Smartphones, die mit dem Google-Betriebssystem Android arbeiten, weisen womöglich eine schwerwiegende Sicherheitslücke auf. Durch diese kann die SIM-Karte des Mobiltelefons gesperrt, eine Rufumleitung eingerichtet oder sogar der gesamte Speicher des Geräts gelöscht werden.
Der Bug ist dabei unabhängig vom jeweiligen Hardware-Hersteller und der spezifischen Android-Version. Ursprünglich schien es so, als sei nur das Samsung Galaxy SIII von der Sicherheitslücke betroffen. Mittlerweile ist diese allerdings auch in einer Vielzahl von Geräten anderer Hersteller aufgetreten. Die Probleme werden durch die USSD-Steuercodes der Software verursacht.
Fremdwebsites manipulieren USSD-Codes
Die Aufgabe der USSD-Steuercodes (Unstructured Supplementary Service Data) ist es eigentlich, eine Vielzahl der Smartphone-Funktionen direkt anzusteuern. Genutzt werden diese Befehle zumeist von den Entwicklern, die in Feinarbeit die Funktionsweise des Betriebssystems verbessern wollen. Normalerweise ist es jedoch nicht möglich, einem Smartphone Befehle über diese Codes zu geben, ohne dass diese dazu nicht noch einmal über die Oberfläche des Betriebssystem vom Nutzer bestätigt werden.
Bei einer Vielzahl von Android-Geräten ist diese “Sicherheitsleine” allerdings ausgehebelt. Im Netz gibt es inzwischen einige Websites, die sich die Sicherheitslücke zunutze machen möchten: Werden sie angesteuert, rufen sie die Steuercodes auf, um eine Rufnummernumleitung zu etablieren, die SIM-Karte zu sperren oder den gesamten Speicher des Geräts zu löschen.
Applikation schließt die Sicherheitslücke
Der Onlinedienst Heise hat einen Test (heise.de/ussd) eingerichtet, durch den Nutzer ihr Smartphone überprüfen können. Das Programm ruft dabei den Steuercode auf, der die Gerätenummer des Smartphones aufrufen soll. Im Idealfall fragt das Telefon anschließend, wie es mit dieser Anfrage verfahren soll. Tut es das nicht, besteht die Sicherheitslücke. In diesem Fall hilft die Applikation “NoTelURL“, die im Google Play Store heruntergeladen werden kann. Diese unterdrückt die automatische Ausführung der USSD-Steuercodes. Google hat angekündigt, die Sicherheitslücke mit dem nächsten Update von Android schließend zu wollen.
