Informations-Overkill hin oder her: Smartphones sind auf dem Vormarsch, wie die Verkaufszahlen von iPhone, Blackberry, Android- und Windows-Mobile-Geräten zeigen. Mit einem ausgewachsenen Browser und funktionsreichem Betriebssystem ausgestattet, bieten Smartphones fast unerschöpfliche Anwendungsmöglichkeiten, auf der anderen Seite aber auch deutlich mehr Gelegenheit für Malware-Attacken als einfache Mobiltelefone – und sogar im Vergleich zum PC zusätzliche Angriffsflächen wie Phishing und Spam via SMS oder die ungewollte Anwahl teurer Mehrwertdienstnummern.
Zwar werden die Schadcode-Autoren durch die Vielfalt der Mobilbetriebssysteme in ihren Aktivitäten etwas behindert, aber dennoch verzeichnen die Sicherheitsanbieter immer mehr Angriffe auf die Integrität des mobilen Nomaden, zum Beispiel in Form von Smartphone-Trojanern, Handy-Spyware, SMS-Spam oder schlichtem Datenklau durch Aneignung des Geräts selbst. Kein Wunder, dass viele Anbieter von Sicherheitslösungen für PCs und Server heute auch Produkte zum Schutz von Smartphones anbieten, sei es als stand-alone-Paket für den Einzelanwender oder integriert in die Management-Umgebung ihrer Enterprise-Lösungen.
«Man läuft viel eher Gefahr, sein Smartphone im Fond eines Taxis zu vergessen als zum Opfer eines Hackerangriffs zu werden», stellte ein Security-Consultant kürzlich fest. Die beste Schutzmethode sei demnach, möglichst keine sensitiven Daten auf dem Gerät zu speichern. Das ist in der Praxis allerdings eher ein frommer Wunsch: Nur schon die eingehenden E-Mails enthalten ja meist geschäftliche oder persönliche Informationen, die man nicht Hinz und Kunz offenbaren möchte. Es empfiehlt sich deshalb, die E-Mail-Box und auch den SMS-Eingang regelmässig zu leeren und nur die wirklich unerlässlichen Informationen auf dem Gerät zu behalten. Archivieren sollte man sensitive Daten eigentlich nur in verschlüsselter Form – einige Mobile-Security-Lösungen bieten entsprechende Funktionen.
Ebenfalls essentiell: Das Gerät sollte durch ein Passwort abgesichert werden, das jeweils eingegeben werden muss, wenn das Smartphone nach einer gewissen Zeit der Inaktivität wieder benutzt werden soll. Das ist in der Praxis zwar etwas lästig, liefert jedoch einen elementaren Grundschutz. Es versteht sich von selbst, dass auch die Abfrage des SIM-PIN beim Einschalten des Geräts keinesfalls deaktiviert werden darf. Ebenso selbstverständlich sollte kein allzu schwaches Passwort gewählt werden – hier gelten, auch wenn die Eingabe auf der Mini- oder Onscreen-Tastatur mühsamer sein mag, die gleichen Regeln wie beim Desktop-PC oder dem Enterprise-Login. Geht das Smartphone doch einmal verloren oder wird es gestohlen, erweisen sich «Remote Lock» und «Remote Wipe» als nützlich. Diese Features sind bei einigen Smartphone-Betriebssystemen wie dem iPhone OS Standard. Für andere Plattformen steht die Funktionalität teils in den hier präsentierten Security-Suiten zur Verfügung, aber längst nicht bei allen Produkten.
Mit Remote Lock lässt sich das Gerät via SMS sperren, Remote Wipe löscht aus der Ferne alle Daten auf dem Smartphone. Damit dabei kein Datenverlust entsteht, sollten möglichst sämtliche gespeicherten Informationen regelmässig mit einem PC oder einem Online-Service synchronisiert werden; am bes-ten ist das automatische Backup des gesamten Speichers wie beim iPhone. Bei der Android-Plattform sind Kontakte, Termine und Mails von Natur aus verlustsicher in der Cloud gelagert und damit von einem anderen Gerät jederzeit wieder zugänglich.
Können Mobiltelefone von Viren befallen werden? Durchaus: speziell auf Mobilbetriebssysteme wie Symbian und Windows Mobile abgestimmte Malware gibt es seit Jahren, und auch das iPhone wurde – wenn auch bloss für «illegal» entsperrte Geräte relevant – bereits von mehreren Würmern heimgesucht. Es ist eigentlich erstaunlich, dass bisher trotzdem keine grösseren Schadensfälle gemeldet wurden.
Vom Prinzip her gefährlicher als plattformspezifischer Schadcode sind E-Mail- und Web-basierte Attacken, die den Nutzer auf eine verseuchte Webseite locken, die dann entweder das Mobilgerät selbst oder per E-Mail- oder SMS-Versand sogar andere Nutzer angreifen. Auch Phishing funktioniert auf dem Smartphone so gut wie auf dem PC – oder vielleicht sogar besser: Mobil geht man meist noch gehetzter mit E-Mails und Websites um als auf dem PC und klickt einen zweifelhaften Link vielleicht eher an. Auch Phishing per SMS ist möglich und hat mit «Smishing» bereits einen Szenebegriff erhalten.
