Angriffsziel Smartphone
Mobile Sicherheit in Unternehmen
Wer immer vertrauliche Daten einer Organisation unautorisiert abgreifen will, ob über Kunden, Geschäftszahlen oder über die Forschung, versucht die größte Schwachstelle zu finden. Und das ist in vielen Fällen das Smartphone. In die Sicherheit von Rechenzentren, Arbeitsplätzen und Firmennetzen zu investieren genügt nicht. Studien zeigen, dass schon im Jahr 2020 fast ein Drittel der Unternehmen weltweit mit Cyber-Angriffen auf mobilen Geräten zu kämpfen hatte. Die Zahl dürfte heute deutlich höher liegen. Zum einen speichern Smartphones wertvolle Informationen, zum anderen werden sie in der Sicherheitsstrategie oft vernachlässigt, vor allem dann, wenn Mitarbeiter, Partner oder Lieferanten in die elektronische Kommunikation einbezogen werden. Das Risiko erhöht sich mit der Zahl der mobilen Endgeräte, die Zugriff auf das Unternehmen haben.
Angreifer suchen sich nicht das neueste Smartphone mit der jüngsten Version von iOS oder Android aus, sondern meist das älteste mit einem alten Betriebssystem, dessen Sicherheitslücken längst öffentlich dokumentiert sind oder die Anwender sich oft unwissend fahrlässig verhalten. Ein Smartphone enthält wertvolle Informationen wie Kontakte, Nachrichten und Zugangsdaten zum Firmennetz sowie vertrauliche Informationen von Kunden und Lieferanten. Die Motivation für einen Smartphone-Angriff kann sehr unterschiedlich sein. Es reicht vom Verkauf von Daten über Spionage bis hin zu Sabotage.
Trügerische Sicherheit
Apple und Google unternehmen große technische Anstrengungen, um ihre mobilen Betriebssysteme zu sichern. Sicherheitslücken sind in komplexen Systemen aber kaum zu vermeiden. Daher bieten die Hersteller regelmäßig Aktualisierungen an, die diese Lücken schließen sollen. Mancher mag sich deshalb sicher vor dem Zugriff Dritter fühlen. Übersehen wird dabei, dass sowohl iOS von Apple als auch das Stock-Android-System von Google untrennbar mit den Cloud-Diensten der Hersteller verbunden sind, die sich darüber jederzeit einen Zugang zu den Daten auf dem Smartphone verschaffen können. In den meisten Fällen werden die Daten ohne Widerspruch den Cloud-Diensten der Hersteller überlassen, weil es vielen Anwendern bequem erscheint.
Wer Siri oder den Google Assistenten nutzt, übermittelt nicht nur Inhalte sondern auch Stimmproben an die Big-Tech-Konzerne. Zudem unterstehen Apple und Google dem 2018 erlassenen US-amerikanischen Cloud Act, der es US-Behörden erlaubt, auf die gesammelten Daten der US-Konzerne zuzugreifen, selbst wenn diese im Ausland liegen. Aber auch EU-Verordnungen zwingen mitunter die Anbieter, den Zugang zu diesen Daten zu ermöglichen.
Dass Apple einen Fernzugriff auf iPhones hat, ist kein Geheimnis. Und auch Googles Stock Android ist längst kompromittiert. 2023 hatte US-Senator Ron Wyden aufgedeckt, dass Push-Benachrichtigungen auf beiden Betriebssystemen als Datenschatz für staatliche Überwachung genutzt werden.¹ Die meisten Messenger nutzen die Push-Benachrichtigung ohne Verschlüsselung. So werden Nachrichten im Klartext übermittelt. Aber auch Apps, etwa von Banken, sowie die Passwörter und Daten in den Smartphone-Wallets laufen unverschlüsselt über die Server von US-Anbietern.
Im März 2025 wurde eine weitere systematische Kompromittierung öffentlich: Google aktualisierte ohne Zustimmung der Anwender auf Stock Android SafetyCore.² Dieses Feature wertet Inhalte vor und nach der Verschlüsselung bei einer Ende-zu-Ende verschlüsselter Kommunikation aus, angeblich, ohne das Ergebnis an Dritte weiterzuleiten. Angesichts des wachsenden Bestrebens von nationalen und internationalen Mächten nach digitaler Kontrolle ist es jedoch unwahrscheinlich, dass dies tatsächlich eingehalten wird.
