Datenschutz und Sicherheit: Android vs. iOS – Teil2

1. Android vs. iOSAndroid vs. iOS

Im ersten Teil der Artikelserie haben wir den Datenschutz der beiden Systeme (Android und iOS) beleuchtet bzw. einander gegenübergestellt. Das Fazit in einem Satz:

Beim Schutz seiner Daten kann sich der Nutzer weder auf Google noch Apple verlassen.

Vorliegend möchte ich nun die Sicherheit der Systeme bewerten. Dazu werden wie bereits im ersten Teil drei unterschiedliche Konstellationen betrachtet:

Aufgrund der Offenheit des Android-Universums könnten noch zahlreiche weitere Konstellationen betrachtet werden. Der Grund: Egal ob Samsung, Sony, Xiaomi oder Motorola – nahezu alle Anbieter nehmen an Android Modifikationen vor und liefern ihre Geräte mit Bloatware aus, die sich negativ/positiv auf die Privatsphäre bzw. Sicherheit auswirken können.

Im vorliegenden Beitrag möchte ich mich allerdings auf die drei genannten Konstellationen beschränken.

Dieser Beitrag ist Teil einer Artikelserie:

2. Sicherheit

Sowohl Android als auch iOS implementieren Schutzmechanismen, die den Nutzer bzw. seine Daten schützen. Es sind eher andere Faktoren, die die Sicherheit der Systeme stark (negativ) beeinflussen.

Du kannst den Blog aktiv unterstützen!

Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.

Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.

Mitmachen ➡

2.1 Sicherheitsarchitektur | Schutzmechanismen

Allgemein gilt: Die Sicherheitsarchitektur von mobilen Systemen wie Android (Standard) und iOS ist herkömmlichen Desktop-Systemen überlegen, bei denen Nutzer in der Regel die Möglichkeit haben, tief ins System einzugreifen. Nicht selten installieren sich (unbedarfte) Nutzer dann Schadsoftware, die die erhöhten Rechte ausnutzen. Auf Android (Standard) und iOS werden Apps in einem eigenen isolierten Bereich (Sandbox) ausgeführt und damit (vollständig) vom System getrennt. Erst die sogenannten Berechtigungen (bspw. Kamera, Kalender etc.) ermöglichen den beschränkten Zugriff auf bestimmte Informationen/Schnittstellen des Systems bzw. der Nutzerdaten:

Keine Sandbox
Sandbox

Ummantelt wird die Sicherheitsarchitektur durch systemeigene Schutzmaßnahmen wie Verified Boot (Android), Low-Level Bootloader (LLB)/iBoot (iOS) Berechtigungsmodell und Exploit-Mitigations (ASLR, SSP, Shadow Call Stack etc.). Gemeinsam mit einer Geräteverschlüsselung und einer »sicheren« Entsperrmethode (wie langes Passwort/PIN oder biometrischer Fingerabdruck) bieten sowohl Android als auch iOS eine hohe Sicherheit gegenüber Angreifern.

Android (GrapheneOS) erweitert die von Android bekannten Schutzmechanismen wie Verified Boot etc. um weitere Maßnahmen. Diese sollen den Nutzer bzw. das Gerät umfangreicher vor der Ausnutzung unbekannter Schwachstellen schützen. Unter anderem wird die App-Sandbox durch die Härtung von SELinux- und seccomp-bpf-Richtlinien verbessert und Angreifern dadurch erschwert, potenzielle Lücken ausnutzen.

Zwischenfazit: Mobile Systeme bieten oftmals ein höheres Sicherheitsniveau als der (heimische) PC oder das Laptop. Sowohl Android (Standard) als auch iOS implementieren Schutzmechanismen, die den Nutzer bzw. seine Daten schützen sollen. Und diese wurden über die Jahre kontinuierlich verbessert. Betrachtet man ausschließlich die Sicherheitsarchitektur und Schutzmechanismen der beiden Systeme, gibt es keinen klaren Gewinner. Nur Android (GrapheneOS) setzt sich nochmals mit weiteren Maßnahmen ab, die das System bzw. den Nutzer insbesondere vor unbekannten Schwachstellen (besser) schützen sollen. Für professionelle Spionage-Software wie Pegasus und Co. wäre das Ausnutzen einer Schwachstelle unter GrapheneOS aufwendiger. Das bedeutet: Man wäre zwar nicht komplett immun gegen solche Angriffe, aber die zusätzlichen Schutzmaßnahmen würden eine Ausnutzung der Schwachstelle erheblich erschweren bzw. könnten diese auch verhindern.

