Jan hat einen kleinen Betrieb für Heizungs- und Sanitärtechnik, und sein Telefon ist sein Büro. Seit Jahren nutzt er eine App für Kostenvoranschläge, die in der vollen Fassung ein paar Euro im Monat kostet. Eines Abends findet er eine Website, die „die volle Fassung, alles freigeschaltet, gratis“ anbietet. Er lädt die Datei herunter, das Telefon meldet, dass die Installation aus unbekannten Quellen abgeschaltet ist, er schaltet sie ein und installiert. Die App läuft, genau wie vorher, und ohne Abonnement. Damit stehen die Risiken von Apps außerhalb der Stores mitten in seinem Arbeitsalltag.
Was Jan getan hat, hat einen Fachbegriff: Sideloading. Gemeint ist die Installation einer App aus einer Datei, die von außerhalb der offiziellen Stores stammt – von einer Website, aus einem Chat, von einem Speicherstick –, unter Umgehung der Prüfungen, die ein Store vor und nach der Installation vornimmt.
„Wenn es doch dieselbe App ist, was macht es dann für einen Unterschied, woher sie kommt?“ Das ist eine vernünftige Frage, und sie hat eine genaue Antwort: Kommt die App von außen, hat niemand geprüft, dass es wirklich dieselbe ist. Und selbst wenn sie es ist, verliert sie den Schutz, den der Store ihr gegeben hätte – die Prüfung der veröffentlichenden Person, die Sicherheits-Updates, die Entfernung, falls sich herausstellt, dass sie schädlich ist.
Die nützlichere Frage lautet deshalb anders: Wenn diese App durch keine Prüfung gegangen ist, was würde dann getroffen?
Dieser Beitrag antwortet darauf entlang der drei Eigenschaften, an denen sich die Sicherheit jeder Information messen lässt: Sie soll vertraulich bleiben, sie soll richtig bleiben, sie soll verfügbar bleiben. Das ist die praktische Übersetzung von drei Fachwörtern – Vertraulichkeit, Integrität, Verfügbarkeit – und sie zeigt, dass sich die Sache nicht im „vielleicht ist ein Virus drin“ erschöpft.
Der Beitrag vertieft die Empfehlung, Apps nur aus offiziellen Stores laden zu wollen und die Installation aus unbekannten Quellen abgeschaltet zu lassen.
Drei Fragen, um eine Auswirkung zu messen
Bevor es in die Einzelheiten geht, lohnt es sich, die richtigen Fragen zur Hand zu haben. Vor jeder App, die von außerhalb des Stores kommt, sind es diese:
- Was könnte diese App mitlesen, wenn jemand etwas hinzugefügt hätte? – das ist die Frage nach der Vertraulichkeit.
- Was könnte sie auf dem Gerät verändern, und wer steht dafür ein, dass ihr Code der ursprüngliche ist? – das ist die Frage nach der Integrität.
- Was könnte ich nicht mehr nutzen, oder was würde ich zu zahlen beginnen, wenn sie sich schlecht verhält? – das ist die Frage nach der Verfügbarkeit.
Auf ein Spiel angewandt, fallen die Antworten zunächst bescheiden aus – bis man sich ansieht, was für die Installation nötig war: die Erlaubnis, unbekannte Apps zu installieren, meist dem Browser oder der Chat-App erteilt, und die schließt sich nicht von selbst wieder. Hier kippt die Rechnung: Die Auswirkung misst sich nicht an der App, die Sie installiert haben, sondern an der Tür, die Sie für die nächsten offen gelassen haben. Wie Sie die Installation aus unbekannten Quellen sperren, steht im eigenen Beitrag.
1. Vertraulichkeit: Informationen bleiben bei denen, die sie sehen dürfen
Vertraulichkeit ist die Zusicherung, dass eine Information nur von Befugten gelesen werden kann. Eine App von außerhalb des Stores schwächt sie auf eine besondere Weise: Sie schenken ihr dasselbe Vertrauen wie dem Original, aber niemand hat geprüft, ob sie auch nur das tut, was das Original tut.
