App-Entwicklung oft außer Kontrolle

(firmenpresse) - Weil bei den mobilen Anwendungen von Unternehmen häufig der Fokus ausschließlich auf Funktionalitäten und Design gerichtet wird, weist nach einer Untersuchung der TÜV TRUST IT heute jede zweite App erhebliche Sicherheitsmängel auf. Entwicklungsrichtlinien des Security-Spezialisten helfen, die Weichen für sichere und vertrauenswürdige Apps zu stellen.

Seitdem die Unternehmen den Nutzen mobiler Dienste erkannt haben, sprießen die Apps als Instrumente des Kundenservice und Marketings wie Pilze aus dem Boden. Sie werden von den Firmen für immer speziellere Anforderungen oder für mehr Komfort im Alltag entwickelt. Diese rasante Entwicklung zeigt sich darin, dass allein der App-Store mit seinen mobilen Anwendungen für die iPhone-Nutzer auf rund 900.000 Apps angewachsen ist.

Doch was häufig von den Marketingabteilungen der Unternehmen als imagesteigernde Maßnahme zur Kundengewinnung und -bindung initiiert wird, kann sich später als Sicherheitsproblem für die Benutzer erweisen und schlechtestenfalls zum Bumerang für den Geschäftskontakt werden. Häufig öffnen sicherheitstechnische Mängel in Apps auf den Smartphones der Kunden Tür und Tor für Datendiebe. Die Konsequenz: selbst sensibelste Daten können völlig unkontrolliert abfließen.

Gute, hinterhältige und ungewollt-gefährliche Apps

Für Detlev Henze, Geschäftsführer des Sicherheitsspezialisten TÜV TRUST IT GmbH, sind dies keineswegs Einzelfälle. Rund 45 Prozent der über 1.000 von seinem Unternehmen getesteten Apps übertragen Handy-Daten an spezielle Werbenetzwerke und Datensammler. Nach Angaben des Webservice flurry.com ist deren Analysefunktion heute bereits in rund 350.000 Apps auf über einer Milliarde Endgeräten implementiert. Seine Schlussfolgerung aus diesen Analysen ist eine generelle Kategorisierung der mobilen Anwendungen: „Apps sind entweder gut, hinterhältig oder ungewollt-gefährlich.“ Unter guten mobilen Anwendungen versteht er solche, die nach klar definierten Sicherheitsanforderungen entwickelt wurden und nicht heimlich auf Daten zugreifen. Als hinterhältig bezeichnet er solche Apps, deren Geschäftsmodell dem Nutzer nicht klar ist und die primär der Datensammlung oder dem Ausspähen durch Dritte dienen. So ermitteln rund 44 Prozent der Apps über eine eingeschaltete Lokalisierungsfunktion den Standort des Nutzers. Immerhin noch 8 Prozent greifen regelmäßig auf das Adressbuch zu und übertragen die Daten ungefragt auf einen Server im Internet.



Zu der dritten Kategorie, der ungewollt-gefährlichen Mobilanwendungen, zählt Henze vor allem solche, die unter hohem Zeitdruck und ohne klar spezifizierte Sicherheitsanforderungen auf den Markt gebracht werden. „Sie verfolgen einen gut gemeinten Ansatz, weisen aber in der Realisierung wesentliche Schwächen auf.“ Die Ursache dafür sieht der Security-Fachmann vor allem in der Beauftragung durch das Marketing oder die Business-Abteilungen. „Die Funktionalitäten und das Design stehen dabei im Vordergrund, während die Sicherheit oft vernachlässigt wird.“

Hinzu kommt nach seinen Beobachtungen, dass die Entwicklung der Apps häufig aus Kostengründen Programmierern in Ländern mit geringerer Sensibilität für Sicherheit und Datenschutz übertragen wird. Eine weitere Ursache bestehe darin, dass in Unkenntnis möglicher Sicherheitsrisiken Programmteile aus bereits vorhandenen Apps zusammengeführt werden, um den Entwicklungsaufwand zu minimieren.

Entwicklungshilfe für die sichere Programmierung

TÜV TRUST IT hat diese Situation zum Anlass genommen, praxisgerechte Entwicklungsprinzipien für mobile Anwendungen zu konzipieren. Sie sind eine Komponente des AppCheckers, einer Lösung zur systematischen Identifikation sicherheitskritischer Anwendungen auf den mobilen Geräten. Zentrales Element ist ein Prüf-Framework, das alle relevanten Bedrohungen für und durch Apps auf einem mobilen Endgerät ermittelt.

Anhand von Prüfkriterien in Verbindung mit einem definierten unternehmensindividuellen Risikoprofil wird so beispielsweise der Netzverkehr der betreffenden Apps ermittelt und geprüft, ob sie versteckte Funktionen zum unauthorisierten Zugriff auf Handydaten enthalten. Weiterhin wird auch auf eine für die App unnötige Geo-Lokalisierung oder auf fehlende Datenverschlüsselung geprüft. Die teilautomatisierten Analysen erfolgen sowohl mittels einer Wissensdatenbank der Prüf-Engine als auch durch ergänzende manuelle Prüfungen. Als Ergebnis werden die untersuchten Apps entsprechend ihres Risikogrades auf White- und Blacklists gesetzt.