2.2 Sicherheitsupdates | Sicherheitslücken

Was die Bereitstellung von Sicherheitsupdates anbelangt, sind Google und Apple ungefähr auf Augenhöhe. Bekannt gewordene bzw. aufgespürte Sicherheitslücken werden regelmäßig beseitigt und Updates bereitgestellt.

Einen (großen) Unterschied gibt es dennoch: Während Apple die eigenen Geräte meist über einen längeren Zeitraum (bis zu 7 Jahre iPhone 6s/6s Plus) mit (Sicherheits-)Updates versorgt, sind Android-Nutzer auf die »Gnade« der Hersteller angewiesen. In der Android-Welt schaffen es viele Smartphone-Hersteller oftmals nicht, zeitnah Updates für ihre herstellerspezifischen Android-Versionen bereitzustellen oder unterstützen ältere Geräte aus Kostengründen einfach nicht mehr. Damit entsteht zwangsläufig ein »Vakuum« in der Android-Welt, das viele Geräte anfällig für kritische Sicherheitslücken macht. Dieses Geschäftsgebaren ist natürlich in Anbetracht der damit verbundenen Risiken für den Nutzer und seine Daten höchst bedenklich.

Bei den Pixel-Geräten (bis Pixel 5a (5G)) bietet Google (Sicherheits-)Updates für mindestens drei Jahre. Ab dem Pixel 6 sind es dann fünf Jahre. Aus meiner Sicht ist das noch immer zu wenig, da die Geräte auch nach fünf Jahren noch genug Leistung mitbringen, um jegliche Alltagsaufgaben zu erfüllen.

Zwischenfazit: Aufgrund der zeitnahen und verhältnismäßig langen Bereitstellung von (Sicherheits-)Updates hat Apple die Nase deutlich vorn. Android-Nutzer sollten sich vor dem Kauf eines Geräts gut informieren, wie lange der Hersteller Updates bereitstellen möchte. Um es klar zu sagen: iOS ist nicht sicherer als Android und umgekehrt. Aufgrund der längeren Bereitstellung von (Sicherheits-)Updates sind Apple-Nutzer allerdings im Vorteil bzw. »sicherer« unterwegs. Statistiken deuten an, dass ca. 80 % der genutzten Android-Smartphones über keine aktuellen Sicherheitsupdates verfügen. Diese Schätzung beruht auf der Annahme, dass alle Android-Versionen vor 11 von den Herstellern nicht mehr mit (Sicherheits-)Updates versorgt werden. Übrig bleiben also Geräte mit Android 11 und 12, die einen Anteil von ca. 45 % ausmachen. Da die Hälfte der Android-11-Nutzer höchstwahrscheinlich keine (Geräte-)Updates mehr erhalten, werden ca. 20 % der Nutzer mit aktuellen (Sicherheits-)Updates versorgt bzw. 80 % entsprechend nicht. Genaue Zahlen gibt es leider nicht, vermutlich sind es sogar über 80 % der Geräte, die keine aktuellen (Sicherheits-)Updates erhalten. Das damit einhergehende Risiko für das Gerät bzw. die darauf befindlichen (Nutzer-)Daten sind immens.

