»Horch was kommt von drinnen raus?«

Transkript

1 »Horch was kommt von drinnen raus?«die»kommunikationsfreudigkeit«mobiler Endgeräte [ ] 1

2 Was mache ich? IT-Sicherheitsberatung mit folgenden zwei Schwerpunkten: Penetrationstests Webanwendungen Netzwerke bzw. IT-Systeme Mobile Endgeräte Kurz: Den bösen»buben«den Tag erschweren Infos: 2

3 Agenda 1. Teil: Smartphones Apps Unsere täglichen Begleiter 2. Teil:»Horch was kommt von drinnen raus?«berechtigungen von Apps Wer sammelt unsere Daten und was passiert damit? 3. Teil: Gegenmaßnahmen Schock! Was kann ich jetzt tun!? 3

4 1. Teil: Smartphones Apps Unsere täglichen Begleiter 4

5 Was sind Apps? Apps sind Programme für Smartphones Erweitern den Funktionsumfang individuell gemäß den Wünschen des Users Angeboten werden kostenlose und kostenpflichtige Apps 38% kaufen sich Apps 45% nutzen lediglich kostenlose Apps 17% laden keine zusätzlichen Apps Allgemein gilt: Smartphone bzw. Apps sind trendy, bunt und bieten oftmals einen Mehrwert 5

6 App Beispiele Kommunikation Navigation Unterhaltung Soziale Netze 6

7 Unzählige Beispiele... ios: > Apps Stand: Juli 2014 Android: > Apps Stand: Juli

8 Allgemeine»Wahrnehmung«von Smartphones Smartphones erleichtern»gefühlt«unseren Alltag: Wann kommt die Straßenbahn / Zug? Welche aktuellen News gibt es? Habe ich neue s? Wann hat Tante Gertrud nochmal Geburtstag? Suggestion der unbegrenzten Möglichkeiten... Es existieren Apps für alle Lebenslagen! Aber warum grinst die»grinsekatze«dann? 8

9 Die»Realität«von Smartphones Smartphone = kleiner Taschenspion / Blackbox! Es herrscht eine»wild West Mentalität«Apps greifen ungeniert auf sensible Informationen zu und leiten diese ungefragt weiter Wir als Anwender haben längst die Kontrolle über unsere Daten verloren Adressbuc N IMSI- dort n a t S r e l l e aktu h er umm Inhalt der ein gel ogg t es SD-Karte WL AN 9

10 Der Tagebuch-Vergleich Bilder / Videos Chats Kontakte / Termine Geheimnisse Wünsche Gefühle Früher Heute Smartphones beinhalten heute oftmals mehr und sensiblere Informationen als jedes private Tagebuch 10

11 2. Teil: Datenschutz Berechtigungen von Apps (Android) 11

12 Das Popup vor jeder Installation... Fakten:»Die hellste LED Taschenlampe« Millionen Installationen 5 von 5 Bewertungssternen Aktuell Rezensionen Und natürlich (extrem) wichtig: KOSTENLOS! 12

13 Was sind Berechtigungen?»Das nervige Popup vor jeder Installation...«ist wichtig! Es fasst zusammen: Was darf eine App und was nicht? Idee: In ihrer Grundidee sollen Berechtigungen auf Android gewährleisten, dass Apps ohne explizite Rechte keinerlei Aktionen auf dem Gerät ausführen dürfen. Realität: Überforderte Anwender, die sich weder mit den Berechtigungen herumschlagen wollen, noch den Sinn dahinter verstehen. 13

14 Berechtigungen Taschenlampen-App [1] [1] Bilder und Videos aufnehmen Gut: Aktivierung der internen LED ansonsten unmöglich Böse: Jederzeit Vollzugriff auf die Kamera-Funktion [2] USB-Speicherinhalte ändern und löschen Gut: Speicherung von App Informationen Böse: Zugriff auf den kompletten Speicher des Smartphones zum auslesen, löschen und bearbeiten von Daten 14

15 Berechtigungen Taschenlampen-App [2] [3] Genauer (GPS-)Standort, ungefährer Netzwerkstandort Gut:??? Böse: Übertragung des aktuellen Standorts an den AppEntwickler bzw. an die»werbemafia«[4] Telefonstatus und Identität abrufen Gut: Unterbricht die Funktion für die Dauer eines Telefonats Böse: Auslesen der Telefonnummer, IMEI und IMSI Eindeutige Identifikationsmerkmale 15

16 Berechtigungen Taschenlampen-App [3] [5] Uneingeschränkter Internetzugriff Gut:??? Böse: Sammelt unbemerkt persönliche Daten und versendet diese im Hintergrund an den App-Entwickler oder dritte Parteien Alternative Search Light zu finden im Play Store 16

