Estimated reading time: 6 Minuten
Sie kennen die Mobilfunknummer eines Menschen mit Android-Smartphone? Dann können Sie dessen Gerät unter Umständen aus der Ferne sperren. Ohne Anmeldung, ohne Google-Passwort und ohne PIN.
Wir haben das selbstverständlich nur aus rein wissenschaftlichem Interesse ausprobiert.
Es funktioniert.
Das eröffnet ganz neue Möglichkeiten für den Büroalltag: Der Kollege möchte gerade beim Kunden etwas auf seinem Smartphone zeigen? Remote Lock. Die Kollegin bezahlt an der Supermarktkasse? Remote Lock. Jemand sitzt konzentriert in der Bahn und versucht, seinen digitalen Fahrschein vorzuzeigen? Sie ahnen es.
Bevor jetzt jemand eine Excel-Liste mit den Mobilfunknummern aller Beschäftigten anlegt: Die Funktion ist als Diebstahlschutz gedacht. Fremde Smartphones absichtlich im unpassenden Moment zu sperren, ist weder besonders nett noch eine Empfehlung von uns. Technisch bemerkenswert ist es trotzdem.
Die Telefonnummer genügt – zumindest manchmal
Google stellt unter android.com/lock eine überraschend schlichte Webseite bereit. Dort gibt man die Mobilfunknummer des verlorenen Android-Geräts ein, bestätigt gegebenenfalls ein CAPTCHA und löst die Sperre aus.
Eine Anmeldung am Google-Konto ist nicht erforderlich. Das ist Absicht: Wer sein Smartphone gerade verloren hat, kennt möglicherweise das Google-Passwort nicht auswendig oder hat keinen Zugriff auf die Zwei-Faktor-Authentisierung. Die Telefonnummer dagegen findet sich meistens noch irgendwo.
Das ist für den Ernstfall praktisch. Für Kolleginnen, Kollegen und Freunde mit fragwürdigem Humor ist es ebenfalls praktisch.
Wir haben Android Remote Lock getestet
Natürlich wollten wir wissen, ob die Funktion wirklich so einfach arbeitet, wie Google sie beschreibt. Deshalb haben wir eine Mobilfunknummer eingegeben und die Sperre ausgelöst. Kurz darauf wechselte das betroffene Smartphone auf den Sperrbildschirm.
Das Gerät lässt sich dadurch allerdings nicht entsperren. Ebenso wenig erhält die auslösende Person Zugriff auf Apps, Nachrichten, Fotos oder andere Daten. Die betroffene Person gibt einfach ihre PIN ein oder nutzt Fingerabdruck beziehungsweise Gesichtserkennung.
Es handelt sich also nicht um die große Android-Katastrophe. Eher um die digitale Variante davon, jemandem während der Arbeit kurz den Monitor auszuschalten.
Nur eben über das Internet. Und mit der Handynummer.
Besonders störend im exakt falschen Moment
Im Normalfall kostet die unerwartete Sperre nur wenige Sekunden. Allerdings gibt es Situationen, in denen wenige Sekunden erstaunlich lang werden können:
- beim Vorzeigen eines digitalen Bahntickets,
- während einer Navigation in unbekannter Umgebung,
- beim Bezahlen mit dem Smartphone,
- während einer Präsentation,
- beim Abruf einer Zwei-Faktor-Anmeldung
- oder wenn jemand gerade sagt: „Warte, ich zeige dir das schnell.“
Dann geht der Bildschirm aus und verlangt erneut nach der Displaysperre. Während eines klassischen Telefonats beendet die Sperre den Anruf normalerweise nicht. Je nach Gerät, App und laufender Tätigkeit kann der Wechsel zum Sperrbildschirm trotzdem stören.
Wir würden deshalb nicht empfehlen, die Funktion beim nächsten Jour fixe live an der Geschäftsführung vorzuführen. Also jedenfalls nicht ohne vorherige Zustimmung.
Der digitale Bürospaß hat ein Tageslimit
Google hat den möglichen Missbrauch zumindest begrenzt. Ein Smartphone lässt sich laut Google-Hilfe zum Android-Diebstahlschutz höchstens zweimal innerhalb von 24 Stunden über Remote Lock sperren. Außerdem können mehrere kurz aufeinanderfolgende Versuche scheitern. Ein CAPTCHA erschwert automatisierte Sperranfragen.
Zudem funktioniert die Sperre nur, wenn Remote Lock auf dem Zielgerät aktiviert und die eingegebene Nummer mit dem Smartphone verknüpft ist. Das Gerät muss außerdem online sein. Ist es gerade offline, kann Android die Sperre nachholen, sobald wieder eine Internetverbindung besteht.
