Nun wenden wir uns mal den Smartphone Bereich zu. Der Reich der Smartphones ist, wie das Reich der Desktop Computer auch, in mehrere unterschiedlich große Länder aufgeteilt. Beim PC stellt das größte Land Windows dar, im Smartphone Bereich hingegen hat Android ganz klar die Nase vorn. Nur hat dies leider ein entscheidenden Nachteil: Die Großen werden häufiger und genauer von (zum-teils böswilligen) Hackern, Geheimdiensten und anderen dunklen Gestalten in die Zange genommen und auf Angriffsmöglichkeiten untersucht. Da jedes Betriebssystem, sei es Android, IOS, Firefox OS oder meinetwegen auch Windows Phone mehr oder minder schwere Schwachstellen hat, erscheinen früher oder später Exploits, welche die Sicherheitslücken dann ausnutzen und das Smartphone dann mit Schadware infizieren. Diese Schädlinge führen dann unter anderem folgende Funktionen aus: Viele dieser Schädlinge zielen darauf ab schnelles Geld zu machen. Um dieses Ziel zu erreichen gibt es mehrere Möglichkeiten. Die technisch einfachste stellt das Versenden von teuren Premium-Nachrichten dar. Es gibt jedoch auch weitere, profitablere, aber dafür technisch anspruchsvollere, Methoden fürs schnelle Geld. Eine leicht kompliziertere Methode stellt das unterschieben eines Abo-Vertrages über die Werbung einer (bekannten) App dar, bei der schon ein versehentlicher Klick auf die Werbung reicht, um sich ein (rechtswidriges) Abo einzuhandeln. Es gibt jedoch noch eine weitere, viel profitablere Methode, um an schnelles Geld zu kommen. Immer mehr Menschen verwenden ihr Smartphone fürs Online Banking, dabei in den meisten Fällen auch ohne ausreichendem Schutz, wobei gerade Schutzmaßnahmen gerade beim Online Banking von entschiedener Bedeutung sind. Ein Antivirus ist dabei das mindeste, was auf einem Smartphone gehört. Bei Geräten, die so etwas nicht installiert haben, gelingt es den Trojanern relativ leicht, die benötigten Daten beim Online Banking auszulesen und an dritte zu schicken. Die Folgen wären dann ein sich leicht zu merkender Kontostand: 0€. Aber nicht für Geld-orientierte Zwecke kommt ein solcher Trojaner zum Einsatz, sondern auch im privaten und im geschäftlichen Bereich kann solch ein Trojaner für Überwachungsfreudige Familienmitglieder (Eltern) und/oder Chefs attraktiv sein. Das Beschaffen und Installieren des Trojaners stellt dabei auch keine große Hürde dar. Man erhält schon für circa 44€ im Monat einen vollwertigen Handytrojaner welcher durch physischen Zugriff, sofern das Opfergerät nicht durch eine Sicherheitssperre (Android 4+: Einstellungen –> Sicherheit –> Display-Sperre –> Passwort, PIN oder Muster) geschützt ist, leicht installiert werden kann. Eine solche Infektion braucht aber nicht zwingend direkten Zugriff oder unfreiwillige Mithilfe durch unerfahrene Benutzer. Solche Trojaner können auch unsichtbar über einen Drive-by auf das Zielgerät übertragen werden. Die Folge wäre dann der vollständige Verlust der Privatsphäre. Aber nicht nur durch Trojaner kann die Privatsphäre zerstört werden. Normale kostenfreie Apps oder Spiele erfüllen oftmals den selben Zweck: Private Daten sammeln und versenden. Wobei nicht nur Apps die privaten Daten gefährden. Hotspots sind bei jene, welche keine Internetflat (wobei es auch kostenlose Internetflats gibt: Netzclub bietet zum Beispiel 100MB gratis im Monat an, wobei man im Gegenzug Werbung erhält. Beim Überschreiten der 100MB wird die Geschwindigkeit stark gedrosselt) haben, aber trotzdem kurz was im Internet erledigen wollen. Da kommt ein kostenfreier Hotspot gerade recht. Aber gerade der kann sehr leicht zu tückischen Falle werden. Innerhalb solcher offener Netze ist es mit einfachen Apps wie Droidsheep offene Sitzungen abzufangen und zu kompromittieren. Ergebnis: Account gekapert. Mit stärkeren Apps, wie dSploit ist es sogar möglich, den gesamten Datenverkehr auszulesen, zu verarbeiten und zu manipulieren. Um diese Szenarien zu vermeiden gibt es mehrere mehr oder minder einfache Schutzmöglichkeiten, die ich euch nun in diesem Beitrag aufzeigen werde: 1. Antivirus installieren 2. Physischen Zugang erschweren 3. Daten verschlüsseln 4. Android rooten (wird für die weiteren Schritte benötigt) 5. Einrichten einer Firewall 6. Einrichten einer Tor-Verbindung 7. Beschränken der Berechtigungen von Apps 8. Aufzeigen weiterer Schutzmöglichkeiten, deren Erläuterung ich mir für spätere Teile dieser Serie aufhebe.

