ZEIT schlägt Alarm: „Populäre Apps gefährden ihre Nutzer“

Die Online-Ausgabe der ZEIT schlägt unter Verweis auf die Recherche-Ergebnisse eines Hamburger IT-Spezialisten Alarm: In 111 der 200 beliebtesten iOS-Applikationen soll dieser Schwachstellen gefunden haben. Die ZEIT konstatiert: „Viele beliebte iPhone-Apps sind anfällig für gezielte Hackerangriffe.“

Ein strammer Vorwurf, den das Nachrichtenmagazin zudem mit einer Breitseite in Richtung Apple würzt: Cupertino sei hier nicht ohne Schuld. Die Sicherheits-Schwachstellen seien darauf zurückzuführen, dass die verantwortlichen Entwickler Apples Richtlinien umgehen – anstatt einzuschreiten schaue der Konzern hier jedoch tatenlos zu.

Wir schätzen die ZEIT sehr, wollen den Bericht von Patrick Beuth, der unter der Überschrift „Populäre Apps gefährden ihre Nutzer“ veröffentlicht wurde, an dieser Stelle aber kurz relativieren.

Der IT-Spezialist hat nicht etwa 111 neu verwundbare iOS-Anwendungen aufgespürt, sondern lediglich geprüft, welche iOS-Applikationen aus den Top-200-Charts des App Stores noch nicht auf die vollständig verschlüsselte Übertragung von Nutzernamen und Passwort bei ihren Login-Formularen setzen.

Anders formuliert: Solltet ihr ein unverschlüsseltes WLAN-Netz nutzen und euch hier über eine der 111 fraglichen Anwendungen in euer Profil beim Online-Shop, bei der Web-Community oder im Eltern-Forum einloggen, könnten die Netzwerkbetreiber eure Logins aus den übertragenen WLAN-Paketen auslesen.

Die kritisierten Anwendungen weisen allesamt die selbe Schwachstellen auf: Anstatt auf Apples App Transport Security zu setzen und sich ausschließlich mit HTTPS-Servern zu verbinden, setzen viele Anwendungen noch auf die unverschlüsselte Kontaktaufnahme mit den eigenen Servern.

Die ZEIT berichtet also nicht etwa über neue Risiken bei der Nutzung von iPhone- und iPad-Anwendungen, sondern über einen hinlänglich bekannten Kritikpunkt in zahlreichen iOS-Applikationen, der auf technische Altlasten und die Bequemlichkeit mehreren App-Anbieter zurückzuführen ist.

Bereits 2015, nur wenige Wochen nachdem Apple die Entwickler-Community um die Nutzung der „App Transport Security“ bat, berichteten wir über einen Hilfe-Artikel in der Support-Datenbank des Online-Riesen Google. Statt die Sicherheitsvorkehrungen Apples mit entsprechenden Anleitungen zu stärken beschrieb Google damals, wie sich der von iOS 9 implementierte Zwang zur „App Transport Security“ umgehen lies.

Die Ursache war offensichtlich: Die Branche war noch nicht ausreichend auf Apples neuen Sicherheitsstandard vorbereitet. Die Apps vieler Entwickler waren darauf angewiesen mit vorhandenen Alt-Systemen zu kommunizieren, die nicht über Nacht umgestellt werden konnten. Google reagierte damals pragmatisch.

Entsprechend legte Apple die Einführung der sogenannten App Transport Security (ATS) im Dezember 2016 vorerst auf Eis.

Die zur Veröffentlichung von iOS 9 vorgestellte Neuerung und die Ansage, neue iOS-Anwendungen nur noch dann in den App Store aufzunehmen, wenn diese ihre Netzwerkzugriffe über verschlüsselte HTTPS-Verbindungen aufbauen würden, wurde ausgesetzt. Apple erklärte damals, dass man sich sich zu dem Schritt entschlossen habe, um der Entwickler-Community mehr Zeit zum Umbau ihrer Anwendungen zu geben.

Cupertino weiß also bescheid und besteht vorerst nicht auf die ATS-Integration. Hier hängt sich die ZEIT auf und schreibt:

Ob die Entwickler aller 111 betroffenen Apps valide Gründe genannt haben, ATS zu ignorieren, oder ob es im Überprüfungsprozess von Apple Schwächen gibt, bleibt unklar. Apple will sich auf Anfrage von ZEIT ONLINE nicht dazu äußern.