Warum Smartphone-Sicherheit transparenter sein muss Smartphones: Ungepatcht und Ungeschützt

Anbieter zum Thema

Group-IB Europe B.V.

FTAPI Software GmbH

Verborgene Schwachstellen in der Smartphone-Sicherheit bedrohen sowohl die Privatsphäre als auch Geschäftstätigkeiten. Erfahren Sie mehr über die versteckten Gefahren sowie die Gründe für verzögerte Aktualisierungen und entdecken Sie, welche konkreten Schritte unternommen werden können, um Ihr Gerät vor Datenlecks, Identitätsdiebstahl und gezielten Angriffen zu schützen.

Smartphones sind unentbehrlich für unser persönliches und berufliches Leben. Sie verbinden uns mit der Welt und ermöglichen kritische Arbeitsabläufe. Doch diese Geräte sind häufig anfälliger, als Smartphone-Hersteller uns glauben lassen wollen. Mit jedem neuen Gerät versprechen Hersteller mehr Sicherheit, betonen eine längere Unterstützung für Aktualisierungen von Betriebssystemen (OS) und behaupten, dass auch nach dem Ende größerer OS-Updates Sicherheitspatches über Jahre hinweg verfügbar sein werden, um den Nutzern einen kontinuierlichen Schutz zu bieten.

Egal, ob Sie ein Apple iOS oder Google Android Gerät benutzen – selbst die modernsten Geräte sind nicht sicher vor Angriffen. Ungepatchte Schwachstellen, die oft übersehen oder unterschätzt werden, bergen erhebliche Risiken für alle, angefangen bei Privatpersonen bis hin zu Unternehmen, die ganze Flotten von Geräten verwalten.

Ich begeistere mich seit mehr als zehn Jahren für die iOS-Sicherheit und zwei entscheidende Ereignisse haben aufgezeigt, wie wichtig es ist, diese Risiken jetzt mehr denn je zu verstehen und sie zu bekämpfen. Aus diesem Grund wollte ich in meinem Blogartikel Patch Me If You Can: The Truth About Smartphone Vulnerabilities noch tiefer in dieses Thema eintauchen.

Kompromittierte Tools und ihre Folgen

Bei diesen beiden Ereignissen handelte es sich um die 2024 geleakten Funktionen von Cellebrite Premium und GrayKey – Tools, die weltweit von Strafverfolgungsbehörden eingesetzt werden, um Daten aus gesperrten Smartphones zu extrahieren. Diese Sicherheitslücken beleuchten die potenziellen Möglichkeiten von böswilligen Akteuren und zeigen die Schwierigkeiten auf, mit denen Smartphone-Hersteller konfrontiert sind.

Die Sicherheitslücken machten deutlich, dass ältere Geräte wie das iPhone 11 sowie seine Vorgänger große Schwachstellen aufweisen und leicht angreifbar sind. So können ältere Telefone durch Brute-Force-Angriffe auf Passwörter kompromittiert werden und neuere Geräte sind bereits nach dem ersten Entsperren (After First Unlock) ungeschützt, sodass Benutzerdaten für Angriffe zugänglich sind.

Hinzu kommt, dass forensische Software wie Oxygen, Mobile Edit und UFED raubkopiert wurde, was den Zugang zu Tools, die nicht korrigierte Schwachstellen ausnutzen, weiter erleichtert hat. Angesichts der geleakten Fähigkeiten von Software und Tools wie Cellebrite und GrayKey ist es wichtig, deren Missbrauchspotenzial und Folgen zu verstehen, die mit Diebstahl und Weiterverkauf sowie die Kompromittierung von Beweisen verbunden sind.

Wir wissen mittlerweile, dass aktuell sogar ein iPhone 15 Pro Max trotz seiner Sicherheitsfunktionen aktiviert und verkauft werden kann. Noch besorgniserregender ist jedoch, dass Smartphones, die als Beweismittel dienen, keine Datenintegrität mehr gewährleisten können, da es möglich ist, Informationen einzuschleusen oder zu verändern.

Hindernisse für rechtzeitige Updates

Diese Entwicklungen gefährden verstärkt Privatpersonen und Unternehmen, da Tools, die früher nur Spezialisten vorbehalten waren, nun auch für böswillige Akteure zugänglich sind.

Die schnelle Behebung von Sicherheitslücken sollte oberste Priorität haben, dennoch zögern Hersteller häufig mit Updates. Allerdings ist die Aktualisierung älterer Geräte kostspielig und sie bevorzugen möglicherweise neuere Modelle mit höheren Gewinnspannen. Das öffentliche Eingeständnis von Schwachstellen könnte auch das Vertrauen der Verbraucher untergraben, insbesondere da Exploit-Entwickler stets einen Schritt voraus zu sein scheinen. Außerdem bauen viele Smartphone-Marken auf externe System-on-Chip (SoC)-Hersteller, was ihre Kontrolle über die Hardware-Sicherheit begrenzt.

