Geräte sicherer machen
Auf unseren Smartphones und Laptops haben wir sehr viele sensible oder private Daten gespeichert, die wir gerne geheim halten möchten. In diesem Kapitel geht es um Gerätesicherheit und mögliche Schritte um sie zu verbessern.
Wie sichern wir unsere Smartphones und Notebooks möglichst gut vor fremden Zugriff? Wie umgehen damit, dass Smartphones selbst auch viele Daten über unseren Alltag sammeln und Dritten möglicherweise mehr Auskunft über uns geben, als uns lieb ist?
Inhaltsverzeichnis
Sicherheitsupdates
Sicherheitsupdates
Bildschirmsperre
Bildschirmsperre
Festplatten verschlüsseln
Festplatten verschlüsseln
Clouddienste
Clouddienste
Backups
Backups
App-Berechtigungen
App-Berechtigungen
Tipps gegen neugierige Blicke
Tipps gegen neugierige Blicke
Einleitung
Auf ihren Smartphones haben Nutzer:innen eine Menge Daten gespeichert, die nicht für jeden bestimmt sind. Solange man die Kontrolle über das Gerät hat, scheint alles gut zu sein. Aber sind diese Daten auch sicher, wenn das Gerät plötzlich defekt ist, man das Gerät verliert oder es sogar gestohlen wurde? Wer sich mit diesen Fragen im Vorfeld beschäftigt und ein paar Sicherheitsvorkehrungen trifft, erhöht die Sicherheit der eigenen Geräte enorm und muss sich auch im Ernstfall keine Sorgen machen.
Manche Menschen glauben zwar, „nichts zu verbergen“ zu haben, doch wer würde seinen Eltern oder allen Freunden alle Inhalte auf dem eigenen Gerät zeigen wollen? Wenn man schon bei nahestehenden Personen, die wahrscheinlich nur das Beste für einen selbst wollen, ein Problem damit hat, kann man kaum zu dem Schluss kommen, dass man vor Fremden nichts zu verbergen habe. Schließlich hat man auf seinen Geräten zahlreiche sensible Daten gespeichert: persönliche Nachrichten, Kontakte, Fotos und Videos - vielleicht sogar Fitness-, Gesundheitsdaten oder die Zugänge und Daten vom Bankkonto. Neben den lokal gespeicherten Daten selbst, sind auf Smartphones meist zahlreiche Zugänge eingerichtet: So hat man mit dem Zugriff auf ein Smartphone auch oft den Zugriff auf zum Beispiel E-Mail-, Social Media- oder Geldkonten. Dann kann ein Fremder plötzlich in deinem Namen Nachrichten an deine Kontakte versenden oder gar Geld abbuchen. Es gibt also mehr als genug Gründe, etwas Zeit in den Schutz der eigenen Geräte zu stecken. Wie das geht, erklären wir in diesem Kapitel.
Sicherheitsupdates
Die meisten Programme werden von ihren Hersteller:innen kontinuierlich weiterentwickelt. Diese Weiterentwicklungen bezeichnet man als Updates und in der Regel werden sie über das Betriebssystem oder einen App-Store zur Verfügung gestellt, die Nutzer:innen dann einspielen sollen.
Viele Hersteller:innen stehen dabei in ständiger Konkurrenz zu ihren Mitbewerber:innen (auf Smartphones kämpfen iOS von Apple und Android von Google um Marktanteile, auf Computern Microsoft Windows gegen MacOS Apple, bei Videokonferenzen Zoom und Webex usw). Wenn ein:e Hersteller:in ein von den Nutzer:innen begeistert aufgenommenes Feature entwickelt hat, versuchen die Konkurrenten meist schnell mit einer ähnlichen Funktion aufholen zu können. Schließlich möchte kein:e Hersteller:in, seine Nutzer:innen an die Konkurrenz verlieren. Die Konkurrenz und der Druck sind hoch, die veröffentlichten Programme und Updates enthalten oft noch Fehler.