2.3 Schadsoftware | Ökosystem

Antiviren-Hersteller wie Kaspersky, AVG, Avast, Norton und Co. veröffentlichen regelmäßig Statistiken/Studien, die aufzeigen, wie bedroht mobile Plattformen wie Android und iOS sind. Mit horrenden Zahlen werden Nutzer verunsichert und sollen dazu bewegt werden, sich eine Virenscanner-App zu installieren. Aufgrund der hohen Verbreitung von Android (ca. 70 % Marktanteil weltweit) sind insbesondere Android-Nutzer eine lukrative Ziel-Gruppe für die Antiviren-Hersteller – aber eben auch für Bösewichte, die Schadsoftware verbreiten. Den wenigsten Nutzern ist allerdings bewusst: Für Android/iOS gibt es keine klassischen Viren, die sich von selbst verbreiten. Bösewichte/Kriminelle müssen Smartphone-Nutzer dazu bekommen, ein Schadprogramm zu installieren. Das bedeutet:

Damit eine schädliche App den Weg auf Android/iOS findet, müsst ihr sie selbst installieren.

In der Praxis schränkt die Sicherheitsarchitektur von Android/iOS die Funktionsweise von Virenscanner-Apps allerdings stark ein und macht sie im Grunde nutzlos. Schlimmer: Die vermeintlichen Sicherheits-Apps sind Datenschleudern, wie im Beitrag »Trügerische Sicherheit: Virenscanner-Apps sind schlichtweg überflüssig« aufgezeigt.

Die wohl häufigste Ursache für die Verbreitung von Schadsoftware auf Android/iOS ist der Nutzer selbst – gerade unter Android. Unter Android lassen sich Apps aus unterschiedlichen Quellen installieren. Dazu zählen bspw.:

  • Stores: App-Stores wie der Google Play Store
  • Links: Direktlinks zu Apps (APKs) auf dubiose/nicht vertrauenswürdige Webseiten
  • Empfangene Dateien: Zugesandte Apps (APKs) im E-Mail-Postfach oder Cloud-Speicher

Diese Freiheit hat ihren Preis: Die Installation einer App/APK-Datei, die nicht aus vertrauenswürdigen Quellen stammt, kann mit einem erheblichen Risiko für die Sicherheit/Privatsphäre einhergehen. Oftmals beinhalten diese Apps/APKs schädliche Funktionen wie das Auslesen persönlicher Informationen oder das Abgreifen von sensiblen Banking-TANs. Es ist also meist auf die Leichtsinnigkeit/Gutgläubigkeit eines Nutzers zurückzuführen, dass sich eine schädliche App (Schadsoftware) auf einem Android-System einnistet.

Im Gegensatz zu Android ist iOS ein strenger reglementiertes Ökosystem, bei dem die Installation aus unbekannten Quellen bzw. abseits von Apples App Stores nicht möglich ist – außer man umgeht diese Beschränkung durch einen Jailbreak. Das ist ein entscheidender Unterschied zu Android, denn diese Restriktion sorgt nämlich insgesamt für eine verschwindend geringe Anzahl an Schadsoftware im iOS-Universum. Im Gegensatz zu Android hat iOS also kaum/nicht mit Schadsoftware zu kämpfen.

Zwischenfazit: Ja, für Android und auch iOS gibt es Schadsoftware. Allerdings muss sich der Nutzer diese selbst installieren. Das tatsächliche Risiko, sich eine Schadsoftware auf Android/iOS einzufangen, ist in Wirklichkeit äußerst gering – sofern man einfache Verhaltensregeln (beschrieben unter »Wie kann ich Schadsoftware vermeiden?«) berücksichtigt. Aufgrund der Offenheit bzw. der Möglichkeit, sich Apps aus unbekannten Quellen zu installieren, ist die Android-Plattform allerdings ein Paradies für schädliche Apps und damit für Betrüger/Kriminelle/Bösewichte. Aus diesem Blickwinkel betrachtet, ist iOS als »sicherer« zu bewerten, da das streng reglementierte Ökosystem dafür sorgt, dass sich Nutzer keine Schadsoftware installieren (können).

2.4 Quelloffenheit bzw. Transparenz

Ein wichtiger Eckpfeiler der IT-Sicherheit ist Transparenz. Diese kann durch unterschiedliche Maßnahmen erreicht werden. Zu den wichtigsten zählt: Quelloffenheit/Open-Source. Quelloffenheit der Software bedeutet, dass der Quellcode frei für jeden einsehbar ist. Das macht die Software nicht per se sicher, sorgt allerdings für die notwendige Transparenz und ermöglicht eine Überprüfung des Quellcodes auf Fehler und Hintertüren. Verzichten die Entwickler dann noch auf Abhängigkeiten von unfreien Komponenten (bspw. Google Play Services) und Bibliotheken, nennt sich das Free and Open Source Software (FOSS).

