So funktioniert die Prüfung verdächtiger Apps von Applore, und ihre Grenzen

Bevor Sie etwas ändern

Womit die Prüfung vergleicht

Die Prüfung verdächtiger Apps von Applore sieht sich jede auf Ihrem Telefon installierte App an und vergleicht sie auf drei Arten mit einer Bedrohungsliste:

• den Paketnamen der App, die eindeutige Kennung jeder Android-App, etwa com.example.app
• das Signaturzertifikat der App, die digitale Signatur ihres Entwicklers. Eine Übereinstimmung hier zählt auch dann, wenn die App umbenannt wurde.
• den Dateifingerabdruck der App, einen Code, der aus der Installationsdatei der App auf Ihrem Telefon berechnet wird. Er passt genau zu einer Version einer App.

Die Bedrohungsliste vereint mehrere öffentliche Quellen:

• die von Echap veröffentlichten Stalkerware-Indikatoren unter der Lizenz CC BY 4.0. Sie umfassen Stalkerware, also Apps, die verkauft werden, um einen anderen Menschen heimlich zu überwachen, und getrennt davon Watchware, Überwachungs-Apps wie Kindersicherungen oder Werkzeuge zur Mitarbeiterüberwachung, die meist offen installiert werden.
• die Indikatoren des Mobile Verification Toolkit (MIT-Lizenz), die von Forschenden dokumentierte kommerzielle Spyware-Apps auflisten.
• die von ESET veröffentlichten Indikatoren (Lizenz BSD 2-Clause) für schädliche Android-Apps.
• eine kurze Liste, die Applore selbst pflegt, etwa mit Antivirus-Test-Apps und Namen von Stalkerware-Produkten.

Bekannte schädliche Apps werden nie allein über den Paketnamen erkannt. Umgepackte schädliche Apps verwenden oft den Namen einer beliebten App, sodass eine Namensübereinstimmung die echte App markieren könnte. Sie werden nur über das Signaturzertifikat oder den exakten Dateifingerabdruck erkannt.

Wie die Liste auf Ihr Telefon kommt. Ein Mensch prüft jede Aktualisierung und veröffentlicht sie von Hand. Applore sucht etwa einmal am Tag nach einer neuen signierten Liste, wenn das Telefon online ist. Es prüft die Signatur, lehnt jede Datei ab, die verändert, beschädigt oder kleiner als erwartet ist, und verwendet dann weiter die Liste, die es schon hat. Eine Kopie wird außerdem mit der App ausgeliefert. Die Suche nach einer Aktualisierung lädt eine Datei herunter und sendet nichts über Ihre Apps.

Keine dieser Quellen ist vollständig. Echap erklärt, dass seine Indikatoren keine vollständige Liste der Stalkerware sind und es keine Garantie für ihre Richtigkeit gibt, und eine neue Version einer App kann erscheinen, bevor irgendeine Liste sie enthält. Deshalb sucht Applore auch nach Warnzeichen.

Ergebnisse von Google Play Protect

Wenn Google Play Protect eingeschaltet ist, fragt Applore außerdem ab, welche installierten Apps es als schädlich meldet, und listet sie mit Play Protect als Quelle auf. Play Protect ist der Scanner von Google, der in Android-Telefone mit Google Play integriert ist. Wenn Play Protect ausgeschaltet ist oder das Telefon keine Google Play-Dienste hat, wird dieser Teil der Prüfung übersprungen, und der Rest läuft weiter. Wenn Play Protect ausgeschaltet ist, zeigt die Prüfung verdächtiger Apps einen Hinweis, damit Sie es wieder einschalten können. Was Google Play Protect prüft erklärt dessen eigene Grenzen.

Verhaltenssignale, die Applore bewertet

Für Apps, die nicht auf der Liste stehen, bewertet Applore Signale, die Überwachungs-Apps oft zeigen. Jedes einzelne kommt auch bei normalen Apps häufig vor.