„Mit dem zusätzlichen Entwicklungs-Framework zielen wir darauf ab, dass bereits zu Beginn des Entwicklungsprojektes die richtigen Weichenstellungen erfolgen“, erklärt Henze. Es basiert auf einem Threat Model. Dahinter verbirgt sich eine methodische Bedrohungsanalyse, mit der alle Risiken für den Datenschutz und die Datensicherheit in und durch Apps identifiziert werden können. Zu jeder Bedrohung sind generische Maßnahmen und plattformspezifische Entwicklungshinweise hinterlegt, die bis auf Code-Ebene ausformuliert sind. Die Entwickler erhalten dadurch ein Werkzeug für die Erstellung sicherer und vertrauenswürdiger Apps.

Bei positiver Prüfung durch TÜV TRUST IT kann zudem eine „TÜV Trusted“-Zertifizierung erlangt werden, damit Unternehmen gegenüber den Benutzern einen objektiven Sicherheitsnachweis geben können. Bisher sind mit Apple iOS, Android, Black Berry und Windows Phone die vier gängigsten Mobile-Plattformen im Richtlinien-Tool berücksichtigt, gegenwärtig wird es für die Plattform Windows Mobile 8 erweitert.
Unternehmensinformation / Kurzprofil:
Bereitgestellt von Benutzer: Denkfabrik
Datum: 22.01.2014 - 19:16 Uhr
Sprache: Deutsch
News-ID 1008888
Anzahl Zeichen: 5680

Kontakt-Informationen:
Ansprechpartner: Robin Heinrich
Stadt:

50354 Hürth

Telefon: 02233 6117-75

Kategorie:

Internet

Meldungsart: bitte
Versandart: Veröffentlichung
Freigabedatum: 22.01.2014

Diese Pressemitteilung wurde bisher 428 mal aufgerufen.

Doppelte E-Commerce-Chance für Großhändler ...
Zwar haben sich Großhändler in ihrer klassischen Funktion typischerweise zwischen den Lieferanten und dem Einzelhandel positioniert. Eine Doppelstrategie im E-Commerce eröffnet ihnen aber die Möglichkeit, auch die Endkunden unmittelbar zu adressieren. „Die höheren Wachstumspotenziale im e

Kundenportal für die Müllentsorgung in Düsseldorf erhält Sicherheits- und Qualitätszertifizierung ...
Über das Kundenportal der AWISTA Gesellschaft für Abfallwirtschaft und Stadtreinigung mbH für die Abfallentsorgung in Düsseldorf stehen den Immobilien-verantwortlichen vielfältige Selfservices zur Verfügung, die über PCs oder mobile Endgeräte genutzt werden können. Damit die Kunden dabei au

Stärkerer Business-Fokus bei den IT-Services durch rollenbasiertes Prozessmodell ...
Zunehmend setzt sich in den IT-Organisationen die Position des Business Service Managers für die Betreuung der Geschäftsbereiche durch. Dies geht mit entscheidenden Veränderungen in den Verantwortlichkeiten einher, da er in seiner koordinierenden und steuernden Funktion einen unmittelbaren Durchg

Weitere Mitteilungen von denkfabrik groupcom GmbH

Flexibel und produktiv: HP All-in-One PCs mit Android gibt es jetzt auch für Unternehmen ...
HP stellt die neuen All-in-One (AiO) PCs vor: Schlanke Kraftpakete, die im Büro Platz sparen und optimal vernetzt die Produktivität steigern. Ein besonderes Highlight ist der erste built-for-business Android[TM] AiO von HP. Mit diesem weiterentwickelten Portfolio reagiert HP auf die st

Bauer Media Group kauft Gebrauchtwagen.de ...
Die Bauer Digital KG hat zum 1. Januar 2014 das Autoportal Gebrauchtwagen.de von der Sparkassen-Finanzportal GmbH, dem Internet-Dienstleister der Sparkassen-Finanzgruppe, übernommen. Gebrauchtwagen.de ist die Nummer 3 unter den Gebrauchtwagenbörsen im Internet, hinter autoscout24.de und mobile

Update des mobilen Reiseführers von Das Örtliche / Ab auf die Piste mit der Harz-App! ...
Goslar, 22. Januar 2014 - Das Örtliche hat die Harz-App um den Hauptmenüpunkt "Winter im Harz" erweitert. Der vom August Thuhoff Verlag und weiteren Telefonbuchverlagen entwickelte mobile Freizeit- und Reiseführer informiert nun auch über Skigebiete und Langlaufstrecken inklusive P

eco startet neue Zertifizierungsrunde für Datacenter ...
- Expansion nach Luxemburg, Frankreich und Österreich: Europas größter Verband der Internetwirtschaft zertifiziert nunmehr auch Rechenzentren im benachbarten Ausland - Mit dem datadock der Plusserver AG wurde das erste französische Rechenzentrum erfolgreich mit fünf St