Zugriffsrechte von Apps richtig einschätzen

Jeder, der schon einmal eine App über den Store installiert hat, kennt diesen Sicherheitsmechanismus: Windows Phone listet auf, welche Zugriffsrechte eine App verlangt. Gewissenhafte Nutzer, die sich vor potenziell bösartigen Anwendungen schützen möchten, schauen hier genauer hin: Ist irgendeine Berechtigung aufgelistet, die für den Betrieb genau dieser App nicht plausibel erscheint?

Natürlich ist es richtig, Vorsicht walten zu lassen. Doch in manchen Fällen werden Apps zu Unrecht verdächtigt, Böses im Schilde zu führen. Beispielsweise ist es unter Windows Phone nicht möglich, im Hintergrund und ohne Wissen des Nutzers eine SMS zu verschicken. Wenn ein App-Entwickler die Funktion zum Verschicken von Kurznachrichten aufruft, lässt das Betriebssystem den Nutzer in jedem Fall zuerst über eine Maske bestätigen, ob er das auch wirklich wünscht.

Von größerem Interesse ist die Frage: Entwendet eine App von einem unbekannten Hersteller meine persönlichen Daten? Oder treibt sie anderen Schabernack? Bei manchen Rechteanforderungen kann man den Verdacht haben – oft ist er jedoch unbegründet. Wir geben eine Übersicht über vermeintlich bedenkliche und tatsächlich kritische Rechteanforderungen.

Identität

Der Anwender stößt im App Store häufig auf die Berechtigungsanforderung "Identität des Handys". Hierbei handelt es sich jedoch nicht etwa um die Telefonnummer des Nutzers oder dergleichen. Dieses Recht erlaubt der App lediglich, bestimmte Hardware-Spezifikationen, wie etwa den Namen des Smartphone-Modells abzufragen. Darüber hinaus kann der Entwickler wiederkehrende App-Aufrufe vom selben Gerät feststellen – dies jedoch ausschließlich über eine anonymisierte eindeutige Zahl, von der in keiner Weise auf die Telefonnummer oder sonstige Daten des Handy-Besitzers geschlossen werden kann.

Noch gefährlicher hört es sich an, wenn eine App die Berechtigung "Identität des Eigentümers" anfragt. Werden hier etwa Name und Adresse oder die bei Microsoft hinterlegte E-Mail-Adresse an den App-Entwickler weitergegeben? Nein, hier kann eindeutig Entwarnung gegeben werden. Der Programmierer erhält auch hier nur eine anonymisierte Zahl. Sie ist in diesem Fall nicht einem bestimmten Gerät zugeordnet, sondern dem bei Microsoft registrierten Account. So könnte der Entwickler etwa feststellen, dass der Benutzer mit der eindeutigen, aber anonymisierten Nummer 123 dieselbe App auf mehreren Geräten verwendet. Dies ist für ihn ausschließlich aus statistischen Gründen interessant, es werden keinerlei persönliche Daten des Nutzers weitergegeben – auch nicht die mit dem Account verbundene E-Mail-Adresse. Eine andere Nutzungsmöglichkeit wäre, Mehrfachinstallationen einer App mit demselben Account zu erkennen und auf diese Weise die Synchronisation von Daten zwischen mehreren Geräten anzubieten – ebenfalls ungefährlich und eher im Sinne des Nutzers.

Persönliche Daten

Kaum eine App kommt ohne die Berechtigung "Datendienste" aus. Mittels derer dürfen Apps Daten in das Internet senden beziehungsweise aus dem Netz empfangen. Ob zum Veröffentlichen eines Highscores, zur Abfrage einer Nachrichtenseite oder zum Einblenden eines Werbebanners innerhalb einer Anwendung: Ohne Internetanbindung fehlen einem Smartphone wichtige Anwendungsgebiete. Missbrauchspotenzial ergibt sich erst, wenn eine App zusätzlich Zugriff auf persönliche Nutzerdaten hat, die dann im Geheimen via Internet nach außen übertragen werden könnten. Wird etwa zusätzlich das Recht "Foto-, Musik- und Videobibliotheken" gefordert, könnte die Anwendung rein theoretisch private Fotos auslesen und heimlich an den Entwickler senden. Doch auch hier sollte man es mit der Paranoia nicht übertreiben: Bei den meisten Apps gibt es eine logische Erklärung dafür, dass diese Berechtigung benötigt wird – zum Beispiel dann, wenn das Programm dem Benutzer eine Sharing-Funktion für Mediendaten anbietet.

Hellhörig werden sollte man, wenn eine Anwendung das Recht "Ortungsdienste" einfordert. Mittels diesem können die GPS-Koordinaten des Handys abgefragt werden, das heißt die Anwendung stellt fest, wann Sie sich wo auf der Welt befinden. Navigations-Apps benötigen diese Info logischerweise zwingend, bei einem Tetris-Clone sollte den Nutzer solch ein Recht hingegen äußerst stutzig machen. Da jedoch das Bewegungsprofil nicht mit Ihrer realen Identität verknüpft werden kann, falls Sie nicht gerade innerhalb der App nach Ihrem Namen und Ihrer Adresse gefragt werden, ist auch diese Gefahr eher theoretischer Natur.

In eine ähnliche Richtung geht die Berechtigung "Termine". Eine App kann mit dieser Ihren Terminkalender auslesen, jedoch keine Termine ändern oder neue Termine hinzufügen. Hier sollte man ebenfalls berücksichtigen, dass die wahre Identität des Smartphone-Nutzers geschützt bleibt. So könnte eine bösartige App vielleicht feststellen, dass sich ein Nutzer am nächsten Sonntag zum Pizza-Essen außer Haus befindet. Um wen genau es sich dabei handelt, bleibt jedoch im Dunkeln. Auf Kalendereinträge mit geheimen Daten – wie etwa "heute bei E-Bay mit meiner Kreditkartennummer 1234567890 einkaufen" – sollte man ohnehin verzichten. Bei allen Anwendungen, für deren Funktionieren ein Kalenderzugriff plausibel erscheint, muss man also keine Bedenken haben.