Die App-Berechtigungen von Android wurden nur vereinfacht – jetzt sind sie viel weniger sicher

Google hat gerade die Funktionsweise von App-Berechtigungen auf Android grundlegend geändert. Apps, die sich bereits auf Ihrem Gerät befinden, können jetzt mit automatischen Updates gefährliche Berechtigungen erhalten. Zukünftige Apps können gefährliche Berechtigungen erhalten, ohne dass Sie dazu aufgefordert werden.

Dies alles ist dem neuesten Play Store-Update und der vereinfachten App-Berechtigungsoberfläche zu verdanken. Die Kernidee hier – Android-App-Berechtigungen für normale Benutzer verständlich zu machen – ist gut. Die Implementierung ist das große Problem.

Apps können jetzt Berechtigungen hinzufügen, ohne Sie zu fragen

Google Play gruppiert jetzt App-Berechtigungen in Gruppen verwandter Berechtigungen. Für eine App, die Ihre eingehenden SMS-Nachrichten lesen möchte, ist beispielsweise die Berechtigung «SMS-Nachrichten lesen» erforderlich. Wenn Sie es über den Play Store installieren, werden Sie nach der Berechtigungsgruppe «SMS» gefragt.

Installieren Sie die App und Sie gewähren ihr Zugriff auf alle SMS-bezogenen Berechtigungen. Die App kann jetzt automatisch aktualisiert werden und SMS-Nachrichten senden, ohne Sie zu fragen.

Haben Sie Apps auf Ihrem Gerät, denen Sie vertrauen, dass sie SMS-Nachrichten lesen, aber nicht senden? Diese Apps können jetzt SMS-Nachrichten senden, ohne dass Sie dazu aufgefordert werden. Der Entwickler muss lediglich die App aktualisieren.

Die einzige Möglichkeit, dies zu verhindern, besteht darin, automatische Updates zu deaktivieren und die App-Berechtigungen jedes Mal manuell zu überprüfen, wenn eine App aktualisiert werden soll – als wäre dies eine vernünftige Lösung! Wenn Sie dies tun, werden Sie auch veraltete Versionen von Apps verwenden, was ein weiteres Sicherheitsproblem darstellt.

Berechtigungsgruppen enthalten sowohl sichere als auch gefährliche Berechtigungen

Das große Problem ist, dass Gruppen sowohl normale Grundberechtigungen als auch gefährlichere Berechtigungen enthalten können. Beispielsweise:

• Ort: Eine App, die nach Ihrem ungefähren, netzwerkbasierten Standort fragt, kann jetzt die Berechtigung erhalten, Ihren genauen Standort mit dem GPS Ihres Geräts zu verfolgen.
• SMS: Eine App, die nur Textnachrichten empfangen muss, kann jetzt die Berechtigung zum Senden von SMS-Nachrichten im Hintergrund erhalten, was Sie möglicherweise Geld kostet.
• Telefon: Eine App, die zum Lesen Ihres Anrufprotokolls auffordert, kann jetzt die Berechtigung erhalten, ausgehende Anrufe umzuleiten und Anrufe zu tätigen, ohne Sie zu fragen.
• Fotos / Medien / Dateien: Eine App, die den Inhalt Ihres USB-Speichers oder Ihrer SD-Karte lesen muss, kann jetzt Ihr gesamtes externes Speichergerät formatieren.
• Kamera / Mikrofon: Eine App mit der Berechtigung zum Aufnehmen von Bildern und Videos (z. B. eine Kamera-App) kann jetzt die Berechtigung zum Aufzeichnen von Audio erhalten. Die App kann Ihnen zuhören, wenn Sie andere Apps verwenden oder wenn der Bildschirm Ihres Geräts ausgeschaltet ist.

Sie werden aufgefordert, zu bestätigen, wann für eine App eine neue Gruppe von Berechtigungen erforderlich ist. Wenn Sie bereits Zugriff auf eine einzelne Berechtigung einer Gruppe gewährt haben, sind alle Wetten deaktiviert und die App kann alle Berechtigungen in dieser Gruppe erhalten.