Ein praktisches Beispiel
Die „freigeschaltete“ Fassung verlangt wie immer Zugriff auf Adressbuch und Kamera – Berechtigungen, die Jan der echten App längst gegeben hatte, weshalb er nicht weiter darüber nachdenkt. Wer sie verändert hat, hat jedoch Code ergänzt, der im Hintergrund, also während die App gar nicht benutzt wird, eine Kopie dieser Daten an eine fremde Adresse schickt.
Schadensszenario
In diesen Daten stehen Namen, Anschriften und Telefonnummern von Kundinnen und Kunden, Fotos von Wohnungen und Anlagen, Beträge, manchmal Kopien von Ausweisdokumenten. Manche veränderten Apps bringen zusätzlich eine Spionagesoftware (Spyware) mit, also ein Programm, das still beobachtet, was auf dem Gerät geschieht: Standort, Mitteilungen, mitunter Eingaben. Schon das bloße Mitlesen ist ein Schaden, und es ist der, der am längsten unbemerkt bleibt. Betroffen sind auch Menschen, die diese App nie installiert haben: die Kundschaft von Jan.
Worauf Sie achten sollten
- eine vertraute App verlangt in der von außen geladenen Fassung Berechtigungen, die das Original nicht verlangt hat;
- das Datenaufkommen steigt auch in Stunden, in denen das Telefon unberührt liegt;
- Kundinnen, Kunden oder Bekannte erhalten Nachrichten oder Anrufe mit Einzelheiten, die nur Sie hatten;
- der eingebaute Schutz des Geräts meldet eine App als möglicherweise schädlich.
Empfohlenes Verhalten
Verwaltet eine App Daten anderer Menschen, installieren Sie sie ausschließlich aus dem offiziellen Store und sollten Sie regelmäßig die App-Berechtigungen prüfen. Haben Sie bereits eine von außen geladene Fassung, ist es am umsichtigsten, sie zu entfernen und das Original aus dem Store neu zu installieren.
2. Integrität: der Code bleibt der, den die Entwicklerin veröffentlicht hat
Integrität ist die Zusicherung, dass Daten und Programme nicht von Unbefugten verändert werden. Hier wiegt das Sideloading anders: Es geht nicht mehr darum, was die App sehen kann, sondern darum, wer dafür einsteht, dass ihr Code der ursprüngliche ist und dass er aktuell bleibt.
Ein praktisches Beispiel
Jede App aus einem offiziellen Store trägt eine digitale Signatur: ein elektronisches Siegel, das belegt, wer sie veröffentlicht hat und dass der Code danach unberührt geblieben ist. Store und System prüfen dieses Siegel bei jeder Installation und bei jedem Update. Die „alles freigeschaltet“-Fassung von Jan kann das Siegel der echten Entwicklerin nicht tragen, denn zum Freischalten hat jemand den Code verändert: Sie trägt ein anderes Siegel, und niemand weiß, wessen.
Schadensszenario
Die erste Folge: Die App bekommt keine Updates mehr aus dem Store, der sie nicht als die seine erkennt. Wenn die Entwicklerin eine Schwachstelle schließt – einen Fehler also, den jemand ausnutzen kann, um die App Dinge tun zu lassen, die nicht vorgesehen sind –, erhalten alle im Store die Korrektur von selbst; Jan nicht. Die zweite Folge ist weniger sichtbar: Manche veränderten Apps laden weitere Programmteile nach und installieren sie, indem sie genau die offen gebliebene Erlaubnis nutzen.
Worauf Sie achten sollten
- die App bekommt nie Updates aus dem Store, oder sie bietet sie selbst über einen Link oder eine Datei an;
- im Store wird dieselbe App als „zu installieren“ angezeigt, obwohl sie auf dem Gerät bereits liegt;
- es tauchen Apps oder Symbole auf, an deren Installation Sie sich nicht erinnern;
- das Gerät meldet, eine App trage ein anderes Zertifikat als erwartet, oder es könne sie nicht aktualisieren.
