App Security

Dr. App diagnostiziert die wichtigsten App Security Schwachstellen bei der Entwicklung und Nutzung von mobilen Enterprise Apps. Wie beim Fußball kommt es auf eine robuste Verteidigungsstrategie an.

Sie nutzen Apps in Ihrem Unternehmen oder planen deren Einsatz – und sind sich manchmal nicht sicher in puncto Sicherheit? In der Tat hat das Thema viele Facetten und es gibt ebenso viele Einfallstore für Missbrauch und Manipulation. Mögliche Schwachstellen liegen entlang des gesamten Entwicklungs- und Nutzungsprozesses einer App, wobei Android-Apps stärker gefährdet sind als die iOS-basierten Versionen. Sieben kritische Zonen beleuchtet mobivention-Geschäftsführer Dr. Hubert Weid, aka Dr. App, – und zeigt, wie sich Risiken minimieren lassen. Seine grundsätzliche Empfehlung lautet: „Vorbeugen ist besser als heilen. Also am besten gleich bei der App-Entwicklung an die Sicherheitsaspekte denken, die User aufklären, regelmäßige Sicherheits-Checks durchführen und den ganzen Prozess im Auge behalten.“

Sicherheit im Entwicklungsprozess

Code sichern

Bereits bei der App-Entwicklung sollte man den Source Code einer App gegen Reverse Engineering zu schützen. Reverse Engineering bedeutet, dass ein Software-Produkt oder ein System vom Ende zum Beginn hin analysiert wird. Im positiven Sinn lässt sich dieses Verfahren zur Fehleranalyse oder Qualitätsprüfung nutzen. Allerdings können auf diesem Weg Apps missbräuchlich ausspioniert und nachgebaut werden. Eine Methode, um geistiges Eigentum in diesem Bereich zu schützen, ist die Obfuskierung des Source Codes. Dabei wird der Programm-code oder der Quelltext bewusst komplett oder partiell verändert, sodass ein Duplizieren unwahrscheinlich bis unmöglich wird. Außerdem ist der Source Code sicher vor unberechtigtem Zugriff zu speichern. Dies gilt sowohl bei lokaler Speicherung als auch bei der Nutzung eines Cloud Services.

Datenschutzkonformität

Gerade vor dem Hintergrund der neuen Datenschutz-Grundverordnung (DSGVO) sollten Sie die Datenschutzkonformität Ihrer Apps rechtssicher gewährleisten können. Denn auch im Datenschutz gilt: Unwissenheit schützt vor Strafe nicht, und zwar den Anbieter. In erster Linie ist er für die Einhaltung der datenschutz-rechtlichen Vorgaben verantwortlich, auch wenn die App von einem Dienstleister entwickelt wurde. Deshalb sollten Sie bereits in einer frühen Entwicklungsphase die Grundprinzipien des Datenschutzes im Blick behalten. Zum Beispiel den Zweckbindungsgrundsatz, nach dem nur auf Daten zugegriffen werden darf, die für den im Voraus bestimmten Zweck notwendig sind. Das Impressum muss den Anforderungen an Telemediendienste entsprechen. Die Datenschutzerklärung muss den Nutzer über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten informieren. Überdies muss auch während der App-Nutzung eine gut lesbare Datenschutzerklärung jederzeit abrufbar sein – eine Verlinkung zu einer Website reicht nicht aus. Die Liste der Vorgaben ist lang. Eine Zusammenfassung der wichtigsten Punkte bietet beispielsweise der Düsseldorfer Kreis unter folgendem Link an: https://www.lda.bayern.de/media/oh_apps.pdf

Rechtssicherheit

Eng mit der Datenschutzkonformität hängt die Rechtssicherheit zusammen. Sie als Anbieter sind dafür verantwortlich, dass die App den jeweils gültigen rechtlichen Vorschriften entspricht. Dabei ist nicht nur die deutsche Gesetzeslage zu berücksichtigen sondern die Situation in jedem Markt, in dem die App vertrieben beziehungsweise genutzt wird. Andernfalls droht die Gefahr, dass Apple oder Google die Veröffentlichung ablehnen oder Bußgelder und Abmahnungen von Wett-bewerbern. Auch die Nutzungsrechte für Bild-, Video- und Textmaterial sind zu klären. Bei der Namensgebung der App sollten Sie gründlich recherchieren und sicherstellen, dass der Name nicht bereits geschützt ist oder verwendet wird. Den Namen Ihrer App lassen Sie in jedem Fall schützen. Professionelle App-Entwickler sind in der Regel mit diesen und vielen anderen Fallstricken vertraut.
Aber nicht nur bei der Entwicklung sondern auch bei der Nutzung von Apps gibt es vielfältige Sicherheitsaspekte zu berücksichtigen.

