Eine neue Studie zeigt, dass vor allem iOS-Apps ein erhöhtes Risiko für Datenlecks und Angriffe darstellen. Hier erfahrt ihr, was das für die Sicherheit eurer mobilen Geräte bedeutet.
Mobile Apps als Hauptziel für API-basierte Angriffe
Forscher:innen von Zimperium haben herausgefunden, dass mobile Apps inzwischen das wichtigste Einfallstor für Angriffe auf Schnittstellen (APIs) geworden sind. Diese Angriffe stellen für Unternehmen ein ernsthaftes Risiko für Betrug und Datendiebstahl dar. Etwa ein Drittel aller Android-Apps und über die Hälfte aller iOS-Apps leaken laut Studie sensible Daten und bieten Angreifer:innen somit einen direkten Zugang zu wichtigen Unternehmenssystemen. Die Untersuchung zeigt, dass bereits drei von 1.000 Mobilgeräten mit Malware infiziert sind, wobei jedes fünfte Android-Gerät in freier Wildbahn mit schädlicher Software in Kontakt kommt.
Vielfältige Schwachstellen bei Apps und APIs
Im Gegensatz zu Web-Anwendungen liefern mobile Apps ihre API-Endpunkte und die Aufruflogik direkt auf ungeschützte Endgeräte aus. Das macht Manipulation und Reverse-Engineering für Angreifer:innen leichter. Dadurch können Unbefugte den Datenverkehr abfangen, Apps modifizieren und betrügerische API-Aufrufe wie legitime Anfragen aussehen lassen. Herkömmliche Schutzmechanismen wie Firewalls, Gateways oder die Validierung von API-Schlüsseln reichen nicht aus, um diese Bedrohungen im App-Umfeld abzuwehren.
Krishna Vishnubhotla, Vice President bei Zimperium, betont: „APIs treiben nicht nur mobile Apps an, sie machen sie auch angreifbar.“ Traditionelle Sicherheitslösungen können Angriffe innerhalb der App oft nicht verhindern. Nur spezielle Schutzmechanismen auf Client-Seite können API-Missbrauch wirksam eindämmen. Das Problem: Manipulationen auf dem Gerät selbst sind häufig, weil Angreifer:innen API-Aufrufe ändern können, bevor sie den Server erreichen. Selbst Maßnahmen wie SSL-Pinning bieten keinen vollständigen Schutz, denn fast ein Drittel aller Android-Finanzapps und ein Fünftel der iOS-Reise-Apps sind weiterhin verwundbar.
Fehler beim Umgang mit sensiblen Daten
Viele Apps gehen unsorgfältig mit vertraulichen Daten um. Die Studie von Zimperium zeigt, dass Probleme wie ungeschützte Protokollierung, das Speichern auf externen Speicherplätzen und unsichere lokale Speicherung verbreitet sind. Sechs Prozent der Top-100-Android-Apps speichern persönliche Daten wie Namen oder Adressen im offenen Konsolen-Log, und vier Prozent schreiben diese in für andere Apps zugängliche Bereiche. Auch die lokale Speicherung kann gefährlich werden, wenn jemand physischen Zugriff auf das Gerät erhält.
Laut Analyse senden knapp ein Drittel aller Apps und sogar 37 Prozent der meistgenutzten Apps personenbezogene Informationen auf entfernte Server – oft ohne ausreichende Verschlüsselung. Manche Apps nutzen zudem Bibliotheken, die im Verborgenen Daten aufnehmen, Nutzungsgewohnheiten protokollieren oder den Standort übermitteln. Diese versteckten Funktionen verstärken das Risiko für Unternehmen und zeigen, dass auch Apps aus offiziellen Stores erhebliche Sicherheitsmängel haben können.
Vishnubhotla fasst zusammen: „Da mobile Apps immer wichtiger für Geschäftsprozesse werden, ist ein umfassender API-Schutz unerlässlich, um Betrug, Datendiebstahl und Ausfälle zu verhindern.“