17 Analyse des Internetverkehrs»Datenversand«zu: Doubleclick: Gehört zu Google. Angezeigte bzw. angeklickte Werbung wird aufgezeichnet. Flurry: Sammelt und wertet Daten aus. MyDas: Gehört zu Millennial Media. Blendet auf Basis gesammelter Nutzerdaten personalisierte Werbung ein. Ausgezeichnet! 17

18 Ein Blick auf die Datenschutzerklärung... Unter Ziffer 1 wird erklärt:»we do not collect Personal Information«... aber unter Ziffer 4 wird dann zurück gerudert:»although we don t collect any Personal Information, the Applications, the Services and the Site use third party services, which may do so.«zugunsten des eigenen Geldbeutels werden Daten ungefragt und intransparent an»datensammler«verhökert 18

19 2. Teil: Datenschutz Wer sammelt unsere Daten und was passiert damit? 19

20 Die»Datensammler«im Überblick [1] Staat / Geheimdienste Die»Massenüberwachung«durch Geheimdienste erfolgt zum Zweck der Terror-Abwehr Stetige Aushöhlung der Grundrechte [2] Unternehme, Konzerne, Versicherungen Je mehr man über die Zielpersonen weiß, desto besser, um vermarktbare Erkenntnisse zu gewinnen [3] Kriminelle Von Unternehmen / Behörden gesammelte Daten sind auch für Kriminelle interessant 20

21 3. Teil: Gegenmaßnahmen Schock! Was kann ich jetzt tun!? 21

22 Allgemeine Tipps für Android und ios Zunächst einmal: Smartphone entrümpeln! Auf welche Apps kann ich verzichten? Welchen Apps vertraue ich / welchen nicht? Welche Apps verletzen nicht nur meinen Datenschutz, sondern auch den meiner gespeicherten Kontakte? Anschließend bei der Installation neuer Apps auf die Berechtigungen achten 22

23 Android»FirstAid Kit«In 7 Schritten zu mehr Sicherheit und Datenschutz 23

24 FirstAid: aspotcat [1] Apps deinstallieren, die kritische Berechtigungen einfordern. aspotcat hilft beim Verständnis 24

25 FirstAid: APEFS [2] Gezielt nach Apps suchen, bei denen Sie selbst festlegen welche Berechtigungen»okay«sind. APEFS unterstützt diese Möglichkeit (Universität Siegen) 25

26 FirstAid: Entwickler Infos [3] Entwickler bieten teilweise Informationen aus welchem Grund Ihre App Berechtigung XY benötigt 26

27 FirstAid: App-Quellen [4] Apps nur aus»vertrauenswürdigen«quellen beziehen Google Play Store ( Amazon App Store ( F-Droid Store ( 27

28 FirstAid: Bewertungen [5] Vergessen Sie das Bewertungssystem und die Kommentare in den App Stores Anwender bewerten meist die Funktion einer App Selbst urteilen und nicht der Masse folgen 28

29 FirstAid: Mobile Webseiten [6] Viele Webseiten und Dienste bieten»mobile«varianten Funktionsumfang nahezu identisch bzw. ausreichend Vermeidung des»berechtigungswahnsinnsm.bahn.dem.facebook.com«29

30 FirstAid: App- und System-Updates [7] JEDES mobile Betriebssystem hat Sicherheitslücken Kontinuierlich System- und Geräteupdates einspielen Vorsicht vor»bauernfängerei«:»supervirus befällt Android-Handys«(bild.de)»Android ist am meisten von Mobil-Malware bedroht«(spiegel.de) Nicht»blind«auf die Funktion von Anti-Viren Apps vertrauen. Vermitteln ein falsches»sicherheitsgefühl«! 30

31 Karten auf den Tisch! - Bin ich jetzt sicher!?»ja und NeinJein«Die Tipps helfen gegen die größten Datenschleudern Auf manche Apps wollen / können Sie aber nicht verzichten Wiederum andere Apps beurteilen Sie vielleicht falsch und nutzen Sie mit gutem Gewissen weiter Klar ist: Der dauerhaften»schnüffelei«durch Google bzw. Apple können Sie dadurch nicht entgehen... Kann ich den ungewollten Datenabfluss überhaupt verhindern!? 31

32 Projekt:»Your phone Your data«ziele von»your phone - Your data«: Vollständige Kontrolle über die eigenen Daten Selbstbestimmte Nutzung des Geräts Abkopplung vom Google Öko-System Ausstieg aus der»werbemaschinerie«der Hersteller 7-teilige Artikelserie erklärt Schritt für Schritt die Umsetzung Blog: 32

33 Fazit Smartphones sind moderne»datenspione«wir können uns nur dem schwer dem Reiz und Techniktrend entziehen Berauscht von den Möglichkeiten sind wir zu»willigen«datenlieferanten geworden Wer sich und seine Daten schützen möchte muss dies in eigene Hände nehmen und andere aufklären! 33

34 Vielen Dank für Ihre Aufmerksamkeit! für die Einladung zur LEARNTEC 2015! Dipl.-Inform. (FH) Tel.: Mail: Web: Blog: 34