Es gibt sie: Alternative Betriebssysteme und Geräte
Wie Linux als quelloffenes Betriebssystem für Rechenzentren und Arbeitsplätze genutzt wird, um Transparenz und Sicherheit herzustellen, so gibt es auch quelloffene mobile Betriebssysteme. Während insgesamt der Markt für mobile Geräte gesättigt und teilweise sogar rückläufig ist, erlebt die Nachfrage nach Alternativen ein starkes Wachstum. Die meisten Angebote basieren auf dem reinen, quelloffenen Android Open Source Project (AOSP), das keine Google Apps und Google Play Services enthält und damit auch keine Verflechtung mit den Rechenzentren der großen Player zulässt. Hierzu zählen unter anderem die Systeme YOS, Lineage OS und das deutsche Volla OS. Andere Systeme wie Ubuntu Touch, Droidian und Sailfish OS wählen den Weg über ein mobiles Linux-System ohne Android.
Einige alternative Betriebssysteme sind als so genannte Custom ROMs bekannt, die nachträglich auf eine Hardware bekannter Marken aufgespielt werden kann. Hierbei ist zu beachten, dass meist die Gerätetreiber der Hersteller ungeprüft übernommen und die Geräte entsperrt wurden. Eine Lösung sind Geräte, deren Hersteller alle Ebenen der Firmware geprüft, den Quellcode des Betriebssystem veröffentlicht und das Gerät vor Änderungen der Firmware gesperrt haben.
Schwachstelle Anwender
Eine achtsame Auswahl und Beschaffung von sicheren, mobilen Geräten hilft nur bedingt, wenn der Anwender zentrale Sicherheitseinstellungen missachtet.
Sicherheitslücken beginnen nicht mit Schadsoftware, Trojanern und Phishing, sondern bei einem arglosen Anwender, der im ICE über Interna eines Unternehmens plaudert und dabei Namen nennt, der aus Bequemlichkeit sein Smartphone nicht über eine PIN schützt oder vertrauliche Themen in einer WhatsApp-Gruppe diskutiert. Hier ist Sensibilisierung und Aufklärung gefragt. Dabei reichen oft kurze zehn oder zwölf Punkte umfassende Erinnerungen für mobile Sicherheit aus.
Dazu gehören:
1. Achten Sie auf Ihre Worte bei Telefonaten im öffentlichen Raum.
2. Entsperren Sie im öffentlichen Raum Ihr Gerät mit dem Fingerabdrucksensor oder der Gesichtserkennung. PIN-Codes oder Eingabegesten können beobachtet werden.
3. Achten Sie im öffentlichen Raum darauf, dass niemand auf vertrauliche Informationen auf dem Display Einblick hat.
4. Verwenden Sie kein öffentliches WLAN und deaktivieren Sie das WLAN beim Verlassen des Arbeitsplatzes oder der Firma.
5. Verwenden Sie ausschließlich sichere Ende-zu-Ende verschlüsselte Kommunikation oder solche die
von Ihrer Organisation betrieben werden.
Hinzu kommen einige technische Sicherheitsregeln. Größere Unternehmen lösen diese Herausforderung mit einer mobilen Geräteverwaltung, dem Mobile Device Management (MDM). Hierbei registriert, konfiguriert und wartet die IT-Abteilung von zentraler Stelle die Geräte der Mitarbeiter.
Alternative Betriebssysteme enthalten aus Lizenz- und Sicherheitsgründen keinen Google Enterprise Service, der von den meisten Mobile Device Management-Systemen (MDM) verwendet wird. Es gibt jedoch hierfür zukunftsfähige und teils kostenfreie Alternativen, etwa SureMDM von 42gears, das auch reine Linux-Geräte unterstützt.
