Ist Android sicher genug für den Unternehmenseinsatz?

Der Architekturschwäche auf der Spur

31.08.2015
Von   
Mark Zimmermann leitet hauptberuflich das Center of Excellence (CoE mobile) zur mobilen Lösungsentwicklung bei der EnBW Energie Baden-Württemberg AG in Karlsruhe. Er weist mehrere Jahre Erfahrung in den Bereichen Mobile Sicherheit, Mobile Lösungserstellung, Digitalisierung und Wearables auf. Der Autor versteht es, seine Themen aus unterschiedlichsten Blickwinkeln für unternehmensspezifische Herausforderungen darzustellen. Neben seiner hauptberuflichen Tätigkeiten ist er Autor zahlreicher Artikel in Fachmagazinen.

Schwäche schon in den Plattformprinzipien

Das Hauptproblem basiert auf der Android-Architektur und dem beworbenen Ansatz der Offenheit. Aus diesem resultiert eine riesiges, klaffendes Loch und stellt einen der Hauptgründe dar, warum viele Anwender sich Sorgen machen und Unternehmen weg bleiben werden. Offenheit ist für einige Technik verliebte "Freiheit" aber für viele, wenn sie die Konsequenz verstehen, etwas das mit "günstiger guter Hardware/Plattform" sich nicht "schön" rechnen lässt.

Es kann und darf nicht unter denn Tisch gekehrt werden, dass es so nicht weitergeht. Google muss mehr tun, um die Löcher, die Fehler, die Anfälligkeiten seiner Plattform schneller durch Updates/Fixes seiner Hardware-Partner zu beheben. Dabei müssen alle Kunden bedient werden - nicht nur diejenigen mit einem aktuellen Endgerät.Android wird, mit der heutigen Architektur immer ein Ziel für Schwachstellen und Maleware sein. Neben der starken Verbreitung ist die offene Architekturentscheidung und die Verwendung von Java als Entwicklersprache für Apps das eigentliche Problem. Es ist der gleiche Grund, warum Windows, auf dem PC, schon immer ein größeres Ziel war als OSX.

Java Apps haben den Nachteil, mit einfachsten Mitteln dekompiliert und verändert werden zu können. Das Integrieren von Schadcode ist ebenfalls einfach möglich, da die AppStore Apps nicht einmal einem eigenen DRM unterliegen und das nutzen von "fremden" Appstores oder Webseiten problemfrei möglich ist.Angreifer kann man aber durch eine höhere Sicherheit entmutigen. Wenn die Architektur sich nicht ausreichend gegen Angreifer stellt, sind die OEMs mit schnellen Updates in der Pflicht. Over-the-Air-Updates sind hier perfekt - wenn die OEMs sich vollständig dafür entscheiden, sie zu benutzen. Dies ist aber mit höherem Aufwand verbunden, der sich Android-spezifisch und pro OEM-Hersteller/Netz-Provider verschärfen kann.

Ein neues Update - und dann?

Zuallererst veröffentlicht Google eine neue Android-Version und stellt sie den OEM-Herstellern zur Verfügung. Diese Updates werden hier von den jeweiligen OEM Herstellern für jedes von ihm angestrebte Smartphone-Modell angepasst und getestet. Dazu gehören auch die Android-Modifikationen beziehungsweise die Softwarezugaben die auf den Geräten enthalten sind und kompatibel bleiben müssen. Danach werden diese Realease-Stände den weltweit agierenden Netz-Providern bereit gestellt und gegebenenfalls um deren Bedarf erweitert. Diese Updates enthalten dann individuelle Abstimmungen, die auf den jeweiligen Netzanbieter zugeschnitten werden - das können zum Beispiel Daten für die APN-Schnittstellen, also den Zugangspunkt zum Mobilfunknetz, sein.

Diese Updates unterliegen auf jeder Ebene oft komplexen Prüfungen die auf jedem Smartphone-Modell für welches das Android-Update vorgesehen ist, durchlaufen werden. Kein Wunder also, dass das Interesse der OEMs nicht besonders hoch ist.Wie es besser geht, zeigt Apple bereits seit Jahren und Microsoft mit Windows Mobile seit kurzem. Die Starken Vorgaben bei Windows Mobile und die Kombination von Software & Hardware aus einer Hand bei iOS räumen Dritten kein Mitspracherecht bei Updates ein. Jede Softwareversion kann so beispielsweise von Apple mit eigenen Updates versorgt werden, egal auf welchem Endgerät, bei welchem Netz-Provider es zum Einsatz kommt. Neue Updates stehen so weltweit zeitgleich auch für viele ältere Geräte zur Verfügung.

Fazit

Abschließend möchte ich darauf hinweisen, dass Nutzungstipps wie keine Apps aus nicht vertrauenswürdigen Quellen laden oder kein offenes WLAN verwenden, den Anwender in die "selbst schuld"-Rolle bringen. Das halte ich nicht für zielbringend. Unternehmen können die hier beschriebenen Herausforderungen eingehen oder die Firmen-kritischen Apps in eine Gummizelle stecken und der Anwender ist für das Endgerät selbst verantwortlich.

Android unterliegt einer herausfordernden Entwicklung, was die Nutzung auf Firmengeräten fraglich werden lässt. Man muss nicht darüber streiten, welche der Plattformen iOS, Android oder, WindowsPhone wie sicher ist, sondern wie großflächig und zeitnah Updates ausliefert werden können.Google, Samsung und LG haben bereits angekündigt, dass sie sich bemühen, bald monatliche Sicherheits-Patches für Android auszuliefern. Damit wollen sie zeitnah den Problemen entgegen treten. Es bleibt zu hoffen, dass es keine leeren Versprechungen sind und auch Anwender mit älteren Geräten noch berücksichtigt werden. Nichts desto trotz, es ist Zeit, dass Google die Hersteller wieder an die Leine nimmt und sich von der "Offenheit" in Teilen verabschiedet. (Hier geht es zum zweiten Teil dieses Beitrags) (bw)