Im Grunde kann man Programme und Betriebssysteme mit einem langen Text vergleichen. Wenn von jemandem ein langer Text geschrieben wurde, also zum Beispiel ein Buch oder ein Artikel für ein Magazin, enthält dieser mit hoher Wahrscheinlichkeit noch Rechtschreibfehler. Deshalb wird das Werk vor der Veröffentlichung von weiteren Personen Probe gelesen. Wenn es veröffentlicht wurde, ist es aber möglich, dass immer noch 1–2 Fehler übersehen wurden, die dann im gedruckten Text stehen. Diese fallen dann vielleicht einem:r Leser:in auf und der Verlag korrigiert diese in der zweiten Auflage. Programme bestehen oft aus mehreren Hunderttausend oder gar Millionen Zeilen Code. Viel wurde unter Zeitdruck entwickelt. So enthält veröffentlichte Software oft Fehler. Wegen manchen Fehlern stürzt ein Programm dann zum Beispiel während der Nutzung unerwartet ab. Wegen anderen Fehlern hat eine Software Sicherheitslücken.
Wegen dieser Sicherheitslücken kann es zum Beispiel möglich sein, dass sich Hacker:innen über das Internet oder über das lokale WLAN, mit dem das Smartphone gerade verbunden ist, unbefugten Zugriff verschaffen und so auch private Daten einsehen können. Wenn eine Hersteller:in von diesem nicht vorgesehen Fehler erfährt, wird er in der Regel so schnell wie möglich ein Update bereitstellen, um diese Lücke zu schließen. Diese Rolle übernehmen neben den Funktions-Updates die sogenannten Sicherheitsupdates, die bestehende Sicherheitslücken schließen. Viele Updates enthalten oft sowohl neue Funktionen als auch Sicherheits-„Patches“ (deutsch: Pflaster), die bestehende Sicherheitslücken schließen. Das ist der Grund, weshalb man als Nutzer:in immer alle Updates einspielen sollte. Problematisch wird es, wenn eines Tages keine Updates mehr zur Verfügung stehen. Wahrscheinlich ist das Gerät dann schon älter und erfüllt die Hardwareanforderungen nicht mehr oder die Software wird nicht mehr weiterentwickelt. Daher gilt der dringende Rat: Systeme, für die es keine Updates mehr gibt, sollten nicht mehr benutzt werden. An dieser Stelle kann man allenfalls noch prüfen, ob es evtl. die Möglichkeit gibt, ein anderes aktuelles Betriebssystem auf dem Gerät einzuspielen. Anderenfalls lautet die dringende Empfehlung, es gegen ein neueres Gerät auszutauschen. Leider ist es als Käufer:in oft nicht in Erfahrung zu bringen, wie lange ein bestimmtes Gerät mit Sicherheitsupdates versorgt wird. Manche Geräte erhalten länger als 5 Jahre Sicherheitsupdates. Es gibt aber auch Fälle von zum Beispiel sehr günstigen Smartphones, die nicht einmal ein Update auf die nächste Betriebssystemversion erhalten.
Bildschirmsperre
Eine Bildschirmsperre solltest du für alle deine Endgeräte einrichten und diese jedes Mal sperren, wenn du sie nicht im Blick hast oder gerade keine Kontrolle über sie hast. Zum Entsperren lassen sich entweder Passwörter/PINs oder biometrische Merkmale verwenden. Beide haben ihre Vor- und Nachteile.
1. PINs
Bei der Eingabe der PIN (Persönliche Identifikationsnummer) solltest du natürlich aufpassen, dass dir dabei niemand über die Schulter blickt. Das ist in der Öffentlichkeit gar nicht so einfach, wenn man zum Beispiel durch die menschengefüllten Straßen geht oder im Kino auch die Reihen hinter einem belegt sind. Es gibt spezielle Sichtschutzfolien, die man sich aufs Display kleben kann. Diese schränken den Blickwinkel ein, sodass neugierige Betrachter von der Seite nur noch schwer erkennen können, was auf dem Bildschirm passiert. Dies erhöht den Schutz der eigenen Daten auf dem Display. Natürlich ist es zunächst etwas anstrengend, bei jeder Nutzung des eigenen Geräts eine PIN eingeben zu müssen. Doch man gewöhnt sich schnell daran. Es stellt schließlich auch niemand in Frage, dass man die eigene Wohnung auf- und abschließt, wenn man sie betritt oder verlässt. Dabei ist es wirklich umständlich, jedes Mal das Schlüsselbund aus der Tasche ziehen zu müssen und dann noch den richtigen Schlüssel auszuwählen.
