Vor allem kostenlose Apps haben eigentlich nur ein Ziel: Daten zu stehlen, um sie an Werbefirmen zu verkaufen – und damit Geld auf Kosten des Nutzers zu verdienen. Das Magazin «c’t» zeigte auf: Fast alle von 50 getesteten kostenlosen Android-Apps senden die Identifikationsnummer des Smartphones und andere Informationen an Werbepartner und Statistikfirmen. Heimlich.

So auch die beliebte Musik-App Shazam. Sie soll eigentlich nur die in der Umgebung gespielte Musik erkennen. Doch ganz nebenbei gibt sie auch den Aufenthaltsort des Nutzers und die Smartphone-ID an die Werbefirmen Mologiq und Admarvel weiter. Verhindern kann das der Nutzer nicht, er weiss es noch nicht einmal. Das Spiel «Wer wird Millionär? 2014» sendet eine Liste der installierten Apps an den Werbeanbieter Revmob. Das Spiel «Subway Surfers» beliefert gleich fünf Werbefirmen mit Daten wie der Seriennummer des Smartphones, dem Namen des Mobilfunkproviders und des genutzten WLAN. Diese Infos leitet auch Spielehersteller Zynga an Werbepartner weiter.

Auf dem iPhone können sich Nutzer schützen: Man kann jeder App verbieten, auf die Ortungsfunktion, Kontakte oder Kalender zuzugreifen. Das ist beim Betriebssystem Android bis heute nicht möglich. Schnüffel-Apps fordern alle Berechtigungen bereits beim Installieren. «Für Nutzer ist nur schwer nachvollziehbar, was man alles freischaltet. Das machen sich unseriöse Entwickler zunutze», sagt der Zürcher Manuel Kasper, Entwickler der App Threema Messenger. «Wenn eine App mal die Berechtigung hat, Daten auszulesen, ist fast unmöglich zu kontrollieren, was sie damit macht.»

Da sich die meisten Apps die ID des Smartphones holen, sind die an Werbefirmen gesandten Informationen eindeutig einem Nutzer zuzuordnen und erlauben mit der Zeit ein immer genaueres Profil. Erst ab August soll bei Android eine Werbe-ID die Smartphone-ID ersetzen, die der Nutzer selbst zurücksetzen kann.

«Wenn der Programmierer erst einmal gewisse Berechtigungen besitzt, hat er viele Möglichkeiten – er kann zum Beispiel teure Premium-SMS versenden oder via SMS ein Abo abschliessen», sagt Sandro Strebel, Co-Programmierer der Bring!-Einkaufslisten-App von Publisheria in Zürich. Das kann ins Geld gehen wie bei der Nachtsicht-App Cámara Visión Nocturna, die Anfang Jahr im Google Play Store zu finden war. Sie machte grünlich-verrauschte Bilder – und verschickte nebenbei teure SMS.

Auch das Erschnüffeln von Passwörtern ist ein Thema. «Man hört immer wieder von gesperrten E-Mail-Konten, die ein Dieb erst freigibt, wenn man Lösegeld zahlt», sagt Olivier Oswald von Apps with Love in Bern. Datendiebe suchten aber auch Kontaktdaten oder heikle Informationen wie Bilder, Passwörter oder Kreditkarteninfos. «Man sollte nie sensible Daten auf Smartphones oder Tablets speichern oder bearbeiten. Und schon gar keine Bankgeschäfte darüber erledigen», rät Max Klaus von der staatlichen Melde- und Analysestelle Informationssicherung (Melani).

Für Betrüger noch lukrativer ist das Belauschen und Manipulieren von Banking-Apps – mit dem Ziel, das Konto leer zu räumen. «Wir kennen einen konkreten Fall mit einer App, die vorgab, von einer bestimmten Schweizer Bank zu stammen», erzählt Max Klaus. Sie wurde von Betrügern zum Download angeboten. Nutzer gaben ihre Kontozugangsdaten ein, die App leitete sie an die Betrüger weiter. Mittlerweile wurde die App aus dem Store gelöscht. Die Masche bleibt aber attraktiv: Apps tarnen sich als kostenlose Variante kostenpflichtiger Apps, um dann Daten auszuspähen.

Für Nutzer ist kaum nachvollziehbar, warum eine App eine Berechtigung fordert. Das wird meist ungelesen abgenickt. Bald will Google zudem nicht mehr alle angeforderten Berechtigungen anzeigen, sondern nur noch Kategorien. Uneingeschränkter Internetzugriff wird gar nicht mehr speziell angezeigt. Der sei heute normal, so Google.

Das Risiko lässt sich immerhin minimieren, indem man Apps nur aus dem offiziellen Google Play Store herunterlädt. Vorab sollte man zudem die dortigen Bewertungen prüfen. «Wichtig ist, dass man die Vertrauenswürdigkeit einer App als Ganzes beurteilt», sagt Experte Manuel Kasper. Zwar ist die Berechtigung zum Datenaustausch über das Internet bei den meisten Apps mittlerweile Standard – nur so können kostenlose, werbefinanzierte Apps Werbung nachladen. Doch in Kombination mit anderen Berechtigungen (siehe Tabelle auf der nächsten Seite) steht dem Datenklau nichts im Weg. Wenn eine Taschenlampen-App Zugriff auf das Adressbuch benötigt, sollte man sich nach einer Alternative umsehen.

«Seriösen Entwicklern ist es wichtig, nur das absolute Minimum an Berechtigungen einzufordern», sagt App-Entwickler Olivier Oswald. Sonst gebe es rasch negative Bewertungen im App-Store. «Man kann auch beim Entwickler direkt nachfragen, wofür die Berechtigungen tatsächlich nötig sind», empfiehlt Programmierer Sandro Strebel. Seriöse Entwickler gäben gern Auskunft.