Empfohlenes Verhalten
Automatische Updates wirken nur, wenn die App aus dem Store gekommen ist; darum geht es in der Empfehlung, die Software aktuell halten behandelt. Nehmen Sie keine Updates an, die als Datei oder Link ankommen. Lassen Sie den eingebauten Schutz vor schädlichen Apps eingeschaltet: Er ist die Prüfung, die auch dann noch greift, wenn die übrigen übersprungen wurden.
3. Verfügbarkeit: Gerät, Daten und Geld bleiben Ihnen erhalten
Verfügbarkeit ist die Zusicherung, Gerät, Daten und Dienste dann nutzen zu können, wenn Sie sie brauchen. Hier nimmt sie zwei Formen an: das Telefon, das nicht mehr reagiert, und das Geld, das abfließt, ohne dass Sie es entschieden haben.
Ein praktisches Beispiel
Jans Neffe lädt auf dem Telefon seines Onkels von einer Website die Fassung eines Spiels „mit unendlich vielen Münzen“ herunter. Beim ersten Start verlangt das Spiel eine Bestätigung der Telefonnummer. Einige Tage später steht auf der Rechnung ein wöchentlicher kostenpflichtiger Dienst, den niemand bestellt hat.
Schadensszenario
In den schwereren Fällen zeigt die App eine Anzeige, die das Gerät sperrt und eine Zahlung verlangt: Das ist Erpressungssoftware (Ransomware), ein Programm, das ein Gerät oder seine Dateien unzugänglich macht, um Lösegeld zu fordern. Häufiger fällt der Schaden leiser aus, dafür dauerhaft: Abonnements, die ein unklarer Fingertipp abschließt, bildschirmfüllende Werbung, verbrauchter Akku und verbrauchte Daten. Dazu kommt ein Effekt, den viele unterschätzen: Eine freigeschaltete Fassung der Arbeits-App kann von einem Tag auf den anderen den Dienst einstellen und Archive mitnehmen, die nirgendwo sonst gesichert waren.
Worauf Sie achten sollten
- wiederkehrende Abbuchungen auf der Rechnung, der Karte oder im Konto des Stores, die Sie nicht zuordnen können;
- bildschirmfüllende Werbung, auch wenn gerade keine App geöffnet ist;
- eine App, die sich nicht entfernen lässt, oder eine Anzeige, die das Gerät sperrt;
- eine Arbeits-App, die nicht mehr startet oder eine Lizenz verlangt, die Sie zu haben glaubten.
Empfohlenes Verhalten
Sehen Sie von Zeit zu Zeit laufende Abonnements und Abrechnungen durch, und halten Sie eine Datensicherung (Backup) der beruflichen Daten außerhalb des Geräts. Ist das Gerät durch eine App gesperrt, zahlen Sie nicht: Folgen Sie dem Beitrag darüber, was tun bei Schadsoftware auf dem Telefon zu tun ist, und holen Sie bei Bedarf fachliche Hilfe, der Sie vertrauen.
| Aspekt | Was eine von außen installierte App tun kann | Warum das wiegt |
|---|---|---|
| Vertraulichkeit | Sammelt Kontakte, Fotos, Dokumente, Standort und Eingaben | Der Schaden geschieht ohne sichtbare Spuren und trifft auch andere Menschen |
| Integrität | Läuft mit verändertem Code, ohne geprüfte Signatur und ohne Updates, installiert Weiteres | Niemand steht dafür ein, was sie tut, und offene Fehler bleiben offen |
| Verfügbarkeit | Sperrt das Gerät, schließt Abonnements ab, stellt den Dienst mitsamt Ihren Daten ein | Trifft Zeit, Geld und Arbeit, mitunter über lange Zeit |
Ein Szenario, das alles zusammenführt
Zurück zu Jan, drei Monate nach der Installation. Der Reihe nach: Die App hat Adressbuch und Archiv der Kostenvoranschläge nach außen geschickt, und ein Kunde hat eine Nachricht „vom Betrieb“ mit der Bitte um Vorauszahlung erhalten (Vertraulichkeit); die dem Browser erteilte Erlaubnis ist aktiv geblieben, von einer versehentlich geöffneten Seite kam eine zweite Datei, mit einem Fingertipp zu viel installiert, und die App trägt ohne Updates weiter einen Fehler, der in der offiziellen Fassung längst behoben ist (Integrität); an einem Montag öffnet sich die App nicht mehr, und mit ihr verschwinden die Kostenvoranschläge der Woche (Verfügbarkeit). Drei verschiedene Auswirkungen, eine einzige Ursache: eine Datei, heruntergeladen, um ein paar Euro im Monat zu sparen.