Android ist abgesehen von proprietären Treibern für Modem und Co. komplett quelloffen. Erst wenn die Hersteller bzw. Google proprietäre Bestandteile (Google Apps usw.) ergänzen, wird das System »in Teilen« geschlossen. iOS hingegen ist fast vollständig proprietär (Ausnahme Darwin) und erlaubt dadurch nur einen begrenzten Einblick in den Quellcode. Bei iOS kann man also die Intransparenz bemängeln, die eine unabhängige Bewertung/Analyse nicht zulässt. Softwareseitig ist Android (Standard) insgesamt deutlich transparenter als iOS. Vollständige Transparenz erreicht man allerdings erst mit Android (GrapheneOS), wenn man dort auf die zusätzliche Installation der Google Play Services verzichtet – andernfalls ist die systemeigene Quelloffenheit auch hier eingeschränkt.

Zwischenfazit: Softwareseitig bietet Android insgesamt deutlich mehr Transparenz als iOS. Zur Wahrheit gehört allerdings auch, dass aufgrund der proprietären Hardwarechips (bspw. Baseband) eine vollständige Transparenz und damit Überprüfbarkeit/Vertrauenswürdigkeit bei beiden Systemen nicht erreicht werden kann. Die Anforderung nach Transparenz erfüllt Android (GrapheneOS) am ehesten.

3. Fazit

Während die Bewertung beim Datenschutz relativ klar und eindeutig war, ist sie bei der IT-Sicherheit komplexer. Je nachdem, wie/wo man den Schwerpunkt legt, gibt es einen anderen klaren Gewinner bzw. Verlierer. Schwerpunkte muss allerdings jeder für sich selbst definieren. Ein Beispiel: Wenn einem die möglichst lange Bereitstellung von (Sicherheits-)Updates wichtig ist, wird man eher zu iOS tendieren oder muss bei Android genau hinschauen, welchen Hersteller man wählt. Aufgrund der zeitnahen und verhältnismäßig langen Bereitstellung von (Sicherheits-)Updates hat Apple die Nase in dieser Kategorie deutlich vorn.

Unabhängig von den eigenen Schwerpunkten würde ich die IT-Sicherheit der Systeme in folgender Reihenfolge einordnen:

  • [1] Android (GrapheneOS): Die neuen Google-Pixel-Geräte werden mindestens fünf Jahre mit (Sicherheits-)Updates versorgt. Hält sich der Nutzer an einfache Verhaltensregeln (bspw. kein Sideloading von Apps) erhält er damit ein sehr sicheres System, dass sich durch zusätzliche Sicherheitsvorkehrungen nochmal von Android (Standard) bzw. iOS abhebt. Die softwareseitige Quelloffenheit sorgt für vollständige Transparenz und damit Vertrauen. Für Nutzer, die zusätzlich großen Wert auf Datenschutz legen, ist dieses System die erste Wahl.
  • [2] iOS: Ein entscheidender Vorteil von iOS gegenüber Android (Standard) ist die verhältnismäßig lange Versorgung mit (Sicherheits-)Updates. In Kombination mit dem restriktiven Ökosystem bietet Apple seinen Kunden ein sicheres mobiles Endsystem, dem es insgesamt allerdings an Transparenz mangelt. Dennoch ist iOS, gerade für den Durchschnittsnutzer, eine gute Wahl.
  • [3] Android (Standard): Das Schlusslicht bildet Android (Standard). Dieses insbesondere deshalb, weil viele Hersteller ihre Geräte nur über einen (sehr) kurzen Zeitraum mit (Sicherheits-)Updates versorgen. Nicht nur hinsichtlich der Umwelt ist das ein Skandal, sondern gerade auch im Hinblick auf die (Daten-)Sicherheit. In Anbetracht dieser bedenklichen Ist-Situation ist der Trend zum Mobile-Banking mehr als fragwürdig.