Dein PIN sollte mind. 8 Zeichen lang und zufällig sein. Verwende keine Geburtsdaten oder Ähnliches, da sich diese leicht erraten lassen. Auch sind Tastenfolgen wie
- 1, 2, 3, 4, 5, 6, 7, 8
- 5, 5, 5, 5, 5
- 2, 5, 8, 4, 5, 6
einfach zu erraten und werden von vielen Menschen verwendet.
2. Maximale Login-Versuche
Wenn jemand Fremdes dein Gerät in die Hände bekommt, sollte dieser idealerweise nur die Möglichkeit haben, PINs durchzuprobieren. Geht der/diejenige davon aus, dass die PIN nur vier Stellen hat, so müsste man von 0, 0, 0, 0 bis 9, 9, 9, 9 alle möglichen Kombinationen durchprobieren. Mit hoher Wahrscheinlichkeit könnte man das Passwort so innerhalb weniger Stunden knacken. Damit das weiter erschwert wird, solltest du dein Smartphone so konfigurieren, dass man mit Ausprobieren nicht ans Ziel kommt. Beispielsweise könnte das Gerät nach drei Falscheingaben erst einmal 5 Minuten blockiert werden. Und sich nach 15 Minuten vollständig auf die Werkseinstellungen zurücksetzen. Es wäre ein riesiger Zufall, wenn es jemand Unbefugtem so gelingen sollte, das Gerät zu entsperren. Außerdem ist es essenziell, dass man sich den eigenen PIN gut merkt. Denn wenn man diesen vergessen hat, verliert man auch als Besitzer eines Geräts die Möglichkeit, dieses zu entsperren. Daher schreibt man sich eine PIN am besten zunächst beim Einrichten auf und verwahrt diese Notiz sicher. Wenn man die PIN dann über einen gewissen Zeitraum ständig eingegeben hat, vergisst man sie auch nicht mehr und kann den Zettel ruhigen Gewissens vernichten.
3. Passwörter
Alles was hier über PINs geschrieben wurde, gilt natürlich auch für Passwörter. Mit diesen kann man sein Smartphone auch sperren, üblicherweise werden Passwörter aber eher zum Sperren von Computern und zum Einloggen bei Services und Onlinekonten eingesetzt. Wie man Passwörter sicher bildet und aufbewahrt, wurde bereits in Kapitel 06 "Gute und schlechte Passwörter" beschrieben.
4. Biometrische Verfahren
Eine Alternative zu den PINs und Passwörtern sind biometrische Anmeldeverfahren. Biometrische Verfahren sind für Nutzer:innen bequem, leider haben die Methoden aber auch ihre Schwachstellen.
Anmeldungen über Fingerabdrücke oder für das eigene Gesicht konnten von Hacker:innen bereits umgangen werden. Aus dem Fingerabdruck, den man an jedem angefassten Gegenstand hinterlässt, lässt sich zum Beispiel aus Silikon eine Kopie des Fingerabdrucks erstellen. Im September 2013 erschien Apples iPhone 5s, welches erstmals einen Fingerabdrucksensor verbaut hatte. Bereits wenige Stunden nach Erscheinen wurde dieser von Sicherheitsforscher:innen überlistet. Um ein Telefon mit einem Gesichtsscanner zu entsperren, reicht es bei manchen Geräten, ein Foto des Besitzers vor die Kamera zu halten. Bessere Systeme sind nicht ganz so einfach zu überwinden, jedoch gehen Forscher:innen davon aus, dass sich jedes biometrische System überlisten lässt. Daher können biometrische Systeme nur eine begrenzte Sicherheit bieten.
Natürlich können PINs und Passwörter theoretisch auch geknackt werden. Doch diese lassen sich im Gegensatz zum eigenen Gesicht oder Fingerabdruck einfach austauschen. Auch kann man nicht bei jedem Dienst ein anderes verwenden, wie die Empfehlung bei Passwörtern und PINs ist. Bei der Polizei kann übrigens in Deutschland und Österreich niemand gezwungen werden, die eigenen Passwörter zu verraten. Da dort aber ggf. Fingerabdrücke abgegeben werden müssen und Fotos von einem gemacht werden, ist es auch möglich, dass die eigenen Geräte gegen den eigenen Willen entsperrt werden. Dein Finger kann auch schnell mit Gewalt auf den Sensor des Smartphones gedrückt werden. Um in diese Situation zu kommen, muss man übrigens wahrlich kein:e Verbrecher:in sein. Auch kann das Problem am Flughafen bei der Urlaubsreise in ein anderes Land auftreten. Daher kann es in gewissen Situationen sinnvoll sein, die biometrische Authentifizierung schnell zu deaktivieren, wenn man sie überhaupt verwendet.