Riesige Mengen von Android-Apps verlangen bereits mehr Berechtigungen als sie benötigen, und jetzt haben diese Apps noch mehr Berechtigungen erhalten, die sie nicht benötigen!

Jede App erhält Internetzugang

Google hat außerdem jeder App einen Internetzugang gewährt, wodurch die Berechtigung zum Internetzugang effektiv entfernt wurde. Natürlich müssen Android-Entwickler beim Zusammenstellen der App noch angeben, dass sie einen Internetzugang wünschen. Benutzer können die Internetzugriffsberechtigung jedoch nicht mehr sehen, wenn sie eine App installieren, und aktuelle Apps ohne Internetzugang können jetzt mit einem automatischen Update ohne Aufforderung einen Internetzugang erhalten.

Sicher, die meisten Apps benötigen heutzutage einen Internetzugang, aber nicht alle. Möglicherweise möchten Sie ein Live-Hintergrundbild, eine Taschenlampe oder eine Tastatur-App verwenden, ohne einen Internetzugang zu gewähren. Tatsächlich besteht eine der Sicherheitsfunktionen für Tastaturen von Drittanbietern in Apples iOS 8 darin, dass diese Tastaturen nur dann auf das Internet zugreifen können, wenn Sie dies ausdrücklich zulassen. Alle Tastaturen unter Android können jetzt auf das Internet zugreifen.

Die Berechtigungen für Android-Apps wurden ohnehin verletzt

Das App-Berechtigungssystem von Android war bereits defekt. Es ist weniger ein Berechtigungssystem als ein Nachfragesystem. Eine App verlangt, dass bestimmte Funktionen erforderlich sind, und Sie können sie übernehmen oder verlassen. Sie können nicht auswählen, ob Sie einer App einige Berechtigungen erteilen möchten, andere jedoch nicht. Android hatte tatsächlich einen eingebauten Berechtigungsmanager, an dem gearbeitet wurde, aber Google hat ihn entfernt. Jetzt können nur Personen, die ihre Geräte rooten und das Xposed Framework verwenden, um die App Ops-Funktion wiederherzustellen oder benutzerdefinierte ROMs wie CyanogenMod zu installieren, App-Berechtigungen verwalten. Typische Android-Benutzer sind machtlos.

Ein Großteil des App-Berechtigungssystems von Android wurde soeben bedeutungslos gemacht. Warum sollte man sich überhaupt die Mühe machen, ein detailliertes Berechtigungssystem zu haben, bei dem Entwickler den Zugang zum Internet und zu einzelnen Berechtigungen wie „SMS-Nachrichten lesen“ anfordern müssen? Google kann die Berechtigungen für Android-Apps genauso gut vollständig wiederherstellen und Apps stattdessen den Zugriff auf Gruppen von Berechtigungen anfordern. Zumindest würden sie uns kein falsches Sicherheitsgefühl geben!

Und währenddessen verfügt Apples iOS über ein funktionales Berechtigungssystem, mit dem Benutzer die Kontrolle behalten.

Nein, dies ist kein Angriff eines Apple-Fanboys auf Android. Ich liebe Android und benutze ein Nexus 4 als Smartphone, aber ich glaube daran, den Benutzern Macht zu geben. Android-Benutzer sollten auswählen können, welche Apps SMS-Nachrichten senden können oder ob Kamera-Apps Audio aufnehmen können. Jetzt können wir nicht nur keine Berechtigungen steuern, ohne ein benutzerdefiniertes ROM zu rooten oder zu installieren, sondern das neue Berechtigungssystem bietet uns noch weniger Leistung.

Dank an iamtubeman auf Reddit um dieses wichtige Problem zu untersuchen und zu testen. Die Erklärung von Google zu den neuen vereinfachten App-Berechtigungen von Android finden Sie hier Hier.