Gefährliche Feature-Phones

In einer vor Kurzem durchgeführten Studie von fünf Einsteiger-Mobiltelefonen wurde die Sicherheit dieser Feature-Phone sorgfältig überprüft, die für ca. 10 bis 20 Euro in den Geschäften erhältlich sind. Feature-Phones, auch als Seniorenhandys oder Multimedia-Handys bekannt (fälschlicherweise wird der letzte Name manchmal synonym für Smartphones verwendet) werden oft von älteren Menschen benutzt, die sich nicht an Smartphones gewöhnen wollen oder können. Häufig werden diese Handys auch als Ersatztelefone gekauft. Es gibt auch Menschen, die davon überzeugt sind, dass Feature-Phones sicherer als Android-betriebene Smartphones sind.

Durch die Studie wurde der letzte Grund für die Kaufentscheidung von Feature-Phones allerdings widerlegt. In vier der fünf untersuchten Multimedia-Handys wurden versteckte Funktionen entdeckt: Zwei davon übertragen Daten sobald der Besitzer sein Mobiltelefon einschaltet (wodurch personenbezogene Daten der Handy-Besitzer geleaked werden). Zwei weitere Funktionen leaken nicht nur die privaten Daten, sondern sind außerdem dazu in der Lage, Abonnements im Namen des Benutzers für bezahlte Inhalte zu beziehen, indem auf geheime Weise über das Internet mit einem Befehlsserver kommuniziert wird.

Infizierte Seniorenhandys

Der Autor der Studie bietet Informationen über die angewendeten Methoden, um die Firmware dieser einfachen Geräte zu analysieren, einschließlich der technischen Einzelheiten für alle, die daran interessiert sind, die gleiche Analyse durchzuführen. In diesem Artikel werden wir uns allerdings direkt mit den Ergebnissen befassen.

Zwei der fünf untersuchten Mobiltelefone senden die Benutzerdaten irgendwohin, sobald die Geräte zum ersten Mal eingeschaltet werden. An wen die Daten gesendet werden – an Hersteller, Vertriebspartner, Firmware-Entwickler oder an jemand anderen – ist nicht klar. Des Weiteren ist auch unklar, wofür die Daten benutzt werden. Man könnte davon ausgehen, dass diese Art von Daten eventuell in den Vertriebsabteilungen verwendet werden oder zur Überprüfung, in welchen Orten/Ländern die Handys verkauft werden. Auf den ersten Blick sieht das eigentlich nicht so gefährlich aus – schließlich übertragen alle Smartphones einige Telemetriedaten.

Allerdings gibt es da einen Unterschied, denn die großen Smartphone-Hersteller geben sich in der Regel Mühe, diese Art von erfassten Daten zu anonymisieren und es ist mehr oder weniger bekannt, wohin die Daten übertragen werden. In diesem Fall weiß man gar nichts darüber, wer die sensiblen Daten der Handy-Besitzer ohne deren ausdrücklichen Erlaubnis erfasst. Eins der geprüften Handys überträgt, abgesehen von der Seriennummer des Mobiltelefons, dem Namen des Landes in dem es aktiviert wird und den Informationen zur Firmware sowie zur Sprache, auch die Kennung der Basisstation, die nützlich ist, um den ungefähren Standort des Benutzers festzustellen.

Erschreckend ist außerdem, dass der Server überhaupt nicht geschützt ist, d. h. potenziell kann ganz einfach darauf zugegriffen werden. Und noch ein weiteres Detail: Zur Datenübertragung wird das Internet verwendet. Einige Benutzer von Feature-Phones sind sich möglicherweise noch nicht einmal bewusst, dass ihr Gerät sich mit dem Internet vernetzen kann. Also können diese heimlichen Aktivitäten – abgesehen von vielen anderen Folgen – dazu führen, dass überraschender Weise Gebühren für mobiles Internet anfallen.

Ein weiteres Mobiltelefon der Studie ist abgesehen für die Datenlecks auch gleichzeitig dafür programmiert, um Geld von den Handy-Besitzern zu stehlen. Laut den Firmware-Analysten kontaktiert das Handy den Befehlsserver über das Internet und führt dessen Befehle aus, zu denen auch das Senden von verborgenen SMS an gebührenpflichtige Servicenummern zählt.

