Autor: causa-finita

Um sein unsicheres Smartphone wenigstens etwas sicherer zu machen, sollte man zunächst eine wirksamere Display-Sperre (Pin oder besser Passwort) einrichten. Dabei muss man abwägen zwischen der Bequemlichkeit, sein Gerät schnell entsperren zu können und der Sicherheit, die ein starkes Passwort bietet. Bei einer 4-stelligen PIN gibt es lediglich 10.000 (10⁴) mögliche Kombinationen. Diese sind im Zweifelsfall mittels spezieller Soft- und Hardware schnell durchprobiert.

Zusätzlich dazu sollte man sein Mobiltelefon komplett verschlüsseln. Die Vollverschlüsselung verhindert, dass das Gerät, nachdem es ausgeschaltet ist, einfach ohne Eingabe eines sicheren Passwort wieder eingeschaltet werden kann. Außerdem sind die Daten während das Gerät ausgeschaltet ist wirksam geschützt. Die Vollverschlüsselung gibt es für Android (Anleitung) und iOS (Anleitung). Äußerst ungeschickt ist, dass die Passwörter für die Vollverschlüsselung des Geräts, sowohl bei Android, als auch bei iOS identisch mit dem Passwort für den Sperrbildschirm sind. Dadurch hat man lediglich die Wahl ein möglichst sicheres (langes) Passwort zu wählen und den Mehraufwand in Kauf zunehmen oder sich mit einem schlechteren Passwort zu arrangieren. Wer sein Android-Telefon gerootet hat, kann mit der App „Cryptfs Password“ die Passwörter nachträglich trennen.

Wenn es um Datenschutz und Datensicherheit geht, sind Smartphones oder andere Mobilgeräte mit äußerster Vorsicht zu betrachten. Dies hat viele Gründe, einige davon sind:

• Die Diebstahlsgefahr: Ein Smartphone hat man in der Regel fast immer dabei. Das ermöglicht staatlichen Stellen oder Dritten einen leichteren Zugriff auf die Hardware.
• Die Datenmenge: Während früher auf einem Mobiltelefon schlimmsten Falls (bei schlechter Daten-Hygiene) einige hundert SMS und eine lange Anrufliste zu finden waren, enthält ein Smartphone heute möglicherweise Zugangsdaten für Emailkonten oder andere Webdienste, zahlreiche App-Daten und vieles mehr.
• Die Angriffsfläche: Ein modernes Smartphone hat zahlreiche Schnittstellen (z.B. Mobilfunk, Wlan, USB, GPS, Bluetooth und NFC). Jede dieser Schnittstellen kann potentiell für Angriffe genutzt werden.
• Malware und Sicherheitslücken: Es gibt zahlreiche Sicherheitslücken und Schadprogramme für Smartphones, die diese Ausnutzen und es werden täglich mehr: Beispiel 1, Beispiel 2.
• Die Darstellung:  Auf Grund der Bildschirmgröße und dem eingeschränkten Funktionsumfang lassen sich einige Informationen schlecht überprüfen. Es ist z.B. einfacher dem Nutzer eine falsche URL oder Email unter zu schieben.

Dieser Gefahren sollte man sich bewusst sein und versuchen möglichst wenige Daten in seinem Mobilgerät abzulegen (Stichwort: Datensparsamkeit und Datenvermeidung). Gerade sensible Daten sollte man seinem Smartphone besser nicht anvertrauen. Es ist beispielsweise nicht zu empfehlen seine Kontakte so zu gruppieren oder zu benennen, dass über die Kontaktdaten hinaus Rückschlüsse gezogen werden können.

Im Übrigen sollte man versuchen sein Smartphone mit verschiedenen Methoden wenigstens etwas sicherer zu machen. Einige davon werden hier nach und nach vorgestellt.

TextSecure/RedPhone bzw. Signal (entwickelt von Open Whisper Systems) ermöglicht verschlüsselte Kommunikation (Textnachrichten und Gespräche) für Android und iOS. Dafür wird standardmäßig eine Ende-zu-Ende-Verschlüsselung verwendet, die auf Axolotl und damit auf OTR basiert. Die verschlüsselten Nachrichten werden via WLAN oder über Datennetz (3G-LTE) versendet. Verschlüsselt wird nur der Inhalt der Nachrichten, so dass Verbindungsdaten (z.B. Wer schreibt mit wem) dennoch erhoben werden können. Die Software ist Open-Source und wird regelmäßig weiterentwickelt und gewartet.

Zur Zeit gibt es für Android und iOS unterschiedliche Apps, die zwar kompatibel zueinander sind, aber einen unterschiedlichen Funktionsumfang bieten. Während die Android-App zahlreiche weitere sinnvolle Einstellungsmöglichkeiten bietet (z.B. Schutz der App mit Passwort, Automatisches Löschen von Gesprächen ab einer bestimmten Länge), stehen diese Funktionen unter iOS noch nicht zur Verfügung. In der Zukunft soll eine App für beide Betriebssysteme zur Verfügung stehen.

Die Installation der jeweiligen App ist kinderleicht.

• Redphone im Google Playstore
• TextSecure im Google Playstore
• Signal im Google Playstore
• Signal-App im iTunes-Store

Edit vom 07.11.15: Zwischenzeitlich hat das Team von OpenWisperSystems das Ziel TextSecure und Redphone auch unter Android zu der App „Signal“ zusammenzuführen ereicht. Aus diesem Grund muss man auch unter Android in Zukunft nur eine App installieren.

Update vom 17.11.16: Ein Team von internationale IT-Sicherheitsexperten hat das Verschlüsselungsprotokoll von Signal untersucht und ist zu dem Ergebnis gekommen, dass das Kernkonzept als sicher zu bewerten ist. Das Ergebnis der Untersuchung findet ihr hier.