Schutz privater Daten auf Smartphones durch umfassende Datenflussanalysen
Mobile Applikationen für Smartphones und Tablets bieten vielfältige Möglichkeiten, Menschen im Alltag zu unterstützen. Für das Android-Betriebssystem, den aktuellen Marktführer mit 76 % Marktanteil, stehen im Google Play Store aktuell 700.000 Apps zur Verfügung. Oft verwenden diese Apps personenbezogene Daten und leiten sie an Dritte weiter. Untersuchungen zeigen, dass mindestens ein Fünftel der Apps auf personenbezogene Daten zugreifen.
Die Zugriffskontrolle auf Daten erfolgt im Android-Betriebssystem durch eine statische Berechtigungsliste, der bei der Installation zugestimmt werden muss. Ein Zugriff auf personenbezogene Daten (wie z. B. das Telefonbuch) ist damit zwar erkennbar, jedoch kann auf Basis der Berechtigungsliste nicht bewertet werden, wie eine App mit diesen Daten umgeht und ob personenbezogene Daten weitergeleitet werden. Auch das Lesen der Datenschutzbestimmungen des Herstellers ist im Alltag oft so umständlich, dass die Hälfte der Nutzerinnen und Nutzer gänzlich darauf verzichtet. Somit bieten Apps für den Verbraucher nicht nur unterstützende Servicefunktionen, sondern sind auch ein bisher unkalkulierbares Datenschutzrisiko.
Ziel des Verbundprojekts „Selbstdatenschutz durch statische und dynamische Analyse zur Validierung von Android-Apps – AndProtect“ ist es, Laien ein benutzerfreundliches Werkzeug zu bieten, mit dessen Hilfe sie eine qualifizierte Aussage über die datenschutzrelevanten Informationsflüsse in Android-Apps treffen können und so im Alltag das mit der Nutzung der App verbundene Datenschutzrisiko bewerten können.
Mit statischen Analyseverfahren, welche aufbauend auf einem Analysewerkzeug der Technischen Universität Berlin weiterentwickelt werden, sollen Informationsflüsse innerhalb der App und nach außen identifiziert werden. Die Aussagekraft der statischen Analyse ist jedoch begrenzt. Insbesondere durch das Nachladen von Codes aus dem Internet oder die Verschleierung des Programmcodes können gewisse Eigenschaften des Programmverhaltens nur während der Ausführung der App analysiert werden. Hierfür sollen gezielt dynamische Analyseverfahren entwickelt und eingesetzt werden, die die Ergebnisse der statischen Analyse als Ausgangspunkt nutzen.
Derzeit verfügbare Datenschutzsoftware basiert meist auf einer Berechtigungsanalyse und betrachtet nicht den Datenfluss. Werkzeuge zur Datenflussanalyse werden momentan noch vorrangig im Forschungsumfeld eingesetzt. Sie sind auf die Benutzung durch Sicherheitsspezialisten zugeschnitten und somit für den Endanwender ungeeignet.
Wozu nutzt meine Taschenlampen-App den Internetzugang? Greift meine Social-Media-App nur auf mein Telefonbuch zu oder leitet sie Kontaktdaten auch an externe Server weiter? Durch die gezielte Kombination statischer und dynamischer Datenflussanalysen im Projekt AndProtect können auch Laien fundierte Informationen zu diesen Fragen erhalten und Datenschutzrisiken bei der Nutzung einer App besser beurteilen.