Sicherheit bei der Nutzung

Gerät sichern

Die App-Sicherheit im Nutzungsprozess beginnt beim Gerät und damit beim User. Er ist verantwortlich dafür, sein Gerät vor Diebstahl, Beschädigung oder Verlust zu schützen. Genauso wichtig ist es, einem unberechtigten Zugriff so gut wie möglich vorzubeugen. Das beginnt bereits bei der Verriegelung durch ein sicheres Passwort und der Verschlüsselung von Passwörtern. Auch regelmäßige Software-Updates und der Einsatz von Virenscannern sorgen für mehr Sicherheit. Unternehmen, die Apps auf mobilen Endgeräten einsetzen, sollten ihre Mitarbeiter über diese Verantwortlichkeiten ausführlich informieren.

Daten sichern

Neben der Sicherung der Geräte ist die Sicherung der Daten ein zentraler Aspekt der App Security. Ein Buzzword, das in diesem Zusammenhang oft fällt, ist BYOD (Bring your own device), also der Einsatz von auch privat genutzten Laptops, Tablets oder Smartphones innerhalb des Firmennetzwerks. Er bringt sicherheits-technisch einige Herausforderungen mit sich – unabhängig davon, ob Mitarbeiter ihre eigenen Geräte mitbringen oder Firmengeräte im privaten Umfeld nutzen. Hier empfiehlt sich ein möglichst sicheres Betriebssystem in Kombination mit einer MDM (Mobile Device Management)-Software. Mit dieser Software lassen sich die Geräte zentral vom Unternehmen aus verwalten. Bei Diebstahl oder Verlust ist eine Sperrung oder die Löschung kritischer Daten via Fernzugang möglich. Der Einsatz von Programmen wie Samsung Knox erlaubt es überdies, geschäftliche und private Inhalte separat und gesichert auf einem Gerät abzulegen.

Server sichern

Ein Großteil der Apps nutzt eine Client-Server-Architektur. Dabei werden Daten von einem Server heruntergeladen und/oder auf einem solchen gespeichert. App-Sicherheit ist damit auch eine Frage der Server-Sicherheit. Regelmäßige Sicherheitsupdates und Backups sind hier ebenso unverzichtbar wie eine vernünftige Verwaltung von Zugriffsrechten. So wird die Gefahr gebannt, dass durch unbeabsichtigte Aktivitäten Schaden entsteht. Auch die Datei-Berechtigungen sollten Sie möglichst niedrigschwellig halten. Darüber hinaus ist Server Monitoring angesagt: Die verantwortlichen Fachleute sollten kontinuierlich ein Auge darauf haben, ob und von wem Programme geändert werden. Auch ungewöhnliche Aktivitäten wie steigende CPU-Belastung, ein Zuwachs beim Traffic oder ähnliches können auf Missbrauchsversuche hinweisen. Mit speziellen Hackertools einen Testangriff auf seinem Server zu simulieren, ist in Deutschland nicht erlaubt. Die Zusammenarbeit mit entsprechenden Spezialisten ist jedoch möglich.

Kommunikation sichern

Last but not least gilt es, die Kommunikation zwischen App und externen Devices beziehungsweise dem Server wirkungsvoll zu sichern. Auf jeden Fall empfiehlt sich die ausschließliche Nutzung verschlüsselter Verbindungen, zum Beispiel über VPN-Tunnels. Hier ist in Unternehmen auch eine gründliche Aufklärung der App-Nutzer gefragt: Vorsicht an öffentlichen Hotspots ist geboten. Überdies schaltet man WLAN- und Bluetooth-Verbindungen am besten aus, wenn man sie gerade nicht nutzt. Sensible Apps lassen sich auf Smart Devices auch mit einem Passwort schützen und verbergen. Um (fast) keine Spuren im Netz zu hinterlassen, kann man über den sogenannten privaten Surfmodus ins Internet gehen.

Das Fazit von Dr. App

„Dies ist nur ein kleiner Überblick über die „App-Sicherungsmöglichkeiten“ entlang der gesamten Prozesskette. Um die Sicherheit beim Einsatz von Business Apps in Unternehmen zu optimieren, empfiehlt es sich, von Anfang an mit einem erfahrenen App-Entwicklungspartner zusammen-zuarbeiten. Er wird bereits bei der Entwicklung Sicherheit und Datenschutz im Blick haben, regelmäßige Sicherheits-Checks und die Information der User anregen und den ganzen Prozess prüfen. Gern können Sie sich bei diesbezüglichen Fragen auch an Dr. App wenden.“