Doch was ist mit kleinen Unternehmen, die nicht die Mittel und das Personal für ein MDM aufbringen können oder sich der Einsatz bei wenigen Geräten nicht lohnt? Auch hier können grundlegende Regeln weiterhelfen:
Verwenden Sie nur Apps, die Sie wirklich brauchen und die aus vertraulichen Quellen stammen wie aus dem Aurora Store oder von F-Droid, das ausschließlich quelloffene Software anbietet.³
Verzichten Sie vor allem auf Apps, die weitreichende Nutzungsrechte verlangen, in die Verwaltung des Smartphones eingreifen oder über andere Apps ausgeführt werdenkönnen, um Bildschirminhalte auszulesen. Eine falsche Sicherheit vermitteln Apps, die vorgeben, die Sicherheit des Smartphones zu erhöhen wie zum Beispiel Viren-Scanner. Diese sind entweder nutzlos, weil die Möglichkeiten von Android Apps aus Sicherheitsgründen stark eingeschränkt sind, oder sie erfordern die Freigabe weitreichender Berechtigungen, sodass diese Apps selbst ein Sicherheitsrisiko darstellen.
Bei sicherheitskritischen Zugriffsrechten, die von Apps eingefordert werden, ist grundsätzlich Achtsamkeit geboten. Dazu zählen der Zugriff auf die Kamera, das Mikrofon, den Standort, die Kontakte sowie auf dem Gerät gespeicherte Dateien. Der Zugriff muss plausibel sein. Android bietet die Möglichkeit, die Rechte in einer Übersicht in den Systemeinstellungen zu prüfen und bei Bedarf zu widerrufen. Eine praktische Sicherheitsfunktion ist die globale Steuerung und Sperrung des Zugriffs auf Kamera, Mikrofon und Standort.
Besondere Vorsicht ist bei Systemerweiterung wie einer alternativen Tastatur geboten, insbesondere wenn der Quellcode des Geräts nicht offen liegt. Key-Logger sind eine Methode von Hackern, die Kommunikation mitzuverfolgen und an vertrauliche Informationen und Passwörter zu gelangen. Hierbei wird jede berührte Taste protokolliert und übermittelt.
Geschützte Kommunikation
Messenger-Dienste wie WhatsApp werden gerne zur Verbreitung von Malware genutzt. Es ist die meistgenutzte Messaging App und gerade deshalb ein beliebtes Instrument für Angriffe. Seien Sie deshalb bei Links aus unbekannten Quellen vorsichtig, auch bei solchen, die von bekannten Personen weitergeleitet wurden. Treten Sie sofort aus Gruppen aus, in die Sie ungefragt hinzugefügt wurden. Wichtig ist, einen Messenger zu nehmen, dessen Nachrichten Ende-zu-Ende verschlüsselt sind. Und dennoch sind oft die Nachrichten in Gruppen nicht geschützt. Meta-Chef Mark Zuckerberg gab zu, dass Meta, zu dem WhatsApp gehört, selbst die verschlüsselten Nachrichten entschlüsseln kann.
Ein grundsätzliches Misstrauen ist geboten, wenn ein Dienst von Rechenzentren betrieben wird, der Quellcode einer App nicht offen liegt und auch nicht überprüft werden kann. Signal ist ein Beispiel für einen quelloffenen Dienst. Optimal ist ein eigener betriebener Dienst wie NextCloud Talk.
Sicherheit ohne mobile Geräteverwaltung
Wenn Mitarbeiter ihre eigenen Smartphones mitbringen oder ein Firmenhandy zur Selbstverwaltung erhalten, ist das Risiko hoch, dass Sicherheitslücken durch Unachtsamkeit entstehen. Empfehlenswert sind in diesen Fällen eine Art Firewall, die den Datenverkehr auf dem Gerät überwacht und den unkontrollierten Download von Apps blockiert. Unternehmen können über das MDM von Headwind einen Sicherheitsmodus einrichten, aktivieren und deaktivieren.
Mit einer Einschluss- oder Ausschlussliste können Unternehmen festlegen, welche Verbindungen gesperrt und welche zugelassen werden. Erstere Variante ist geeignet, um Tracking, Phishing und Malware keine Chance zu geben. Letzteres ist geeignet, um die ausschließliche Verwendung von Dienstgeräten für den jeweiligen Arbeitsplatz sicher zu stellen. Das kann beispielsweise für mobile Pflegedienste und Unternehmen mit vielen Außendienstmitarbeitern hilfreich sein.