Wie solche „freigeschalteten“ Fassungen entstehen, ist das Thema des Beitrags über veränderte und raubkopierte Apps. Was danach kommt, bei Geld und in den Beziehungen, erzählen die Folgen einer über einen Link installierten App.
Risiken von Apps außerhalb der Stores, die erst später sichtbar werden
Nicht alles zeigt sich sofort. Manches reift mit der Zeit, und genau deshalb ist „läuft doch einwandfrei“ keine verlässliche Prüfung.
- Eine Tür, die offen bleibt. Die Erlaubnis, unbekannte Apps zu installieren, bleibt bestehen, bis Sie sie entziehen, und sie gilt für jede Datei, die Browser oder Chat-App künftig laden.
- Fehler, die sich ansammeln. Jede Korrektur, die die App nicht erhält, ist ein offener Fehler mehr.
- Daten, die später verwendet werden. Gesammelte Kontakte und Dokumente können Wochen darauf wieder auftauchen, in Nachrichten, die eigens glaubwürdig gebaut sind.
- Apps, an die sich niemand erinnert. Eine von außen installierte App gerät oft in Vergessenheit, zwischen denen, die man nicht mehr zuordnet: Genau dort setzt der Beitrag an, unbekannte Apps vom Telefon entfernen zu wollen, und regelmäßig ungenutzte Apps löschen verkleinert das Problem an der Wurzel.
Das ist kein Grund, in Daueralarm zu leben. Es ist der Grund, warum Schutz vorbeugend sein sollte: Der Weg über den offiziellen Store und eine geschlossene Installation aus unbekannten Quellen verringert alle vier Effekte, auch die, die Sie nie zu Gesicht bekommen. Stores sind dabei nicht unfehlbar – wie sorgfältig sie arbeiten, beschreibt der Beitrag, wie App-Stores Apps prüfen –, und auch dort lohnt es sich, die Echtheit einer App prüfen zu können.
Nicht jede Quelle wiegt gleich schwer
Wie groß die Auswirkung ausfällt, hängt davon ab, woher die Datei kommt und wie viele Prüfungen sie übersprungen hat.
| Quelle | Vorherrschende Auswirkung | Warum |
|---|---|---|
| Offizieller Store des Geräts | Gering, nicht gleich null | Prüfung, verifizierte Signatur, Updates |
| Zugelassener alternativer Store, wo das Gesetz ihn vorsieht | Hängt von seinen Regeln ab | Vor der Nutzung zu prüfen |
| Offizielle Website der Entwicklerin | Integrität | Die Datei kann echt sein, doch Updates kommen nicht von selbst |
| Seiten mit „Gratis-Apps“ und freigeschalteten Fassungen | Alle drei, mit verstärkender Wirkung | Der Code ist per Definition verändert |
| Datei, die per Chat, SMS oder E-Mail ankommt | Vertraulichkeit und Verfügbarkeit | Sie kommt mit einer Geschichte, die die Wachsamkeit senkt |
| Datei von einer bekannten Person oder vom Speicherstick | Alle drei | Sie vertrauen der Person, nicht der Datei |
Die letzte Zeile ist die entscheidende: Die riskanteste Datei kommt häufig von jemandem, dem Sie vertrauen – und der seinerseits vertraut hat.