Unsere Beobachtung, dass die Funktion auf dem Testgerät ohne bewusst eingerichtete Sicherheitsfrage nutzbar war, lässt sich nicht automatisch auf jedes Android-Smartphone übertragen. Hersteller, Android-Version und Google-Play-Dienste können einen Unterschied machen.
Die Sicherheitsfrage beendet den Spaß
Google bietet inzwischen eine zusätzliche Sicherheitsfrage an. Wer sie aktiviert, muss beim Auslösen der Sperre nicht nur die Mobilfunknummer, sondern auch die richtige Antwort kennen.
Die Einstellung finden Sie je nach Android-Version ungefähr hier:
- Öffnen Sie die Einstellungen.
- Wählen Sie „Google“.
- Öffnen Sie „Alle Dienste“.
- Wählen Sie „Diebstahlschutz“.
- Öffnen Sie „Remote Lock“ beziehungsweise „Fernsperre“.
- Richten Sie eine Sicherheitsfrage ein.
Damit reicht „Ich kenne deine Nummer“ nicht mehr als Legitimation. Wählen Sie allerdings eine Antwort, die nicht das halbe Büro kennt. „Wie heißt Ihr Haustier?“ hilft wenig, wenn Bello regelmäßig mit zur Arbeit kommt und einen eigenen Eintrag im internen Wiki besitzt.
Ist Android Remote Lock eine Sicherheitslücke?
Eine gravierende Sicherheitslücke ist Remote Lock nicht. Niemand kann das Smartphone über die Funktion entsperren oder auf dessen Daten zugreifen. Zudem erreicht die Funktion genau ihr vorgesehenes Ziel: Ein verlorenes oder gestohlenes Gerät lässt sich schnell sichern.
Trotzdem zeigt der Test einen interessanten Zielkonflikt. Google möchte den legitimen Zugriff im Notfall möglichst einfach machen. Dadurch können auch andere Personen eine begrenzte Aktion auslösen.
Aus Sicht der IT-Sicherheit lohnt sich deshalb immer die Frage: Was passiert, wenn jemand eine gut gemeinte Funktion nicht so verwendet, wie es im Produktkonzept vorgesehen war?
Genau dort entstehen häufig die spannenden Testfälle.
Was das mit Mobile App Security zu tun hat
Bei einer Prüfung mobiler Anwendungen schauen wir nicht nur nach klassischen technischen Schwachstellen. Wir betrachten auch vollständige Abläufe und mögliche Missbrauchsszenarien:
- Welche Aktionen sind ohne Anmeldung möglich?
- Reicht ein leicht zu beschaffendes Merkmal als Nachweis aus?
- Begrenzen Sperren und Zeitlimits einen Missbrauch wirksam?
- Verwendet die Anwendung sichere Voreinstellungen?
- Welche tatsächlichen Folgen hat eine unerwünschte Aktion?
- Kann jemand einzelne Schritte automatisieren oder kombinieren?
Android Remote Lock ist ein schönes Beispiel dafür. Die Funktion erfüllt einen sinnvollen Zweck. Dennoch entsteht durch die bewusst niedrige Zugangshürde eine kleine, aber reale Möglichkeit, andere Menschen zu stören.
Bei unseren App-Analysen für Android und iOS prüfen wir deshalb nicht nur, ob eine Funktion technisch arbeitet. Wir untersuchen auch, wie sie sich außerhalb des vorgesehenen Ablaufs verwenden lässt. Weitere Einblicke in die Sicherheit und Privatsphäre mobiler Systeme bietet zudem unser Forschungsbeitrag „Androids Security for Privacy – Wo stehen wir heute?“.
Fazit: Praktischer Diebstahlschutz mit eingebautem Nervfaktor
Android Remote Lock ist eine sinnvolle Funktion. Wer sein Smartphone verliert, kann es schnell über die eigene Mobilfunknummer sperren.
Allerdings kann auch jemand anderes auf die Idee kommen, diese Nummer einzugeben. Der Schaden bleibt überschaubar: Das Gerät ist nicht kompromittiert und lässt sich sofort wieder entsperren. Im richtigen – oder falschen – Moment reicht die Sperre dennoch für einen kurzen Anflug von Verwirrung.
Google begrenzt die Funktion auf zwei erfolgreiche Sperren innerhalb von 24 Stunden. Mit einer zusätzlichen Sicherheitsfrage lässt sich der eingebaute Nervfaktor weitgehend abschalten.
Unsere Empfehlung: Probieren Sie Remote Lock einmal am eigenen Smartphone aus und richten Sie anschließend die Sicherheitsfrage ein.
Falls Sie die Mobilfunknummern aller Kolleginnen und Kollegen kennen: Nutzen Sie dieses Wissen verantwortungsvoll.
Oder erzählen Sie ihnen einfach von diesem Artikel.