Malware-Angriffe per SMS wurden zumindest als Proof-of-Concept schon des öfteren gezeigt. So könnte zum Beispiel der Absender einer Meldung gefälscht und der Nutzer so auf eine verseuchte Seite gelenkt werden, die vorgeblich von seinem Mobilfunkprovider stammt. Oder bei der Antwort auf eine vermeintlich seriöse SMS werden saftige Gebühren fällig oder sogar eines der berüchtigten SMS-Abos ausgelöst.
Übers Ganze gesehen kann sich die Installation einer Smartphone-Security-Suite durchaus lohnen. Spezielle Sicherheitssoftware fürs Smartphone eignet sich besonders auch für Anwender, die nicht von sich aus mit der nötigen Vorsicht vorgehen und gerne mal übereilt antworten oder einen Link anklicken – oder für Unternehmen, die ihren Mitarbeitern Smartphones zur Verfügung stellen und dabei ähnliche Sicherheitsrichtlinien umsetzen möchten wie auf Desktop-PCs und Notebooks. In diesem Fall sollte aber nicht eines der für den Privat- und Einzelanwender konzipierten stand-alone-Pakete gewählt werden, sondern eine Lösung, die die zentrale Verwaltung der ganzen Smartphone-Flotte erlaubt.
Unsere Marktübersicht zeigt rund ein Dutzend Mobile-Security-Lösungen, die als Grundfunktion zumeist einen Malware-Scanner und eine Firewall bieten. Damit lassen sich der interne Speicher und eine allfällige Speicherkarte bei Bedarf auf Schadcode absuchen, und der Datenverkehr wird in Echtzeit überwacht. Idealerweise deckt die Software sowohl den Mobilfunk- als auch den WLAN- und Bluetooth-Traffic ab und berücksichtigt den SMS-Eingang ebenso wie den Webbrowser, den E-Mail-Client.
Einige Lösungen warten darüber hinaus mit einem Spamschutz auf, der in erster Linie auf SMS-Spam abzielt – Spam per E-Mail sollte ja ohnehin bereits auf dem Server abgefangen werden. Nicht bei allen Lösungen inklusive sind Funktionen zur Datenverschlüsselung und Diebstahlschutz mit Fernsperrung und Fernlöschung. Nur einzelne Produkte bieten eine integrierte Backup-Funktion zur Sicherung des gesamten Datenbestands.
Ein Teil der Lösungen stammt von den bekannten Security-Anbietern wie Kaspersky, McAfee oder Symantec, einige weitere Produkte kommen von Mobilfunkspezialisten wie Simworks, die daneben auch Software und Services für Mobilfunkbetreiber im Portefeuille haben. Die meisten Produkte sind für Windows Mobile und Symbian erhältlich, einige wenige berücksichtigen das Palm-Betriebssystem. Android-spezifische Suiten sind noch selten, und fürs iPhone gibt es bisher mit Ausnahme der Gratis-App Trendsurfing von Trend Micro, einer Art abgesichertem Webbrowser, keine Security-Software. Einige Highlights aus dem Angebot in alphabetischer Reihenfolge:
? Der US-Hersteller Airscanner, spezialisiert auf Windows Mobile, hat die Funktionen Antivirus, Firewall und Verschlüsselung (mit 168-Bit 3DES) auf separat erhältliche Produkte aufgeteilt, bietet aber auch mehrere Bundles an. Die hier vorgestellte Kombination «Mobile Security Bundle» enthält die drei genannten Komponenten. Daneben gibt es noch den «Sniffer» mit Funktionen wie Packet Monitoring, konfigurierbarem Paketfilter und Statistik und die «Powertools» mit erweitertem Gerätemonitoring. Generell sind die Produkte relativ teuer und vor allem für den technisch interessierten Windows-Mobile-Anwender interessant.
? Die Mobile-Security-Lösung Bullguard Antivirus bietet nur die Grundfunktionen Antivirus, Firewall und Antispam, dies aber mit einem Preis von knapp 60 Franken für die 5-Geräte-Lizenz zu besonders güns-tigen Konditionen.
? Das Check-Point-Produkt Pointsec Mobile, übernommen vom gleichnamigen ursprünglichen Hersteller, ist die grosse Ausnahme in der Übersicht: Es handelt sich nicht um eine Antivirus/Firewall-Suite, sondern um eine Datenverschlüsselungslösung mit starker Authentifizierung, die auch die «PicturePIN»-Methode unterstützt, die auf Geräten ohne Keyboard zum Zug kommt. Die Daten werden ohne Zutun des Anwenders in verschlüsselter Form im internen Speicher oder auf der Speicherkarte abgelegt.
? Bei Symantec gibt es zwei mobile Sicherheitslösungen: Neben dem Einzelanwenderprodukt Norton Smartphone Security, das für Windows Mobile und Symbian zu haben ist, bietet der gelbe Sicherheitsriese auch die Enterprise-Lösung Mobile Security Suite an – diese allerdings nur für Windows-Mobile-Geräte.
