Tracking in Apps So gefährdet der Geräte-Fingerabdruck Firmengeheimnisse

Geräte-Fingerprinting ist eine Technik, mit der mobile Geräte App-übergreifend eindeutig identifiziert werden können.

Bild: publish-industry, DALL·E
22.10.2024

Um Smartphones und Tablets App-übergreifend eindeutig zu identifizieren wird oft „Geräte-Fingerprinting“ verwendet – ganze 64 Prozent der in einer Studie getesteten Apps nutzen die Technik. Da Smartphone oder Tablet meist nur von einer Person genutzt werden, lassen sich mit diesem Geräte-Fingerabdruck persönliche Daten erbeuten und das Verhalten von Nutzern nachverfolgen. Das wiederum bringt Firmengeheimnisse in Gefahr.

Um Smartphones und Tablets App-übergreifend eindeutig zu identifizieren, nutzen Werbetreibende einen sogenannten technischen Fingerabdruck: Dieser besteht aus einer Vielzahl von Geräteinformationen wie die Version des Betriebssystems, dem Gerätenamen, Art des Geräts... Jede Information für sich ist nicht eindeutig, aber zusammengenommen ergibt sich eine eindeutige Identifikationsmöglichkeit für ein mobiles Gerät. Da auch personenbezogene Informationen erfasst werden, lässt sich oft auch die Person identifizieren, die das Gerät nutzt.

Wenn Mitarbeitende Apps mit Geräte-Fingerprinting auf ihren mobilen Unternehmensgeräten installieren, kann das für Unternehmen den Verlust sensibler Geschäftsdaten zur Folge haben. Angreifer können die gesammelten Daten erwerben und dadurch unter Umständen die Geräte der Firmenleitung identifizieren, Firmengeheimnisse ausspionieren und Kundenkontakte ermitteln. In der Praxis zeigt der Cambridge-Analytica-Fall, wie mit ausreichend Daten aus verschiedenen Quellen die Nutzer analysiert und manipuliert werden können.

Weitreichender Einsatz von Fingerprinting

Fraunhofer-SIT-Wissenschaftler haben nach einem Scan der Top-1.000-Android-Apps herausgefunden, dass 64 Prozent der Apps Geräte-Fingerabdrücke nutzen. Außerdem haben sie 30.000 Domains aus den beliebtesten 2.000 iOS- und Android-Apps extrahiert und die am weitesten verbreiteten Fingerprinting-URLs herausgefiltert. Über das Blocken dieser URLs lässt sich in ungefähr 80 Prozent aller Fälle das Tracking über Geräte-Fingerabdrücke verhindern.

Auf diese Geräte-ID greifen auch Werbe- und Analysefirmen für ihr Tracking zurück und können damit über viele Apps hinweg das Nutzerverhalten analysieren. Damit umgehen sie Cookie-Banner in Webbrowsern, die vor Dienste im Internet vorgeschaltet sind und Nutzern die Möglichkeit einräumen, über die Verwendung und Verarbeitung ihrer Daten selbst zu entscheiden. Consent-Banner in Apps sollen den Nutzer über diese Datennutzung aufklären, setzen jedoch häufig Tricks ein, um den Nutzer zur Zustimmung zu verleiten.

Auf der it-sa stellen die Fraunhofer-Experten ihre Forschungsergebnisse vor. Darüber hinaus zeigen sie die Lösung „Appicaptor“, die Apps scannt und prüft, ob diese mit den Unternehmens-Sicherheitsrichtlinien konform sind. Für den it-sa-Messeauftritt haben die Mobile-Security-Experten außerdem ein Smartphone-Spiel entwickelt, auf dem trickreiche Cookie-Banner gezeigt werden. Wer am Ende die wenigsten digitalen Cookies eingesammelt hat, erhält als Preis einen leckeren analogen Cookie/Keks.

Verwandte Artikel