Schutzmaßname 1: Ein Antivirus muss her (Schwierigkeitsgrad: sehr leicht):
Die Wahl der Antiviren Software bleibt natürlich eure Entscheidung. Um euch jedoch die Qual der Wahl etwas zu erleichtern habe ich euch mal ein Test von Chip herausgesucht. In diesem Beitrag werde ich das ganze am Beispiel von avast! Mobile Security zeigen. Dies zu Installieren sollte selbst für ein Android-Neuling leicht zu händeln sein, da avast! MS direkt aus dem Play Store (Link) zu installieren ist. Für jene, die den Play Store nicht installiert haben, oder kein Google Konto angeben wollen, können avast auch über den Aptoide Appstore (benötigt Client) aufs Gerät laden. Man kann sich aber die apk Datei, über den Webdienst „APK Downloader“ (auch als Chrome Addon, welches aber zum Funktionieren ein Google Konto benötigt, erhältlich) aber auch direkt aus dem Play Store laden, ohne ein Konto zu besitzen. Zum Installieren muss das Installieren von Apps aus unbekannter Herkunft gestattet sein (Android 2.3: Einstellungen –> Apps | Android 4+: Einstellungen –> Sicherheit –> Unbekannte Herkunft). Eine genaue Anleitung, wie Sie apk Dateien installieren können, hat CHIP bereits geschrieben (Link). Nachdem Installieren, starten Sie die App einfach. nachfolgend können Sie entscheiden, ob sicherheitsrelevante Daten zurück zum Hersteller geschickt werden sollen (Community IQ). In meinem Fall habe ich diese Option abgewählt und auf „Zustimmen“ gedrückt. Im nachfolgenden Bildschirm können klicken Sie einfach auf „Abbrechen“ um fortzufahren. Nun befinden Sie sich im Hauptmenü:
avast! Hauptmenue
Screenshot: avast! – Hauptmenü

Wie man schon an der oberen Statusleiste sehen kann führt avast! automatisch ein Update der Virensignaturen durch. Nachdem dies abgeschlossen wurde untersucht avast! die bereits installierten Apps auf Viren. Dies lässt sich auch manuell starten. Dazu klicken Sie einfach auf „Virus-Scanner“ (im Screenshot: erster Eintrag unter dem avast! Logo), worauf avast! alle Apps, nach einem letzten Klick auf „Jetzt scannen“, erneut scannt. Dieser und weitere Vorgänge werden auch in der Statusleiste bekanntgegeben:
avast! - Statusmeldung
Screenshot: avast!- Statusmeldung

Nun werde ich noch zeigen, wie Sie den „Go Premium!“ Button am unteren Rand entfernen können. Dazu klicken Sie links auf das avast Logo, worauf folgende Optionen zu sehen sind (Stelle mit rotem Pfeil markiert):
Screenshot: avast! - Erweiterte Optionen
Screenshot: avast! – Erweiterte Optionen

Hier können Sie die einzelnen Module ein oder ausschalten. Dies kann zum Beispiel beim Web Shield von Vorteil sein, wenn man nicht möchte, dass avast! die angesteuerten URL’s mitsamt den Parametern zum Hersteller schickt. Nun wenden wir uns wieder den „Go Premium!“ Button zu. Um ihn zu deaktivieren gehen Sie in diesem Fenster einfach auf „Einstellungen“, suchen sich den Eintrag „Premium Schaltfläche verstecken“ heraus und aktivieren diesen. Damit ist die Grundlegende Einrichtung abgeschlossen und Ihr Smartphone damit ein Stück sicherer.