Sowohl Android als auch iOS implementieren Schutzmechanismen bzw. basieren auf einer Sicherheitsarchitektur, die den Nutzer und seine Daten schützen. Es sind eher andere Faktoren, die die Sicherheit stark (negativ) beeinflussen. Bei Android sorgt bspw. das Ausbleiben von (Sicherheits-)Updates für ein erhebliches Risiko. Die von Haus aus gegebene Möglichkeit, Apps aus unterschiedlichen Quellen zu installieren, erhöht das Risiko zusätzlich, da sich unbedarfte Anwender Schadsoftware bzw. schädliche Apps installieren. Probleme, die man bei iOS so nicht kennt.

Kennt man die Risiken von Android hingegen bzw. nutzt ein Gerät, das regelmäßig und über einen längeren Zeitraum mit (Sicherheits-)Updates versorgt wird, kann Android gegenüber iOS seine Transparenzvorzüge ausspielen. Wie man es auch dreht und wendet, letztendlich muss man die Risiken selbst abwägen und entscheiden, welchem System man den Vortritt gibt.

Bildquellen:

Sword: smashingstocks from www.flaticon.com is licensed by CC 3.0 BY

Über den Autor | Kuketz

Mike Kuketz

In meiner freiberuflichen Tätigkeit als Pentester / Sicherheitsforscher (Kuketz IT-Security) schlüpfe ich in die Rolle eines »Hackers« und suche nach Schwachstellen in IT-Systemen, Webanwendungen und Apps (Android, iOS). Des Weiteren bin ich Lehrbeauftragter für IT-Sicherheit an der Dualen Hochschule Karlsruhe, sensibilisiere Menschen in Workshops und Schulungen für Sicherheit und Datenschutz und bin unter anderem auch als Autor für die Computerzeitschrift c’t tätig.

Der Kuketz-Blog bzw. meine Person ist regelmäßig in den Medien (heise online, Spiegel Online, Süddeutsche Zeitung etc.) präsent.

Mehr Erfahren ➡

SpendeUnterstützen

Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leserinnen und Leser finanziert. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.

Folge dem Blog

Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:

Bleib aktuell ➡


Diskussion

Eine Ergänzung zu “Datenschutz und Sicherheit: Android vs. iOS – Teil2”

  1. Comment Avatar Boris sagt:

    Danke für den erhellenden Vergleich. Man kann gar nicht genug hervorheben, dass es fast immer der Besitzer selbst ist, der sich üble Software installiert und damit letzten Endes selbst sein eigenes System kompromittiert.

    Die Frage der Updatezyklen und der Ausstattung mit Sicherheitsupgrades gerade bei Android verschärft sich meiner Erfahrung nach noch, wenn man Tablets anstelle von Smartphones betrachtet. Diese werden wohl noch sporadischer mit Systemupdates versorgt als Smartphones, aber die Hardwarezyklen sind länger. Das heißt, es drängt sich nicht auf, nach drei oder vier Jahren ein neues Gerät zu kaufen und damit quasi nebenbei mit neuester Software versorgt zu werden. Das Tablet, auf dem ich gerade schreibe, ist ein 250-€-Gerät, das hardwaremäßig immer noch völlig ausreichend ist, aber aus 2015 stammt und eben nichts Neueres bekommt als Android 8.

    Das ist bedauerlich, aber ich sehe einfach nicht ein, mir nur wegen der aktuelleren Systemsoftware ein neues Gerät anzuschaffen, das mir hardwareseitig kaum mehr bringt als dieses.

    Ich denke, auch hier sind Apple-Nutzer deutlich besser – noch besser – versorgt.

HilfeWenn du konkrete Fragen hast oder Hilfe benötigst, sind das offizielle Forum oder der Chat geeignete Anlaufstellen, um dein Anliegen zu diskutieren. Per E-Mail beantworte ich grundsätzlich keine (Support-)Anfragen – dazu fehlt mir einfach die Zeit. Kuketz-Forum

Abschließender Hinweis

Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.

Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.