Warum auch „fast originale“ Fassungen zählen
Eine App, die dem Original gleicht, verringert die Auswirkung nicht: Sie macht sie nur schwerer bemerkbar.
| Was gesagt wird | Warum es riskant bleibt |
|---|---|
| „Es ist dieselbe App, nur die Bezahlung ist raus“ | Um die Bezahlung zu entfernen, wurde der Code verändert |
| „Ein Kollege hat sie auch, bei ihm läuft sie bestens“ | Gut zu laufen sagt nichts darüber, was die App im Hintergrund tut |
| „Das Telefon hat gewarnt, aber man konnte weitergehen“ | Die Warnung steht da, weil das System nicht einstehen kann für das, was Sie installieren |
| „Ich entferne sie, sobald ich fertig bin“ | Die Erlaubnis bleibt bestehen, und die App kann längst Weiteres installiert haben |
Für diese Entscheidung muss niemand unaufmerksam sein: Oft entsteht sie aus einem echten Bedürfnis, etwa dem zu sparen. Deshalb lohnt es sich, in Ruhe vorher zu entscheiden. Ob auf Ihrem Gerät bereits etwas von außen liegt, verraten die Anzeichen einer außerhalb des Stores installierten App.
Bezug zum Framework Cyber Welfare
Dieser Beitrag arbeitet vor allem an einer Säule – digitales Bewusstsein –, berührt aber alle drei.
| Säule | Beitrag dieses Inhalts |
|---|---|
| Bewusstsein | Erkennen, dass eine von außen installierte App Prüfung, Signatur und Updates verliert |
| Kompetenzen | Vertraulichkeit, Integrität und Verfügbarkeit als drei Fragen vor einer Installationsdatei lesen |
| Sicheres Verhalten | Nur aus dem offiziellen Store installieren und die Installation aus unbekannten Quellen geschlossen halten |
Referenzstufe: FL2 – Einsteiger. Das ist die Stufe, auf der aus dem „ich weiß, dass ich Apps aus dem Store laden sollte“ ein „ich verstehe, was ich verliere, wenn ich es nicht tue“ wird. Dieses Verständnis der Auswirkungen macht das Verhalten über die Zeit stabil. Wo Sie bei den übrigen digitalen Gewohnheiten stehen, zeigt Ihnen die Selbstbewertung der digitalen Resilienz.
Zusammenfassung
- Die Vertraulichkeit betrifft das, was eingesammelt wird: Kontakte, Fotos, Dokumente, Standort.
- Die Integrität betrifft das, wofür niemand mehr einsteht: Code, Signatur, Sicherheits-Updates.
- Die Verfügbarkeit betrifft das, was Ihnen genommen wird: ein gesperrtes Gerät, nie gewählte Abonnements, Arbeitsdaten, die mit der App verschwinden.
Die Risiken von Apps außerhalb der Stores erzeugen deshalb nicht eine einzelne Auswirkung: Sie öffnen die Möglichkeit für alle drei – auf dem Gerät und bei den Menschen, deren Daten darüber laufen.
Empfohlener erster Schritt. Suchen Sie in den Einstellungen des Geräts die Liste der Apps, die andere Apps installieren dürfen, und entziehen Sie diese Erlaubnis allen, die sie noch haben – meist sind es Browser oder Chat-App. Gehen Sie danach die installierten Apps durch und fragen Sie sich bei jeder, ob Sie noch wissen, woher sie kam. Das sind fünf Minuten, und sie decken alle drei Auswirkungen zugleich ab.
Verwandte Inhalte
- Apps nur aus offiziellen Stores laden – die Empfehlung, aus der diese Vertiefung hervorgeht
- Folgen einer über einen Link installierten App – von den technischen Auswirkungen zu den konkreten Folgen für Geld, Arbeit und Beziehungen
- Anzeichen einer außerhalb des Stores installierten App – woran Sie erkennen, ob auf dem Gerät schon eine App von außen liegt
- die Installation aus unbekannten Quellen sperren – die Schritte, um die Tür zu schließen, nach Dringlichkeit geordnet
Einen Begriff nachschlagen
Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:
Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.
