iOS und Android: Was taugt die eingebaute Sicherheit?

Apples Sicherheitskonzept beginnt mit dem Booten

Apple verfolgt einen eher "geschlossenen Ansatz" und versucht möglichst nichts und niemanden an die direkten Betriebssystemressourcen heranzulassen. Einen klassischen Explorer oder Finder, der sich für den Zugriff auf das Dateisystem eignet, wie bei AndroidAndroid, gibt es überhaupt nicht. Da Apps ausschließlich Ressourcen nutzen können, die das Betriebssystem bereitstellt, ist es von entscheidender Bedeutung, dass sich das OS stets in einem sicheren Status befindet. Alles zu Android auf CIO.de

Bereits beim Systemstart eines Apple-Geräts, der so genannten Initialisierungsphase der Hardware, wird das Einschleusen von Schadprogrammen durch das Zusammenspiel von Betriebssystem und Hardware verhindert. Durch kryptographisch signierte Komponenten, darunter der Kernel und der Bootloader, verhindert Apple, dass das iOS heimlich modifiziert wird. Kommt es zu Abweichungen, unterbricht das Gerät den Startvorgang und verlangt nach einem Firmware-Upgrade, zumeist über die Apple-eigene Verwaltungssoftware iTunes.

Die so genannte "System Software Personalization" von Apple verhindert das Rücksetzen auf eine ältere, möglicherweise durch Sicherheitslücken anfällig gewordene iOS-Version. Bedingt durch die Tatsache, dass Apple jedem Gerät eine eindeutige Kennung mit auf dem Weg gibt, die ECID, und stets eine Verknüpfung mit einem iTunes-Account verlangt wird, ist es für den Anbieter recht einfach, eine Historie von Betriebssystemversion und Nutzer vorzuhalten. Diese Maßnahmen, und andere, beispielsweise die permanent aktive Geräteverschlüsselung, die fehlende Möglichkeit, den Speicher durch externe MedienMedien zu erweitern, sorgen letztendlich dafür, dass das Betriebssystem nur in einem gesicherten Status starten kann. Top-Firmen der Branche Medien

Auch wenn es treue Apple-Kunden nicht so gern hören, so gab es auch bei iOS Schwachstellen, die zu verschiedenen Sicherheitsproblemen führten. Nicht nur einmal ließ sich der Passcode durch einen einfachen Trick umgehen. Allein zwischen den Version 5 und 6 von iOS musste Apple, laut Informationen eines Überblickpapiers des BSI, 197 Sicherheitslücken schließen. Nur wenn das Betriebssystem sicher ist, können möglicherweise fragwürdige Apps diese Lücken nicht für ihre Zwecke missbrauchen. Apple erinnert den Benutzer bei jedem Blick auf die Systemeinstellungen daran, dass Updates eingespielt werden müssen.

Ebenfalls warnt das BSI bei Geräten mit dem iOS-Betriebssystem vor indirekter Ausspähung des Benutzers durch Dienste oder Apps. Ein Beispiel wären die so genannten Geolocation-Dienste, bei denen der Standort des Benutzers erfasst und mit einem Dienst verknüpft wird. Mit solchen Diensten lassen sich unter Umständen Zugangsbeschränkungen umgehen oder persönliche Informationen abgreifen. Oder der Beschleunigungssensor, dessen Daten missbraucht werden könnten, um Eingaben über den Touchscreen auszuspähen.

iOS ständig am Senden Richtung Apple

Wenig bekannt sein dürfte der permanente Datenabfluss eines iOS-Geräts in Richtung Apple. iPhones & Co. senden seit iOS-Version 6 im Hintergrund laufend Protokoll-Log-Dateien und Fehlerberichte an den Hersteller. Nur falls der Benutzer bei der Installation des Updates dieser Übermittlung nicht explizit wiederspricht, handelt es sich um das Standardverhalten. Da diese Daten durchaus auch vertrauliche oder persönliche Informationen enthalten können, handelt es sich, mit Blick auf den DatenschutzDatenschutz, um eine äußerst fragwürdige Funktionalität. Zudem können legitim installierte Apps, so das BSI, diese Daten, auch ohne Wissen des Anwenders, an Dritte weitergeben. Alles zu Datenschutz auf CIO.de

Sicherheitsrelevante Software ist für iOS kaum verbreitet, da Apple durch das Design des Betriebssystems und der Technik des Sandboxings (keine Applikation darf auf die Daten und Ressourcen einer anderen App zugreifen) davon ausgeht, dass ein kritischer Sicherheitsstatus nicht erreicht werden kann. Regelmäßige Updates des Betriebssystems seien ausreichend. Sofern es also nicht das iOS selbst ist, das unerwünscht auf App-Daten zugreift, gibt es keine Notwendigkeit für Virenschutz & Co. Ganz anders sieht es aus, sofern der Benutzer das Gerät durch einen "Jailbreak" öffnet, um auf die Ressourcen selbst direkt zugreifen zu können. Diese Geräte sind eine Gefahr für den Benutzer und insbesondere für alle darauf gespeicherten Unternehmensdaten.