Schutzmaßnahme 2: Physischen Zugang erschweren (Schwierigkeitsgrad: Sehr leicht):
Es sei mal gesagt, dass es mit diesen Methoden nicht möglich ist, da jedes Gerät über eine Recovery Menü verfügt, welches über gewisse Tastenkombinationen (Beispiel: Samsung Galaxy Mini: Im ausgeschalteten Zustand die Power und die Home Taste gleichzeitig drücken) gestartet werden kann. Hierüber kann man dann das gesamte Gerät auf Werkseinstellungen zurücksetzen, womit sämtliche Daten, samt Einstellungen gelöscht werden. Wer sein Smartphone gegen Diebstahl sichern möchte, der sollte sein Gerät rooten (wichtiges zur Garantie und Gewährleistung nach dem Rooten) und sich mit avast! – Anti theft auseinandersetzen (wird auch noch in späteren teilen dieser Serie gezeigt). Grundsätzlich gibt es mehrere Varianten, sein gerät vor unberechtigten Zugriff zu schützen. Hier werde ich zwei dieser Varianten behandeln.

Variante 1: Schutz mit Android Bordmitteln:
Android bietet von Haus aus die Möglichkeit, das Gerät mit einem Passwort, Pin oder auch Muster zu schützen. Dies lässt sich folgendermaßen aktivieren:
Einstellungen –> Sicherheit –> Display-Sperre –> Passwort, Pin oder Muster (von Face Unlock oder Sprachfreigabe halte ich nur wenig bis gar nix).

Variante 2: Schutz mit einem Applocker:
Mithilfe eines Applockers kann man vorher festgelegte Apps und/oder Funktionen vor Fremdzugriff durch ein Passwort schützen, womit sich auch eine Installation eines Trojaners über den direkten Zugriff vermeiden lässt. Diese Variante ist auch komfortabler, als wenn man jedes mal, wenn man sein Gerät entsperren will sein Passwort/PIN eingeben muss. In diesem Beitrag werde ich das ganze an dem Applocker von DoMobile Lab (Play Store Link) zeigen.
Zuallererst müssen Sie sich diese App installieren. Das geht zum einen über Google Play, Aptoide („applock“ eingeben –> Das erste Ergebnis) oder auch direkt als apk (siehe Abschnitt: Installation von avast!).
Beim Erststart werden müssen Sie Ihre PIN festlegen und optional auch Ihre Email Adresse eingeben. Wenn Sie keine angeben wollen, lassen Sie das Feld einfach leer und klicken auf „Speichern“. Im folgenden Hauptmenü können Sie dann auswählen, welche Apps und Funktionen geschützt werden sollen:
AppLock: Hauptmenü
Screenshot: AppLock – Hauptmenü

Um eine App oder Funktion zu sperren tippen Sie einfach auf den Schalter neben der entsprechenden Funktion/App. Um die PIN zu ändern bzw. eine Mustersperrung einzustellen, tippen Sie auf die Menütaste oben links (im Bild mit einer „10“ versehen) und scrollen nach unten zu den Einstellungen. Dort haben Sie dann die Möglichkeit Ihre Authentifizierung zu ändern.

