iPhone-Hack läutet neue Ära der Unsicherheit ein

Auf Smartphones sammeln sich immer mehr Informationen. Ein Spionage-Software für iPhones mit beispiellosen Fähigkeiten ist eine akute Warnung vor den Risiken dieses Trends.

Von Redaktion ChannelObserver

26. August 2016

iPhone-Hack läutet neue Ära der Unsicherheit ein

Dass alle mögliche Kommunikation überwacht wird, wusste man schon seit den NSA-Enthüllungen von Edward Snowden vor drei Jahren. Doch auch in dieser Welt schienen zumindest moderne Smartphones dank strikter Vorsichtsmaßnahmen der Anbieter – besonders im Vergleich zum löchrigen PC – ein Bollwerk der Sicherheit zu sein. Vor allem Apple machte den Datenschutz bei seinen iPhones und das Vertrauen der Nutzer zu einem Verkaufsargument. Eine neu entdeckte Spionage-Software mit beispiellosen Fähigkeiten stellt dieses Vertrauen auf die Probe. Denn an allen Sicherheitsmaßnahmen vom Fingerabdruck-Sensor bis zum «Secure-Element»-Datentresor auf dem Chip vorbei konnte sich das von Experten auf den Namen «Pegasus» getaufte Programm in den iPhones einnisten und auf breiter Front Daten abgreifen. Dafür nutzte sich gleich drei bisher unbekannte Schwachstellen in Apples Software aus – erst eine im Safari-Webbrowser und dann zwei im Kern des Mobil-Betriebssystems iOS.

Apple stopfte diese Sicherheitslücken mit einem Update nach zehn Tagen Entwicklung – sehr schnell für die Branche. Doch die Unsicherheit ist gesät. Auf den Smartphones lagern immer Daten zu unserem gesamten Leben: Privateste Kommunikation, Bilder, Kontoinformationen, Gesundheitswerte. Und moderne Smartphone-Systeme sind komplexe Gebilde mit Millionen Zeilen Software-Code. Wie viele solcher Schwachstellen könnten da noch drinstecken? Wie viele werden auf ähnliche Weise ausgenutzt? Wie lange war «Pegasus» bereits im Einsatz? Nach Erkenntnissen der IT-Sicherheitsfirma Lookout, die das Spionage-Programm eingehend untersuchte, konnte «Pegasus» alle Versionen des iPhone-Betriebssystems ab dem vor drei Jahren eingeführten iOS 7 befallen. Die Software könne Anrufe mitschneiden, Aufenthaltsorte verfolgen, Kontaktlisten einsehen, E-Mails lesen sowie Daten von Facebook und Kommunikationsdiensten wie WhatsApp, Skype, Telegram, Viber oder WeChat abgreifen. Er habe nicht viele Angriffe gesehen, die so professionell und ausgeklügelt gestaltet wurden, sagte Lookouts Chef-Forscher Mike Murray dem Technologie-Blog «TechCrunch».

Die Sicherheitsexperten vermuten hinter der «Pegasus»-Software die Firma NSO Group aus Israel, die einem amerikanischen Finanzinvestor gehört. Sie äußerte sich nicht zur Urheberschaft, verwies in Stellungnahmen in der «New York Times» und der Website «Vice» darauf, dass sie ihre Software nur an Regierungsbehörden verkaufe und auch nicht an Länder, gegen die Ausfuhrbeschränkungen gelten. Dass unter anderem Geheimdienste grundsätzlich auf bisher unbekannte Schwachstellen setzen, um Geräte aufzuknacken, war spätestens seit Snowdens Enthüllungen geläufig. Mit «Pegasus» gibt es nun die bisher einmalige Gelegenheit, eine solche Software zu sezieren. Zugleich blüht ein reger Handel mit Software-Schwachstellen. Erst vor einigen Monaten sorgte eine Firma für Aufsehen, die eine Million Dollar für eine «Zero-Day»-Lücke beim iPhone bot – so werden Fehler genannt, die dem Anbieter noch unbekannt sind und deswegen erstmal frei ausgenutzt werden können. Apple, das sich lange dagegen gesträubt haben soll, eine Belohnung für gefundene Schwachstellen zu zahlen, bietet seit einigen Wochen bis zu 50.000 Dollar für die Aufdeckung von Lücken im Betriebssystem an. Unter anderem der US-Geheimdienst NSA sucht gezielt nach solchen «Zero-Day»-Schwachstellen und hortet sie oft, auch wenn in den USA ein Regierungsgremium regelmäßig darüber entscheidet, ob sie im Interesse der Öffentlichkeit den Anbietern gemeldet werden sollten. Denn Einfallstore für Geheimdienste könnten auch die Tür für Kriminelle öffnen, wenn sie von ihnen entdeckt werden, warnen Sicherheitsexperten immer wieder.