Die Installation außerhalb eines App-Stores ist eine Voraussetzung, kein Beweis für sich. Eine aus einer Datei installierte App mit sichtbarem Symbol erreicht Hoch nur, wenn ein weiteres starkes Zeichen hinzukommt: ein verstecktes Symbol, Zugriff auf Bedienungshilfen und Benachrichtigungen zugleich, ein systemähnlicher Name, ein Entwickler-Testzertifikat oder Zugriff auf mindestens vier von Mikrofon, Kamera, Standort, Nachrichten, Anrufliste und Kontakten, während sie so eingestellt ist, dass sie weiterläuft und mit dem Telefon startet. Ein selbst installierter Anrufrekorder kann wie der letzte Fall aussehen, deshalb können Sie ihn als vertrauenswürdig markieren.

Eine Kopie einer beliebten App allein ist Ein Blick wert: Veränderte Versionen und offizielle Downloads von der Website eines Entwicklers sehen genauso aus. Sie erreicht Hoch nur mit verstecktem Symbol oder Zugriff auf Bedienungshilfen, Benachrichtigungen oder die Geräteverwaltung.

Applore überspringt System-Apps und sich selbst. Apps, die von der eigenen Firmware des Herstellers installiert wurden, etwa Regions- oder Anbieter-Apps, werden wie Installationen aus einem App-Store behandelt.

Was die Stufen bedeuten

Jede markierte App erhält eine dieser Stufen, mit denselben Worten wie in der App:

Bekannte Überwachungs-AppHochEin Blick wertNicht markiert

• Bekannte Überwachungs-App: Paketname, Signaturzertifikat oder Dateifingerabdruck entsprechen bekannter Stalkerware auf der Liste, eine bekannte Überwachungs-App wurde aus einer Datei installiert und versteckt ihr Symbol, oder eine App von außerhalb eines Stores verwendet den Namen eines bekannten Stalkerware-Produkts und kann sensible Zugriffe nutzen.
• Hoch: außerhalb eines App-Stores installiert, mit starken Warnzeichen wie einem ausgeschalteten Symbol oder einem versteckten Symbol zusammen mit Zugriff auf Bedienungshilfen, Benachrichtigungen oder die Geräteverwaltung. Eine App, die über Zertifikat oder Datei einer bekannten schädlichen App entspricht oder die Google Play Protect als schädlich meldet, ist ebenfalls Hoch, egal woher sie stammt. Auch eine Antivirus-Test-App erscheint hier, gekennzeichnet als harmlose Testbedrohung.
• Ein Blick wert: einige Warnzeichen oder eine bekannte Überwachungs-App, die aus einem App-Store installiert wurde. Sehen Sie sie sich an, wenn Sie einen Moment Zeit haben.
• Nicht markiert: keine Übereinstimmung und nicht genug Zeichen. Das ist kein Beweis, dass die App oder das Telefon in Ordnung ist.

In Applore erklärt Über diese App jeden Fund in klaren Worten: was die App sehen oder tun kann, woher sie stammt, wann sie installiert wurde und warum sie markiert wurde.

Überwachungs-Apps und Stalkerware

Familien-, Kindersicherungs- und Mitarbeiter-Apps aus Google Play werden als Überwachungs-Apps gekennzeichnet, nicht als Stalkerware. Sie werden meist offen installiert und können legitim sein, können aber auch missbraucht werden. Eine aus einem App-Store installierte App kann höchstens Ein Blick wert erreichen, es sei denn, sie steht auf der Bedrohungsliste oder Play Protect meldet sie. Überwachungs-Apps und Stalkerware erklärt den Unterschied.

Aus Play entfernt: eine eigene Liste

Applore zeigt außerdem Aus Play entfernt: installierte Apps, die auf einer heruntergeladenen Liste von Apps stehen, die Google aus Richtliniengründen aus Google Play entfernt hat, meist Adware oder Betrug. Das ist keine Prüfung auf Spyware oder Malware und wird getrennt von der Prüfung verdächtiger Apps geführt. Sie erhöht nie die Stalkerware-Stufe einer App und sendet nie von sich aus eine Erinnerung.