3. Daten Verschlüsseln:
Wie auch bei der Sicherung vor unberechtigten Zugriff gibt es auch hier mehrere Varianten sein Android Gerät zu verschlüsseln:

Variante 1: Vollständige Verschlüsselung des Gerätes mit Bordmitteln:
Die meisten Geräte mit Android >= 3 haben die Funktion das gesamte Telefon ohne zusätzliche Apps zu verschlüsseln. Allerdings sollte man sich gut überlegen, ob man dies auch wirklich durchziehen möchte, da dieser Vorgang bei den meisten Geräten eine nachträgliche Entschlüsselung nicht mehr möglich ist. Wenn Sie also die Verschlüsselung danach wieder deaktivieren möchten, müssten Sie zuerst alle Daten sichern (auf welche Art auch immer) und anschließend das Gerät auf Werkseinstellung zurücksetzen (kann ebenfalls auch aus dem Recovery-Modus geschehen). Außerdem ist es nicht auf allen Geräten möglich, den externen Speicher (MicroSD) mit zu verschlüsseln. Deshalb sollten Sie sich auch noch die anderen Varianten zur Verschlüsselung sensibler Daten anschauen. Falls Sie sich dennoch entschieden haben, Ihre Daten auf diese Weise zu verschlüsseln, schließen Sie Ihr Ladekabel an, gehen auf Einstellungen –> Sicherheit –> Telefon verschlüsseln und folgen Sie den Anweisungen. Planen Sie sich aber auch genügend Zeit ein, da der Vorgang unter Umständen mehrere Stunden andauern kann.