Festplatten verschlüsseln
Mit den bisherigen Einstellungen ist es für Außenstehende nicht mehr möglich, das eigene Gerät zu entsperren. Doch wie schützt man sich davor, dass einfach jemand den Speicher aus dem Gerät ausbaut und an einen anderen Computer anschließt, um die Daten auszulesen?
An vielen Computern lässt sich nach dem Lösen von ein paar Schrauben die Festplatte ausbauen. Bei vielen Smartphones und auch bei manchen Computern mag das etwas schwieriger sein, weil sich die Geräte nicht einfach so aufschrauben lassen und der Speicher oft fest verlötet ist. Doch mit ein wenig Aufwand ist dies für Fachleute weiterhin möglich. Durchs vollständige Verschlüsseln der eigenen Festplatte kann man sich davor aber einfach schützen. Dies erledigt das Betriebssystem oder ein entsprechendes Programm. Danach werden beim Entsperren des Geräts die verschlüsselt gespeicherten Daten während der Nutzung entschlüsselt. Beim Benutzen fällt das gar nicht auf, denn heutige Geräte sind in der Regel leistungsstark genug um das schnell im Hintergrund durchzuführen. Doch wenn man über ein externes Gerät versucht, diese Daten auszulesen, sind sie ohne den zugehörigen Schlüssel nicht zu interpretieren und daher völlig wertlos. Auf den Smartphones mit iOS sind die lokalen Datenträger automatisch verschlüsselt, wenn man eine Bildschirmsperre eingerichtet hat. Bei Android muss man die Verschlüsselung in der Regel manuell aktivieren. Auch auf eurem Rechner müsst ihr diese manuell aktivieren. Dabei ist es wichtig, dass ihr den Schlüssel auch außerhalb von eurem Rechner sichert – also ihn zum Beispiel ausdruckt und das Papier sicher und vor fremden Zugriff geschützt aufbewahrt. Denn wenn sich der eigene Rechner eines Tages nicht mehr einschalten lässt, weil zum Beispiel der Prozessor durchgebrannt ist, wollt ihr den Zugriff auf die eigenen Daten nicht verlieren. Wer seinen Schlüssel verloren hat, kann die eigenen Daten sonst wirklich nicht mehr entschlüsseln. Das gehört einfach dazu, wenn es sicher sein soll. Hätte man eine Möglichkeit, ohne den Schlüssel wieder an die Daten zu kommen, wäre die Verschlüsselung nicht mehr sicher.
Anleitungen im Kapitel "Verschlüsselung"
- Windows: VeraCrypt / Bitlocker (nur bei Windows Pro Editionen)
- Mac OS: VeraCrypt/ FileVault
Vorsicht bei Clouddiensten
Die meisten Hersteller:innen von Betriebssystemen bieten heute sogenannte Cloudservices an und bewegen ihre Nutzer:innen in der Regel schon bei der ersten Anmeldung dazu, diese auch zu verwenden. Beispiele für Clouddienste sind zum Beispiel Apples iCloud, Google Drive, Microsofts OneDrive oder Dropbox.
Über Clouddienste kann man (nach Anmeldung) auf jedem Gerät auf die gleichen, eigenen Daten nutzen. Das ist auch besonders praktisch, wenn das bisher genutzte Gerät defekt ist. Neben dem reinen Datenspeicher bieten Clouddienste oft weitere Funktionen wie zum Beispiel Fotoalben oder die Möglichkeit, gemeinsam an Texten zu arbeiten. Auch lassen sich Backups von Smartphones oft bequem in der Cloud speichern. Obwohl diese Angebote immer und überall super funktionieren, müssen Nutzer:innen dafür oft nicht einmal Geld zahlen.
