Der Feind sitzt in der App

2. Reputation

Auch der gute Ruf einer App kann dazu beitragen, Gefahren abzuwenden. Daher sollten App-Stores potenziellen Kunden vorhandene Informationen über App-Entwickler und die Apps selber zur Verfügung stellen. In diesem Zusammenhang appelliert die ENISA an die Betreiber der Shops, auch App-Bewertungen aus anderen Plattformen für diese Informationen hinzuzuziehen. Nötig dafür wäre aber ein gemeinsamer Sicherheitsansatz der unterschiedlichen Plattformen und ihrer Protagonisten.

Ein Problem sei es in diesem Zusammenhang, dass Anwender Apps oft aufgrund ihrer Funktionalität bewerteten, nicht aber aufgrund ihrer Sicherheitsfunktionen. Folgerichtig fordert die ENISA die Aufnahme solcher Bewertungskritierien (wie "Die App funktioniert prima, verlangt aber ausführliche Privilegien bei der Installation.")

Apps auf Sicherheit prüfen

3. Kill-Switches (App-Rückruf)

Für fälschlicherweise in Umlauf gebrachte unsichere oder verseuchte Programme fordert die ENISA eine Rückruf-Option für die Shops. Um das zu ermöglichen, müssten aber Plattformen wie iOS oder Android entsprechende Mechanismen anbieten. Ein Kill-Switch muss in der Lage sein, eine App vom Gerät vollständig zu entfernen und einen Zustand wiederherzustellen, wie vor der Installation der Malware.

4. Gerätesicherheit

Die Verteidigungslinien der App-Stores hängen auch an der Sicherheit der Geräte, auf denen die Anwendungen laufen. Die Geräte sollten Apps in sogenannten Sandboxes installieren und betreiben. Das Absondern der App vom System soll verhindern, dass eine Anwendung sich in sicherheitsrelevante Bereiche hackt. Im "Sandkasten" soll eine App zudem nur minimale Rechte und Privilegien bekommen. Auch das soll dem Eindringen in den Kern eines Betriebssystems vorbeugen. Schließlich fordert die ENISA, dass in der Sandbox für den Anwender sichtbar aufgezeichnet wird, was eine Anwendung dort genau macht.

5. Jails ("umzäunte Gärten")

Die Anbieter von Smartphones und Plattformen können ihre Geräte so spezifizieren, dass sie ihre Apps nur von bestimmten Quellen beziehen können. Das verhindert zwar nicht jede Form von Malware, aber immerhin solche, die man sich "mal eben im Vorübergehen" einfängt - etwa durch den Besuch einer interessanten, in Wirklichkeit aber "bösen" Webseite. Landläufig bezeichnet man solchen Schutz als "umzäunte Gärten" oder "Gefängnis".