Wann Prüfungen laufen

Applore bittet um Ihre Einwilligung, bevor es Ihre App-Liste zum ersten Mal liest. Danach laufen Prüfungen:

• wenn Sie Applore öffnen
• im Hintergrund nach Zeitplan, einschließlich einer täglichen erneuten Prüfung jeder installierten App
• wenn Apps hinzugefügt oder aktualisiert werden, sobald Android diese Änderungen meldet

Der Energiesparmodus von Android kann Prüfungen im Hintergrund verzögern, daher wird eine neue App möglicherweise nicht sofort geprüft.

Findet Applore ein Ergebnis Bekannte Überwachungs-App oder Hoch, erinnert es Sie später und immer wieder, bis Sie reagieren: nach etwa einer Stunde, später am selben Tag, am nächsten Tag, dann eine Woche lang täglich und danach wöchentlich. Wenn Sie eine Erinnerung wegwischen, bleibt der Fund bestehen. Ein Fund ist erledigt, wenn die App entfernt wurde oder wenn Sie sie mit der PIN oder dem Muster Ihrer App-Sperre als vertrauenswürdig markieren. Ergebnisse Ein Blick wert erscheinen in der Liste ohne Erinnerung.

Was Applore nicht kann

Applore kann außerdem bei manchen Einstellungen nicht sehen, welchen Sonderzugriff eine andere App erhalten hat, etwa den Zugriff auf Nutzungsdaten oder die Einblendung über anderen Apps. Es sieht nur, dass die App ihn angefordert hat.

Manche Arten der Überwachung liegen außerhalb dessen, was eine App-Prüfung sehen kann:

• Implantate in der Systemsoftware des Telefons oder Tools, die ein gerootetes Telefon benötigen
• Angriffe, die gar keine App brauchen, etwa Zero-Click-Exploits
• Ausspähen über ein gemeinsam genutztes oder angemeldetes Konto oder einen Cloud-Dienst. Die Sicherheitsüberprüfung führt Sie durch diese Einstellungen, kann sie aber nicht für Sie prüfen.
• Netzwerkverkehr sowie Anruf- oder Nachrichtenweiterleitungen, die bei Ihrem Mobilfunkanbieter eingerichtet wurden

Was gesendet wird und was nicht

• Die Prüfung läuft auf Ihrem Telefon. Die Erkennung lädt nichts über Ihre Apps hoch, und die Ergebnisse bleiben auf dem Gerät.
• Aktualisierungen der Bedrohungsliste sind reine Downloads. Applore lädt die signierte Liste von applore.io. Wie jede Webanfrage zeigt das dem Server Ihre IP-Adresse, enthält aber nichts über Ihre Apps.
• Play Protect wird auf dem Telefon abgefragt. Wenn Play Protect eingeschaltet ist, fragt Applore es über die Google Play-Dienste auf Ihrem Telefon ab.
• Keine Paketnamen gehen an Analysedienste. Analyseereignisse zur Prüfung enthalten Anzahlen, keine App-Namen.
• Eine Ausnahme: App-Kategorie. Wenn Sie im App-Manager die App-Kategorie öffnen, werden Paketnamen an den Server von Applore gesendet, um Apps nach Kategorie zu gruppieren. Das ist eine eigene Funktion, offengelegt in der Datenschutzerklärung.
• Der Bericht verlässt das Telefon nur, wenn Sie ihn teilen. Ein Beweisbericht wird auf Ihrem Telefon erstellt und verlässt es nur über das Teilen-Menü von Android, an den Ort, den Sie wählen. Siehe einen Nachweis dessen teilen, was Applore gefunden hat.

Hilfe finden

Die App Applore enthält Kontakte zu Hilfsangeboten für Indien, die USA und das Vereinigte Königreich sowie internationale Angebote. Wenn Sie woanders leben, suchen Sie nach einem Hilfetelefon gegen häusliche Gewalt in Ihrem Land. Hilfetelefone nennt Anlaufstellen für den Anfang. Wenn Sie in unmittelbarer Gefahr sind, wählen Sie Ihre örtliche Notrufnummer.

Die Liste der Daten und Lizenzen von Dritten, die Applore verwendet, finden Sie in den Credits. Alle Sicherheitsratgeber finden Sie in der Übersicht der Sicherheitsratgeber.