Variante 2: Einrichten eines EncFS, TrueCrypt oder auch LUKS Containers:
Diese Variante ist dazu gedacht, einzelne oder mehrere Dateien im Telefon- oder Externen-Speicher in einen verschlüsselten Container zu packen. Dies kann zum Beispiel bei Betriebsgeheimnissen wichtig sein, da es nicht gerade selten vorkommt, dass man sein Gerät verliert, oder es gestohlen wird. In diesem Fall könnte das schwerwiegende Konsequenzen haben. Um den entgegenzutreten zeige ich ihnen in diesem Beitrag das anlegen von Verschlüsselten Containern mithilfe von Cryptonite, ein EncFS basiertes, quell offenes (darauf lege ich bei so etwas sehr viel Wert) Verschlüsselungstool. Es gibt auch noch andere quell offene Verschlüsselungsapps, wie EDS Lite (TrueCrypt basiert/kompatibel), LUKS Manager und Encdroid. Letztlich bleibt es Ihnen jedoch überlassen, für welche App Sie sich entscheiden. Bei Cryptonite ist es auch ohne Root-Rechten möglich, Dateien in den Container hinein und auch wieder heraus zu kopieren. Für jene, die ihr Gerät gerootet haben besteht auch die Möglichkeit, den Container als Dateisystem einzuhängen und über den OI File Manager darauf zuzugreifen, ohne die Dateien erst wieder auf den externen Speicher kopieren zu müssen. Zur Installation nehmen Sie am besten diesmal nicht den Google Play Store, sondern laden sich die apk direkt von der Google Code Seite des Herstellers, da diese aktueller, als die in Google Play angebotene ist. Link zur Download-Sektion. Laden Sie sich nun davon die aktuellste Version herunter (in meinem Fall Version: 0.7.9 alpha) und installieren sich diese. Nach dem Öffnen erscheint eine Warnung, dass dies noch ein Entwicklungsprojekt und deshalb mit Vorsicht zu genießen ist. Tippen Sie auf „I understand“ um fortzufahren. Tippen Sie nun auf den Reiter „Local“ (oben mittig) und anschließend auf „Create local volume“. Die darauf folgende Warnung können Sie mit einem Klick auf „Create volume“ ignorieren. Jetzt können Sie auswählen, wie stark die Verschlüsselung sein soll. Ich empfehle an dieser Stelle auf Paranoia zu tippen. Als nächstes suchen Sie sich ein Ordner aus, wo die verschlüsselten Daten nachher abgespeichert werden sollen. Tippen Sie dazu ein Ordner Ihrer Wahl an und anschließend auf „Use current folder“. Es wird nicht empfohlen dies gerade direkt im Wurzelverzeichnis der MicroSD zu erledigen, da alle verschlüsselten Dateien dann dort abgelegt werden und es später schwer macht unverschlüsselte Dateien zwischen den ganzen einzelnen verschlüsselten Dateien wiederzufinden. Nun sollte, nach Eingabe des gewünschten Passwortes, der Container eingerichtet werden. Um eine Datei dann in den Container hineinzuziehen, tippen Sie zuerst auf „Decrypt local folder“ (Im Hauptmenü: Tab: Local), tippen auf den Ordner, wo Sie Ihren verschlüsselten Container abgelegt haben (dort müsste eine Datei namens „.encfs6.xml“ zu finden sein), „Select current folder“ (Sie brauchen die xml Datei nicht vorher anzutippen) und geben Ihr eingestelltes Passwort ein. Nun sind Sie wieder im Hauptmenü, wo Sie nun auch die Möglichkeit haben, auf „Browse decrypted folder“ zu tippen. Sobald Sie das getan haben, sehen Sie eine Liste mit den Dateien und Ordnern, die Sie in diesen Container kopiert haben. Um neue Dateien hinzuzufügen tippen Sie einfach auf „Upload file to this folder“, Upload, Ihre zu kopierende Datei (leider maximal nur eine auf einmal) und als letztes auf „Upload selected file“. Die Datei wurde nun in den verschlüsselten Container KOPIERT. Die unverschlüsselte Datei liegt also noch auf der MicroSD Karte. Sobald Sie alle benötigten Dateien verschlüsselt haben, sollten Sie die alten Dateien von der MicroSD Karte löschen. Besser ist es, die entsprechenden Dateien mit dem Andro Schredder zu schreddern, sodass diese nicht wiederhergestellt werden können. Als letztes müssen Sie noch im Hauptmenü von Cryptonite auf „Forget decryption“ tippen, damit das Öffnen des Containers erst nach Eingabe des Passwortes möglich ist. Nun sind die wichtigen Daten ausreichend vor fremdem Blicken gesichert. Um die Dateien wieder auf den externen Speicher zu kopieren, tippen Sie wieder auf „Decrypt local folder“ und verfahren wie vor wenigen Zeilen beschrieben, um die Daten wieder zu entschlüsseln. Im Anschluss tippen Sie auf „Browse decrypted folder“ und sehen Ihre Dateien. Um eine Datei zu öffnen, tippen Sie die entsprechende Datei an und halten Sie diese gedrückt. Anschließend können Sie diese mit „Open“ öffnen oder ausführen. Wenn Sie mehrere Dateien exportieren wollen, wählen Sie bitte zuerst die Dateien, die wieder auf den Externen Speicher kopiert werden sollen, aus, indem Sie die Kästchen, links vor dem Symbol der Dateien an-tippen und anschließend „Export selected“ anwählen. Navigieren Sie in den Ordner, indem die Dateien exportiert werden sollen und tippen Sie anschließend auf „Export to current folder“. Damit sind diese Dateien auch wieder über den normalen Dateibrowser verfügbar.

Damit bin ich am Ende des ersten, vielleicht etwas zu lang geratenen (mehr als 2450 Wörter :D), Teils dieser Serie. In den weiteren teilen werde ich dann auch zeigen, wie man die meisten Geräte rooten kann, um damit das Verschlüsseln deutlich komfortabler zu gestalten, sodass man sein verschlüsselten Container nach Eingabe des Passwortes direkt über den OI Datei Manager erreichen kann. Außerdem werde ich Ihnen dann zeigen, wie Sie sich mit ihrem Android gerät ins Tor-Netzwerk begeben können, um sich damit sich gegen die Hotspot Falle zu schützen (und dazu zusätzlich seine IP verschleiern kann. Damit hat es sich dann mit Vorratsdatenspeicherung). Und im diesem Sinne:
Einen schönen Abend noch :)…

Hinweis, dass ist so viel Text, dass da die Wahrscheinlichkeit auf Rechtschreib- und Grammatikfehlern stark ansteigt. Ich werde das alles noch ein paar mal überprüfen und korrigieren.

Mehr Sicherheit für Android Geräte: Teil 1