Doch wie geht ein Unternehmen mit Lieferanten und Partnern um, die in die Kommunikation und den Datenaustausch mit dem Unternehmen eingebunden sind? Das deutsche Unternehmen Cogia bietet hierzu mit dem Socializer Messenger⁴ eine weitreichende Lösung an, selbst wenn das Gerät einen Key Logger enthält. Die sichere Messaging App mit einem Funktionsumfang analog zu Microsoft Teams verwendet eine eigene Tastatur. Der Dienst kann entweder in der Infrastruktur der Organisation betrieben werden oder wird von Cogia für jeden Kunden isoliert bereitgestellt. Mithilfe der Gesichtserkennung kann sogar sichergestellt werden, dass eine Information nur die Person erreicht, für die sie bestimmt ist.
Gesicherter Datenverkehr durch VPN
Für Unternehmen und Organisationen ist ein virtuelles Privates Netzwerk (VPN) eine grundlegende Sicherheitsmaßnahme, die gleichermaßen für mobile Endgeräte gilt. Auch wenn die Internetverbindungen verschlüsselt sind, bietet ein VPN einen zusätzlichen Schutz vor der Überwachung des Datenverkehrs durch den Netzbetreiber einschließlich WLAN-Hotspots. Wer nicht selbst ein VPN einrichten kann, ist auf Dienstleister angewiesen. Hier ist Vorsicht geboten. Schließlich kann der VPN-Dienstleister auf den gesamten Datenverkehr zugreifen.
Der VPN Dienstleister Hide.me stellt ein erweitertes Wireguard-Protokoll zur Verfügung, bei dem für jeden Verbindungsaufbau die Schüssel zwischen einem Netzteilnehmer, zum Beispiel einem Smartphone, und dem VPN-Dienst ausgetauscht werden. Ein Man-in-the-Middle-Angriff wird dadurch erheblich erschwert. Liegt der Unternehmenssitz außerhalb der USA und der EU, kann der Betreiber garantieren, die Internetaktivitäten nicht zu protokollieren. Größere Organisationen können den VPN-Dienst über exklusive Server beziehen. Die Quellcodes grundlegender technische Elemente von Hire.me sind veröffentlicht.
Eine spannende Variante bietet der Hersteller YourData Network mit seinem OwnPhone an, das mit einem speziellen VPNTeil eines dezentralen Internets für höchste Sicherheit und Schutz vor Angriffen und Ausfall von Cloud-Diensten steht.
Insgesamt ist das Thema Cybersicherheit für Smartphones komplex. Das sollte jedoch nicht entmutigen. Für die meisten Unternehmen und Organisationen genügen grundlegende Vorkehrungen und Verhaltensweisen.
Die Grundlage bilden sichere, mobile Endgeräte mit einer Firmware, die nicht mit den Rechenzentren von Apple oder Google verbunden ist und deren Quellcode transparent und überprüfbar ist. Die Firmware sollte vom Hersteller abgesichert aufgebracht werden, der alle Ebenen der Software geprüft und bereinigt hat.
1 Siehe unter anderem: www.heise.de/news/iPhone-und-Android-Push-Nachrichten-als-Datenschatz-fuer-staatliche-Ueberwachung-9566588.html (zuletzt abgerufen am 13.10.25).
2 www.kuketz-blog.de/wie-google-android-nutzer-verfolgt-noch-bevor-sie-eine-app-oeffnen/ (zuletzt abgerufen am 13.10.2025).
3 Pro Minute werden zwei bis drei Apps mit Schadsoftware veröffentlicht. Siehe dazu: https://unternehmen-cybersicherheit.de/einfallstor-smartphonewie-hackerangriffe-auf-handys-unternehmen-bedrohen/ (zuletzt abgerufen am 13.10.25).
4 www.cogia.de/abhoersicher-messenger (zuletzt abgerufen am 13.10.2025).