Ein anderes Handy-Modell verfügt sogar über noch fortschrittlichere schädliche Funktionen. Laut einer der Benutzer dieses Mobiltelefons verwendete eine vollkommen unbekannte Person seine Telefonnummer, um sich bei Telegram anzumelden. Wie konnte das passieren? Für das Anmelden bei fast allen Messenger-Apps ist es erforderlich eine Handynummer anzugeben, an die ein Bestätigungscode per SMS geschickt wird. Anscheinend kann das Mobiltelefon diese Nachricht abfangen und den Bestätigungscode an einen Kontroll- und Befehlsserver weiterleiten. All das läuft heimlich ab und der Besitzer weiß nichts über diese Aktivitäten auf seinem Handy. Während es in den ersten Fällen nur zu einigen unvorhergesehen Ausgaben kommen könnte, läuft der Benutzer bei diesem Szenario Gefahr, ernsthafte rechtliche Probleme zu bekommen, sollte dieses Konto für kriminelle Aktivitäten genutzt werden.

Jetzt weiß ich, dass Handys mit physischer Tastatur unsicher sein können – wie kann ich mich schützen?

Der Unterschied zwischen modernen kostengünstigen Mobiltelefonen und deren Vorgängermodelle von vor 10 Jahren besteht überwiegend darin, dass inzwischen selbst spottbillige Schaltungen sich mit dem Internet verbinden können. Es kann eine unangenehme Überraschung sein, wenn sich herausstellt, dass das angeblich sichere und unvernetzte Handy sich mit dem Internet verbindet.

Zuvor hatte der gleiche Forscher bereits ein anderes Mobiltelefon mit physischer Tastatur analysiert. Auch wenn er in diesem Fall keine schädlichen Funktionen fand, verfügte das Gerät über ein Menü für gebührenpflichtige Abonnements für Horoskope und Demo-Spiele, dessen vollständige Version vom Benutzer durch eine einfache SMS abonniert werden konnte, was mit gewissen unerwarteten Kosten verbunden ist. Ältere Menschen oder kleine Kinder könnten aus Versehen auf die falsche Taste drücken – auf einem Handy, das speziell deswegen gekauft wurde, weil es keinen Zugang zum Internet und Online-Apps hat – und ungewollt gebührenpflichtige Dienste abonnieren.

Ein wichtiger Punkt bei den „infizierten“ Handys ist, dass diese „zusätzlichen Funktionen“ häufig von den Herstellern oder den Vertriebspartnern in China hinzugefügt werden und die Verkäufer vor Ort sich oft gar nicht des Problems bewusst sind. Ein weiterer Faktor, der die Situation kompliziert, ist die Tatsache, dass Handys mit physischer Tastatur in kleinen Ladungen mit zahlreichen verschiedenen Modellen geliefert werden und es sehr schwer ist festzustellen, ob das Mobiltelefon kompromittiert ist oder nicht, denn dafür ist eine sorgfältige Untersuchung der Firmware erforderlich. Es liegt auf der Hand, dass nicht alle Verkäufer sich eine angemessene Firmware-Kontrolle leisten können.

Eventuell ist es einfacher direkt ein Smartphone zu kaufen. Diese Entscheidung hängt natürlich auch davon ab, ob man über das nötige Kleingeld dafür verfügt, denn billige Smartphones verbergen oft die gleichen Malware-Probleme. Aber wenn Sie sich ein Smartphone eines großen Handyherstellers leisten können – es kann auch ein ganz simples Modell sein – ist das möglicherweise die sicherere Wahl. Besonders wenn Sie sich für ein Mobiltelefon mit physischer Tastatur entschieden haben, weil Sie nach einem einfachen und zuverlässigen Handy suchen, das vollkommen frei von versteckten Funktionen ist. Risiken bei Android-Geräten können mit einer zuverlässigen Sicherheitslösung minimiert werden – bei Feature-Phones ist diese Kontrolle nicht möglich.

Für ältere Verwandten, die es gewönnt sind Anrufe anzunehmen, indem sie ihr Klapphandy öffnen, mag es unmöglich erscheinen sich an einen Touchscreen zu gewöhnen. Trotzdem lohnt es sich, es auszuprobieren. Viele ältere Menschen haben sich relativ schnell und mühelos an Smartphones gewöhnt und können jetzt die Vorteile der mobilen Computernutzung genießen.