Bitdefender warnt: iOS-Apps versenden Passwörter als Klartext
Die Experten des IT-Sicherheitsanbeiters Bitdefender haben bei Tests herausgefunden, dass einige beliebte Apps für iOS trotz der strengen Kontrollen von Apple für die Aufnahme in den App Store mit dem Versand von Passwörtern im Klartext eine gravierende Sicherheitslücke aufweisen. Die Daten könnten von Unbefugten abgefangen und für kriminelle Zwecke benutzt werden.
“Hinsichtlich der Handhabung sensibler User-Daten erfordert es seitens der iOS-App-Entwickler nur wenige Schritte, um sachgemäße Maßnahmen zu treffen, die Passwörter, Kontaktnamen und Telefonnummern verschlüsseln. Die Risiken, dass derartige Daten kompromittiert werden, können nicht außer Acht gelassen werden – die iOS-Privatsphäre sollte nicht auf die leichte Schulter genommen werden”, teilt Bitdefender mit. Da Smartphones sowohl im Berufs- als auch im Privatleben zum Einsatz kommen, sollte nach Ansicht des Unternehmens die Aufmerksamkeit für die Zugriffs- und Übertragungsrechte von Apps stets besonders hoch sein.
Bitdefender weist auf fünf Apps ausdrücklich hin, die Passwörter unverschlüsselt übertragen: Die erste ist “Wi-Fi Finder” von JiWire. Die App hilft Usern, kostenpflichtige oder Gratis-Wi-Fi-Netzwerke zu finden. Die zweite ist “Texthog”. Diese App ermöglicht es, die persönlichen Finanzen und Ausgaben mobil im Blick zu behalten. Bitdefender hat vor allem wegen der Autosynchronisation mit dem texthog.com-Account Bedenken: Die könnte riskant sein, falls der User sie über ein Wi-Fi-Netzwerk vornimmt und dabei von Dritten überwacht wird.
Das dritte Negativbeispiel ist die App “iWrecked” von Vurgood Applications, die bei der Abwicklung von Schadensfällen helfen soll, indem sie eine PDF-Datei inklusive Bildern des Unfalls erstellt, die im Anschluss direkt an das Versicherungsunternehmen gesendet werden kann. Allerdings versendet auch “iWrecked” Passwörter im Klartext. Außerdem kritisiert Bitdefender die Apps “Melodis Voice Dialer” von SoundHound sowie “Aloha: Hang with friends!” von VodkaCran: Beide handhaben Kontakte und Telefonnummern unsicher.
Nutzer, die sich um ihre Privatsphäre sorgen, können Apps zum einen mit dem Tool Clueful von Bitdfender prüfen. Es stand allerdings nur für kurze Zeit als App im App Store, bevor von Apple die Freigabe entzogen wurde. Seit Ende August bietet Bitdefender daher die Funktionalität als Web-App an.
Symantec bietet zudem ein praktisches, kostenloses Widget an, um die Berechtigungen zu vergleichen, die sich unterschiedliche Apps sichern. Bei der Auswahl zwischen zwei Programmen mit ähnlichen Funktionen kann sich der Nutzer so für dasjenige entscheiden, dass weniger oder aus seiner Sicht unkritischere Berechtigungen verlangt.