BSI warnt vor vorinstallierter Schadsoftware auf Smartphones und Tablet

Von billigen Smartphones aus Fernost, auf denen Malware ab Werk installiert ist, hört man immer wieder. Nun warnt das BSI vor drei Mobilgeräten, die online angeboten werden. Ein Hersteller verspricht Nachbesserung.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat vor einem Tablet- und zwei Smartphone-Modellen gewarnt, die mit Schadsoftware ausgeliefert worden sind oder per Firmware-Update davon befallen werden können. Beim Tablet Eagle 804 von Krüger&Matz sei eine vorinstallierte Schadsoftware gefunden worden, die mit einem Server Kontakt aufnimmt, und über den etwa weitere Schadsoftware wie Trojaner aufs Gerät gelangen können, wie die Behörde mitteilt.

Bei den Smartphones Ulefone S8 Pro und Blackview A10, die das BSI ebenfalls über einen Onlinemarktplatz bestellt und getestet hat, konnte im aktuellen Auslieferungszustand zwar keine Schadsoftware nachgewiesen werden. Die Hersteller bieten jedoch auf ihren Internetseiten als einzige Variante eine Firmware mit niedrigerer Versionsnummer zum Download an, in der diese Schadsoftware enthalten ist. Deshalb geht die Behörde davon aus, dass mit diesen Firmwareversionen ausgelieferte Geräte ebenfalls betroffen sind.

Der Hersteller des Ulefones S8 Pro Pro erklärte t-online.de: "Die von den Kunden erworbenen Geräte und die Geräte, die wir derzeit verkaufen, sind kein Problem. Das Problem ist, dass die Version des Software-Installationspakets auf der offiziellen Website zu niedrig ist."

Ulefone habe das Installationspaket auf unserer offiziellen Website aktualisiert und durch die neueste von Google zertifizierte Software ersetzt. "Wir werden den Kunden das fota-Softwareupdate innerhalb von drei Tagen zur Verfügung stellen", so der Hersteller. Benutzer müssen danach ihr Telefon auf die neueste Version aktualisieren.

Anbieter sollen betroffene Kunden informieren

Weil das BSI täglich mehr als 20.000 Verbindungen unterschiedlicher deutscher IP-Adressen mit dem Schadsoftware-Server aufzeichnet, seien die Mobilfunkanbieter über infizierte Geräte in ihren Netzen informiert worden. Sie sollen nun betroffene Kunden informieren.

Verbraucher, die so eine Nachricht von ihrem Mobilfunkanbieter erhalten, haben dem BSI zufolge keine Möglichkeit, die Malware von ihrem Gerät zuverlässig zu entfernen oder dieses ohne Schadfunktionalität zu betreiben.

Grundsätzlich rät die Behörde Verbrauchern, nicht allein wegen des Preises oder bestimmter Funktionen eine Kaufentscheidung für ein Mobilgerät zu treffen. Man zahle sonst möglicherweise mit seinen Daten oder werde Opfer betrügerischer Aktivitäten.

Sicherheitseigenschaften transparent aufzeigen

Um eine fundierte Kaufentscheidung treffen zu können, seien Verbraucher aber auch auf eine transparente Darstellung der Sicherheitseigenschaften angewiesen. Hier seien die Händler gefordert. Sie müssten dafür Sorge tragen, dass solche Geräte gar nicht erst auf den Markt kommen.

• Trojaner-Mail: BSI warnt vor falschen Vodafone-Rechnungen
• Spam-Kampagne: So schützen Sie sich vor dem Banking-Trojaner Emotet
• Hacker-Angriff auf Politiker: BSI wusste schon früh von dem Datendiebstahl

Die Hersteller der Mobilgeräte hat das BSI ebenfalls informiert und aufgefordert, geeignete Maßnahmen zu treffen, um die Sicherheit ihrer Geräte und Kunden wiederherzustellen.