Clouddienste sind also Dienste und Speicherplatz „im Internet“. Genauer betrachtet handelt es sich dabei um Server der Hersteller:innen, die irgendwo auf der Welt stehen und mit denen sich Nutzer:innen verbinden. Auf diesen Servern werden die Daten gespeichert und nach Anmeldung werden diese Daten dann mit den Geräten der Nutzer:innen synchronisiert. Die Daten liegen somit nicht mehr nur auf den eigenen Geräten, sondern eben auch auf den Servern der:des Anbieters:in des Clouddienstes. Dabei verliert man aber auch die Kontrolle über diese Daten. Wie diese Daten von Anbieter:innen verarbeitet werden, welche Informationen dieser Anbieter:innen aus euren Daten über euch gewinnt und was dieser in Zukunft damit macht, bleibt intransparent. Da Anbieter:innen diese Dienste, für die Nutzer:innen oft kein Geld zahlen, auch finanzieren müssen werden die Anbieter:innen diese Daten möglicherweise auch verwenden, um damit Geld zu verdienen. Und das muss nicht immer zum Vorteil oder im Interesse der Nutzer:innen sein. Auch gab es in der Vergangenheit Vorfälle, bei denen Sicherheitslücken bei Cloudanbieter:innen von Kriminellen ausgenutzt wurden, um Daten von Nutzer:innen zu kopieren. Dazu gehören zum Beispiel private Fotos, die heute öffentlich im Internet einsehbar sind, obwohl Nutzer:innen dem nie zugestimmt haben. Um diese Risiken zu minimieren, kann man beispielsweise Clouddienste deaktivieren oder zumindest abwägen, welche Daten man welcher:m Anbieter:in anvertrauen möchte. Als Alternative zu Konzernen, deren Geschäftsmodell die Verarbeitung der Daten ihrer Nutzer:innen ist, gibt es zum Beispiel die freie Cloud-Software Nextcloud oder Owncloud. Dabei handelt es sich um eine Software, die jeder selbst aufsetzen und betreiben kann - vorausgesetzt, man hat die Hardware und das Wissen dafür. Für alle anderen gibt es zahlreiche kommerzielle Anbieter:innen, die die Nutzung ihrer eigenen Nextcloud Instanzen gegen Geld anbieten. Wichtig bei der Nutzung ist, dass man dieser:m Anbieter:in vertraut.
Backups
Zu einem sicheren Gerät gehört auch, nicht selbst den Zugriff auf die eigenen Daten zu verlieren. Das kann im Falle von Diebstahl, Defekten und durch Verlieren der Geräte schnell passieren. Auch verschlüsselt moderne Schadsoftware gerne die Daten auf befallenen Rechnern und fordert von den Nutzer:innen ein Lösegeld, um diese Daten wieder zu entschlüsseln. Denn der Verlust von Daten geht oft mit einem hohen Schaden einher. Wer vorher ein Backup – also eine Sicherheitskopie der eigenen Daten – angelegt hat, kann dem gelassen entgegensehen. Die Hersteller:innen von Smartphones machen es ihren Nutzer:innen leicht, die Backups automatisch in ihren Clouds zu speichern. Wie oben beschrieben ist davon aus Gründen der Privatsphäre abzusehen. Besser sind Backups auf lokalen Speichermedien wir zum Beispiel Festplatten, NAS-Speichersystemen und USB-Sticks.
Um die Daten von einem iPhone zu sichern, schließt man es am besten am Rechner an. Auf einem Mac wird automatisch ein Backup erstellt. Auf einem Windows PC kann man über die Software iTunes ein Backup erstellen. Ein Androidgerät schließt man für Backups auch an den eigenen Rechner an und kann die Daten manuell auf die Festplatte kopieren. Alternativ kann man die Daten auch vom Androidgerät auf eine eingelegte SD-Karte kopieren. Da sich gespeicherte Daten verändern, sollen diese Backups natürlich regelmäßig erneuert werden.
Um sicher zu gehen, halte dich an die 3-2-1-Regel. Da Datenträger leider im Laufe der Zeit kaputt gehen oder z.B. durch Feuer oder Wasser zerstört werden können, sollen immer drei Backups angefertigt werden, die auf zwei unterschiedlichen Medien gespeichert werden. Davon wird eine Kopie an einem anderen Ort gelagert.
