Android : Sicherheitslücke ermöglicht Fernlöschen von Smartphones

Der Besuch einer präparierten Website kann ausreichen, um alle Daten im Telefonspeicher zu verlieren. Betroffen von dem Problem sind Android-Geräte mehrerer Hersteller.
Das Samsung Galaxy S III ist von der Sicherheitslücke unter Umständen betroffen. © Sean Gallup/Getty Images

Die Android-Smartphones mehrerer Hersteller haben ein gravierendes Sicherheitsproblem, auf das die betroffenen Unternehmen nur sehr langsam reagieren.

Den dafür nötigen Hack zeigte Ravishankar Borgaonkar von der TU Berlin auf einer Konferenz vor zwei Tagen: Er demonstrierte, wie er den internen Speicher eines Samsung Galaxy S III mithilfe eines NFC-Chips komplett löschen konnte, indem er ihn in den Werkszustand zurücksetzte. Apps, Musik, Kontakte – alles, was sich nicht auf der SIM-Karte befindet – verschwindet in so einem Fall.

Der NFC-Chip ist dabei nur einer von mehreren möglichen Wegen. Auch das Aufrufen einer präparierten Website kann den Löschvorgang unwiderruflich auslösen. In allen Fällen wird dabei ein Steuercode ins Smartphone eingeschleust. Der besteht aus kurzen Zeichenfolgen wie zum Beispiel *2767*3855#, mit dem bestimmte Aktionen auf dem empfangenen Gerät ausgelöst werden.

Mehrere Medien berichten, es handele sich um einen sogenannten USSD-Code, das steht für Unstructured Supplementary Service Data . Doch ein Mitglied des Berliner Chaos Computer Clubs weist drauf hin , dass es sich stattdessen um einen MMI-Code (Man-Machine-Interface) handelt, der vom jeweiligen Gerätehersteller selbst definiert wird. Der Unterschied: Die herstellerdefinierten MMI-Codes brauchen keine aktive Sendebestätigung, um ihre Aktion auszuführen. Deshalb können sie auf fremden Handys Schaden anrichten, ohne dass der Besitzer noch eine Chance hätte, es zu verhindern.

Genau der oben genannte Beispiel-Code bewirkte auf dem Galaxy S III die Fernlöschung ohne weitere Nachfrage beim Besitzer. Und es ist nicht das einzige betroffene Gerät: heise online ist es gelungen, über eine präparierte Website einen anderen Code auf ein HTC One XL zu schleusen, der die SIM-Karte sperrte. Ein neuseländischer Blogger schreibt , Smartphones von Motorola und Sony seien ebenfalls nicht sicher. Und bei Twitter schreibt jemand, auch das HTC One X sei nachweislich verwundbar.

Die Sicherheitslücke tritt nur in älteren Android-Versionen auf. Vor einigen Monaten hat Google ein Update herausgegeben, mit dem sie geschlossen wird. Doch längst nicht jedes Smartphone dürfte mit dieser neuen Version ausgestattet sein.

Samsung ist bislang das einzige Unternehmen, das wenigstens ansatzweise reagiert hat: Für Galaxy-S-III-Besitzer haben die Koreaner ein Software-Update zur Verfügung gestellt. Ob auch andere Galaxy-Modelle betroffen seien, prüfe man gerade, teilte Samsung bei cne.t.com mit.

Wer lieber selbst überprüfen will, ob sein Smartphone gefährdet ist, sollte mit dem Smartphone-Browser die Seite http://heise.de/ussd aufrufen. Zeigt das Handy dann eine fünfzehnstellige IMEI an, ist es wahrscheinlich verwundbar, schreibt heise online.

Abhilfe soll die App NoTelURL schaffen, die der IT-Fachmann Jörg Voss entwickelt hat.

Was die Gefahr durch die Sicherheitslücke etwas relativiert, ist die Tatsache, dass niemand davon profitiert. Wer den Löschbefehl bei jemandem auslöst, hat kein Erpressungspotenzial. Insofern wäre es eine reine Bosheit. Aber die Erfahrung zeigt: Was technisch möglich ist, wird auch gemacht.

Verlagsangebot

Entdecken Sie mehr.

Lernen Sie DIE ZEIT 4 Wochen lang im Digital-Paket zum Probepreis kennen.

Hier testen

Kommentare

17 Kommentare Seite 1 von 3 Kommentieren