Mehrheit der beliebtesten Android-Apps nutzt Fingerprinting – Fraunhofer SIT zeigt auf it-sa, wie Unternehmen sich schützen können

Geräte-Fingerprinting ist eine Technik, mit der mobile Geräte App-übergreifend eindeutig identifiziert werden können. Da Smartphone oder Tablet meist nur von einer Person genutzt werden, lassen sich mit diesem Geräte-Fingerabdruck persönliche Daten erbeuten und das Verhalten von Nutzern nachverfolgen. Wissenschaftler des Fraunhofer SIT haben die beliebtesten 1.000 Android-Apps getestet. Fazit: 64 Prozent der Apps nutzen Fingerprinting, und dadurch droht Unternehmen der Verlust von Firmengeheimnissen. Auf der Security-Messe it-sa in Nürnberg zeigt das Fraunhofer-Institut für Sichere Informationstechnologie SIT Angriffs- und Schutzmöglichkeiten, in Halle 6 an Stand 6-314.

Um Smartphones und Tablets App-übergreifend eindeutig zu identifizieren, nutzen Werbetreibende einen sogenannten technischen Fingerabdruck: Dieser besteht aus einer Vielzahl von Geräteinformationen wie die Version des Betriebssystems, dem Gerätenamen, Art des Geräts etc... Jede Information für sich ist nicht eindeutig, aber zusammengenommen ergibt sich eine eindeutige Identifikationsmöglichkeit für ein mobiles Gerät. Da auch personenbezogene Informationen erfasst werden, lässt sich oft auch die Person identifizieren, die das Gerät nutzt. Wenn Mitarbeitende Apps mit Geräte-Fingerprinting auf ihren mobilen Unternehmensgeräten installieren, kann das für Unternehmen den Verlust sensibler Geschäftsdaten zur Folge haben. Angreifer können die gesammelten Daten erwerben und dadurch unter Umständen die Geräte der Firmenleitung identifizieren, Firmengeheimnisse ausspionieren und Kundenkontakte ermitteln. In der Praxis zeigt der Cambridge-Analytica-Fall, wie mit ausreichend Daten aus verschiedenen Quellen die Nutzer analysiert und manipuliert werden können.

Mehr als 60 Prozent der beliebtesten Android-Apps nutzen Fingerprinting

Fraunhofer-SIT-Wissenschaftler haben nach einem Scan der Top 1.000 Android Apps herausgefunden, dass 64 Prozent der Apps Geräte-Fingerabdrücke nutzen. Außerdem haben sie 30.000 Domains aus den beliebtesten 2.000 iOS- und Android-Apps extrahiert und die am weitesten verbreiteten Fingerprinting-URLs herausgefiltert. Über das Blocken dieser URLs lässt sich in ungefähr 80 Prozent aller Fälle das Tracking über Geräte-Fingerabdrücke verhindern.

Auf diese Geräte-ID greifen auch Werbe- und Analysefirmen für ihr Tracking zurück und können damit über viele Apps hinweg das Nutzerverhalten analysieren. Damit umgehen sie Cookie-Banner in Webbrowsern, die vor Dienste im Internet vorgeschaltet sind und Nutzern die Möglichkeit einräumen, über die Verwendung und Verarbeitung ihrer Daten selbst zu entscheiden. Consent-Banner in Apps sollen den Nutzer über diese Datennutzung aufklären, setzen jedoch häufig Tricks ein, um den Nutzer zur Zustimmung zu verleiten.

Auf der it-sa stellen die Fraunhofer-Experten ihre Forschungsergebnisse vor. Darüber hinaus zeigen sie die Lösung "Appicaptor", die Apps scannt und prüft, ob diese mit den Unternehmens-Sicherheitsrichtlinien konform sind. Für den it-sa-Messeauftritt haben die Mobile-Security-Experten außerdem ein Smartphone-Spiel entwickelt, auf dem trickreiche Cookie-Banner gezeigt werden. Wer am Ende die wenigsten digitalen Cookies eingesammelt hat, erhält als Preis einen leckeren analogen Cookie/Keks.

Mehr Infos zum Messeauftritt: www.sit.fraunhofer.de/itsa24

Mehr Infos zu Datenschutz und Datensicherheit auf mobilen Unternehmensgeräten: https://www.appicaptor.de

Mehr Infos zu Device Fingerprinting und den Forschungsergebnissen: https://blog.appicaptor.com/2024/10/07/device-fingerprinting-it-sa-2024/