Hochriskante Exploits und ethische Zwickmühle

Ungepatchte Schwachstellen haben reale Konsequenzen. Besonders bekannte Fälle verdeutlichen ihre konkreten Auswirkungen, wie im grundstürzenden Pegasus-Projekt gezeigt. Organisationen wie das Security Lab von Amnesty International dokumentieren, wie Schwachstellen für Überwachung und Cyber-Spionage missbraucht werden und wie Technologien zur Datenrettung in Notfällen auch für böswillige Zwecke wie die Fälschung von Beweisen oder die Verletzung der Privatsphäre missbraucht werden können.

Die ethischen Fragen sind hier komplex. Tools, die entwickelt wurden, um Schaden zu verhindern, können ihn ebenso leicht verursachen. Ohne klare Richtlinien und Kontrolle wird dieses Dilemma bestehen bleiben.

Auswirkungen auf Privatpersonen und Unternehmen

Bei Privatpersonen sind ihre personenbezogenen Daten, Bankkonten und sensible Austausche gefährdet. Aktivisten, Journalisten und gefährdete Bevölkerungsgruppen wiederum laufen vermehrt Gefahr, überwacht und belästigt zu werden.

In Unternehmen werden Mobilgeräteverwaltungssysteme (MDM) unwirksam, wenn Geräte physisch kompromittiert werden. Proprietäre Daten, die auf Firmengeräten gespeichert sind, sind dann anfällig für Sicherheitsverletzungen und Spionage. Außerdem verursacht der häufige Austausch von Geräten und zusätzliche Sicherheitsebenen erhöhte Betriebskosten.

Die starke Nutzung von Smartphones bedeutet, dass diese Schwachstellen sich negativ auf Vertrauen, Produktivität und Sicherheit auswirken.

Lösungen und zukünftige Vorgehensweisen

Um Smartphone-Schwachstellen zu beheben, sind koordinierte Aktionen in verschiedenen Bereichen notwendig.

Verschärfte Vorschriften: Regierungen müssen verbindliche Zeiträume für das Beheben von Schwachstellen durchsetzen, ungeachtet von Garantiebedingungen.

Technische Neuerungen:

• Es ist ratsam, speichersichere Programmiersprachen und umgeschriebene Legacy-Codes zu verwenden.

• Es sollten auch Technologien wie Memory Tagging Extension (MTE) eingesetzt werden, wie es bei Google Pixel Geräten bereits der Fall ist.

Einstellbare Sicherheitsfunktionen: Optionen wie die Umstellung von Geräten vom Zustand „After First Unlock“ (AFU) in den Zustand „Before First Unlock“ (BFU) können den Schutz verstärken.

Unterstützung über den gesamten Lebenszyklus: Hersteller müssen Updates über die gesamte realistische Lebensdauer ihrer Geräte zusichern.

Die Rolle von Transparenz und Rechenschaftspflicht

Sowohl Privatpersonen als auch Unternehmen müssen informiert bleiben und vorausschauend handeln. Es liegt jedoch nicht in der Verantwortung der Öffentlichkeit, reaktiv zu sein. Vielmehr müssen die Hersteller verstehen, dass Transparenz der Schlüssel zu einem sicheren Smart­phone-Ökosystem ist. Es ist ihre Aufgabe, Schwachstellen und deren potenzielle Folgen öffentlich anzuerkennen und regelmäßige Updates bereitzustellen, die mit ihren Versprechen einer verlängerten Unterstützung übereinstimmen. Außerdem müssen sie mit Aufsichtsbehörden zusammenarbeiten, um die Einhaltung von Vorschriften zu gewährleisten und das Vertrauen der Verbraucher zu gewinnen.

Ungepatchte Sicherheitslücken in Smartphones sind ein Problem, das sowohl Privatpersonen als auch Unternehmen betrifft. Indem wir Transparenz fördern, Innovationen unterstützen und Verantwortlichkeit einfordern, können wir diese Risiken reduzieren und eine sicherere digitale Welt für alle gestalten.

Über den Autor: Sergey Nikitin arbeitet seit April 2010 für die Group-IB. Dort unterstützte und führte er über ein Jahrzehnt lang das IT-Forensik und Incident Response Team als stellvertretender Leiter der digitalen Forensik an. Sein herausragendes Fachwissen trug zu zahlreichen Strafverfahren bei und führte zur Festnahme mehrerer Hackergruppen. Heute leitet Sergey den Geschäftsbereich LATAM der Group-IB.

(ID:50291966)