fehler enthält, so dass die Daten trotzdem zugreifbar sind oder durch Bugs verloren gehen. Und ich muss mich darauf verlassen, dass der Entwickler der App die Daten nicht missbraucht. Denn der hat er leider auch Zugang zu allen sensiblen Daten in der Privacy Vault-App!

30 Privacy Vault-Apps untersucht

Die Sicherheitsforscher von CyberNews haben 30 Privacy Vault-Apps aus dem Google Play Store angesehen. In ihrem Beitrag hier berichten sie von erschreckenden Erkenntnissen. Einige dieser Apps spionieren die Nutzer aus, und verkaufen die sensiblen Daten an Werbekunden. Und es gibt wohl Apps, die bei der Installation die Smartphones sogar mit Adware oder Malware infizieren.

• Die Sicherheitsforscher nennen die App Vault – Hide Pics & Videos, die viele Millionen mal heruntergeladen und installiert wurde. Die App verspricht den Schutz privater Fotos und Videos auf dem Smartphone, Cloud-Backup etc. Die App wird, laut CyberNews, aber als Malware oder Spyware identifiziert. Aber anstatt die Anwendung aus dem Google Play Store zu entfernen, hat der Entwickler (fungiert als Wafer Co, ist aber cxzh.ltd und sitzt in Hongkong) diese einfach durch Ändern eines einzigen Wortes umbenannt und bietet die App und 19 weitere Apps bis heute ahnungslosen Nutzern an.
• Dann wird noch Security Master genannt – eine All-in-one-Datenschutz-, Antiviren- und VPN-App mit 500 Millionen Installationen. Es wurde festgestellt, dass der Entwickler Cheetah Mobile "alle Arten von privaten Web-Nutzungsdaten sammelt" und darüber hinaus Werbebetrug (Ad-Fraud) begangen hat. Die App Security Master wurde zum 3. März 2020 wurde aus dem Play-Store entfernt.
• Und die Sicherheitsforscher benennen noch Video Hider – Privacy Lock, eine Datenschutz-App, die offenbar keine Erlaubnis zur Benutzung der Kamera anfordert und auch nicht benötigt. Beim Öffnen der Kamera-App macht diese Datenschutz-App ein Foto des Benutzers, wenn dieser eine falsche PIN eingibt.

Von den 30 geprüften Apps, die weiterhin im Google Play Store enthalten sind, kann man nicht von Datenschutz sprechen, sondern holt sich den 'Wolf im Schafspelz' auf das Gerät. Hier eine Kurzzusammenfassung:

• 18 der Top 30 Apps werden von Entwicklern aus China oder Hong Kong angeboten
• Eine App kann Selfies des Benutzers anfertigen, ohne dass der Nutzer sein Einverständnis gibt.
• Ein App-Entwickler wird des Werbebetrugs (AD-Fraud) beschuldigt und seit er gesperrt wurde, musste eine halbe Milliarde App-Installationen von Geräten gelöscht werden.
• Zwei der 10 führenden App-Entwickler aus diesem Bereich, die auf insgesamt mehr als 60 Millionen Downloads kommen, verbreiten mit identifiziert Malware infizierte Apps.
• Eine weitere App eines vietnamesischen Entwicklers verbreitet ebenfalls Malware (Banking-Trojaner).

• Die Apps fordern durchgängig bis zu 14 kritische (durchschnittlich 4) Berechtigungen an, von denen die meisten für das Funktionieren der App unnötig sind.

Die Sicherheitsforscher empfehlen die sofortige Deinstallation solcher Apps und raten, zwei Mal nachzudenken, bevor man sich so ein kostenloses Goody auf das Smartphone zerrt. Weitere Details zu den Erkenntnissen der Sicherheitsforscher sowie eine Liste der betroffenen Apps lassen sich in diesem CyberNews-Beitrag abrufen.