App-Berechtigungen
Apps werden auf Smartphones in sogenannten Containern oder Sandboxen ausgeführt, in der eine App zunächst isoliert läuft. Viele Apps benötigen aber für ihre Funktionalität weitere Zugriffe.
Um über einen Messenger den eigenen Standort mit Freunden teilen zu können, muss die App auf die Ortungsdienste des Telefons zugreifen können. Um ein Foto auf einem Social Media Kanal posten zu können, muss die Social-Media-App auf das Fotoalbum zugreifen können. Aber vielleicht möchte man nicht zulassen, dass die angesagte Musik-Player-App auf das eigene Adressbuch zugreift, weil man nicht weiß, ob diese App die Daten vielleicht an den Betreiber der App übermittelt. Und nur weil man über einen Messenger alle paar Wochen mal den eigenen Standort mit Freunden teilt, ist man vielleicht nicht damit einverstanden, dass dieser dauerhaft verfolgen kann, wo ich man sich gerade aufhält. Daher ist es wichtig, für jede App individuell festzulegen, auf welche Daten diese zugreifen darf.
Im Betriebssystem geht man dafür in die Einstellungen und wählt dort die entsprechende App aus. Innerhalb der App-Einstellungen lässt sich für jede App individuell festlegen, welche Berechtigungen man einer App gewähren möchte oder nicht.
Typische Beispiele sind:
- Mikrofon
- Kamera
- Adressbuch
- Fotos
- Standortdienste
Wenn man Apps auf iOS das erste Mal verwendet, fragen Sie explizit um Erlaubnis, ob Sie auf eine bestimmte Ressource zugreifen können. Hier sollte man sich genau überlegen, was man anklickt. Auch gibt es die Option, diese Erlaubnis nur einmalig zu gewähren.
In den Anfangstagen von Smartphones und Apps gab es ein beeindruckendes Negativbeispiel: Nutzer:innen konnten kostenlos eine Taschenlampen-App herunterladen, deren Funktionalität darauf beschränkt war, die Blitz-LED der Kamera dauerhaft leuchten zu lassen, also eine Taschenlampe zu imitieren. Was die Nutzer:innen aber nicht wussten: Diese App hat zum Beispiel auch auf ihre privaten Adressbücher und Fotos zugegriffen und diese Daten im Hintergrund an die:den Hersteller:in der App übertragen.
Tipp gegen neugierige Blicke
Blickschutzfolie
Für das Sammeln von privaten Daten reicht oft das bloße über die Schulter schauen und mitlesen. Um sich vor Shoulder Surfing zu schützen und zu verhindern, dass in öffentlichen Verkehrsmitteln, Cafés und Wartezimmern der Bildschirm von Notebook, Tablet oder Smartphone von Neugierigen mitgelesen wird, empfiehlt sich die Verwendung von Blickschutzfolien.
Blickschutzfolien haben zwischen zwei Schichten transparenter Folie sehr feine, senkrecht verlaufende Lamellen, die bewirken, dass Bildschirme von links und rechts ab einem Neigungswinkel von ca. 30° nicht einsehbar sind und verdunkelt erscheinen. So lässt sich ein Großteil der neugierigen Blicke im öffentlichen Raum abwehren.
Wie bei gewöhnlichen Schutzfolien, die für Smartphone-Bildschirme sehr verbreitet sind, lassen sich Blickschutzfolien auch auf Gerätescreens anbringen. Für die Bildschirme von PC und Notebook ist es auch möglich die Blickschutzfilter zu verwenden, die nur mit Magnet befestigt und damit nur nach Bedarf verwendet werden. So kann man in öffentlichen Verkehrsmitteln auch privater am Gerät unterwegs sein.
Fazit
Zum Abschluss darf nicht unerwähnt bleiben, dass leider auch diese Tipps keinen 100%igen Schutz vor fremden Zugriffen auf deine Daten sichern können. Dabei ist das aber gar nicht so schlimm, wie es zunächst klingen mag. Denn die Standardeinfallstore wurden mit diesem Leitfaden geschlossen. Auch wenn immer noch kein absolut sicherer Schutz besteht, müsste ein Angreifer:in mit gängigen Ressourcen sehr hohen Aufwand betreiben, um diesen Zugriff zu erhalten.