Sie laden eine App herunter, um Ihren Einsatzplan zu überprüfen oder Basisunterkünfte zu berechnen. Sie vertrauen darauf, dass es sicher ist, weil es speziell an Sie, die Militärgemeinschaft, vermarktet wird. Dieses Vertrauen ist fehl am Platz.
Eine neue Studie enthüllt eine düstere Realität. Über 12 % der an US-Truppen verkauften Apps enthalten Software, die in China, Russland oder anderen gegnerischen Nationen entwickelt wurde. Dies ist nicht nur eine Belästigung der Privatsphäre. Es handelt sich um ein Sicherheitsleck.
Der Code liegt versteckt. Es kann Daten darüber sammeln, wo Militärangehörige leben. Wo sie arbeiten. Wenn sie eingesetzt werden.
Das Ausmaß des Problems
Forscher der Purdue University, West Point und der Florida International University haben 220 Apps zum Thema Militär untersucht. Sie haben diese aus dem Google Play Store und privaten Militär-Subreddits abgerufen.
Die Ergebnisse waren krass. Fast zwei Drittel enthielten Software Development Kits (SDKs) von Drittanbietern. Dabei handelt es sich um vorgefertigte Codekomponenten. Sie kümmern sich um Analysen und Werbung. Sie verfolgen aber auch den Standort und das Nutzerverhalten.
Wir hoffen, dass die Forschung dem Militärpersonal dabei hilft, fundiertere Datenschutzentscheidungen zu treffen.
— Joshua Shinkle, Hauptautor
Mehr als jede achte App hatte Code, der mit Unternehmen in China oder Russland verknüpft war.
Eine beliebte App zur Bewertung der Lebensbedingungen war die Software von Huawei. US-Aufsichtsbehörden haben Huawei bereits im Jahr 2020 als nationale Sicherheitsbedrohung eingestuft. Andere Apps enthielten Code russischer Firmen. Diese Apps integrierten Yandex, einen russischen Werbedienst.
Vierzig Prozent dieser Apps sammelten oder teilten mehr Daten, als ihre Store-Einträge zuließen. Die Gefahr besteht in der Diskrepanz zwischen Offenlegung und tatsächlicher Praxis.
Wie ausländische SDKs die Truppensicherheit gefährden
Das ist nicht theoretisch. Die Einsätze sind real und unmittelbar.
Kommerzielle Datenbroker verfolgen Amerikaner online. Sie unterscheiden nicht immer zwischen Zivilisten und Militärangehörigen, es sei denn, der Profit diktiert dies. Aber Exposition kann tödlich sein.
Daten aus gewöhnlichen Apps können Dienstmitglieder auf Folgendes zurückführen:
- Ihre Privathäuser
- Die Schulen ihrer Kinder
- Einrichtungen außerhalb der Basis, deren Zutritt verboten ist
Experten warnen, dass diese Daten ausländischen Spionen dabei helfen, Personal mit Zugang zu sensiblen Bereichen zu identifizieren. Es zeigt an, wann eine Einrichtung am wenigsten bewacht ist. Es werden kompromittierende Details ans Licht gebracht, die zur Rekrutierung, Erpressung oder Sabotage genutzt werden können.
Im April bestätigte das US-Zentralkommando, was das Pentagon seit Jahren vermutet hatte. Gegner nutzen diese kommerziellen Standortdaten bereits, um US-Personal im Nahen Osten zu überwachen. Dazu gehören Truppen, die in der Nähe des iranischen Militärs in der Straße von Hormus stationiert sind.
Das Kernproblem des Huawei HMS
Die Studie ergab, dass HMS Core, ein Software-Kit von Huawei, in zwölf verschiedenen Apps enthalten ist. Einige davon wurden für staatliche Nationalgarde-Organisationen gebaut.
HMS Core wirbt mit der Fähigkeit:
- Benutzerstandorte zuordnen
- Liefern Sie zielgerichtete Anzeigen
- Speichern Sie Bilder und Videos
Es liegen keine Hinweise darauf vor, dass in dieser speziellen Gruppe von Apps derzeit Daten an Huawei-Server übertragen werden. Ein SDK kann jedoch aus der Ferne aktualisiert werden. Code, der heute inaktiv ist, kann sich morgen in Spyware verwandeln.
In einem Fall wurde Huawei-Code ohne Wissen des Entwicklers in eine App eingegeben. Es wurde als Abhängigkeit innerhalb eines kommerziellen Benachrichtigungstools eingeschmuggelt. Wie ist es dorthin gekommen? Wahrscheinlich, weil der Entwickler einer Bibliothek eines Drittanbieters vertraute, ohne deren Quelle zu prüfen.
Es wurden 76 verschiedene Codequellen von Drittanbietern gefunden. Diese gehen auf Israel, Indien, Deutschland und andere Nationen zurück. Ungefähr 7 % der Apps enthielten Code von Ländern, die das Pentagon ausdrücklich als Gegner einstuft.
Warum Benutzer sich nicht schützen können
Die Forscher befragten 103 mit dem Militär verbundene Personen. Dazu gehörten aktive Soldaten, Reservisten, Veteranen, Zivilisten des Verteidigungsministeriums und ihre Familien.
Die Ergebnisse zeigen ein systemisches Versagen der Transparenz.
- 83 % nutzten mindestens eine App mit unangenehmen Datenpraktiken.
- Die Teilnehmer nutzten durchschnittlich drei solcher Apps.
- Zwischen 76 % und 83 % fühlten sich mit Apps, die Code aus Russland, China, Iran oder Nordkorea enthielten, äußerst unwohl.
Dennoch hat kein Benutzer eine einfache Möglichkeit herauszufinden, ob seine Apps diesen Code enthalten.
Weder im Abschnitt zur Datensicherheit im Google Play Store noch in den Datenschutzkennzeichnungen des Apple App Store wird das Herkunftsland der in einer App ausgeführten Software angegeben. Sie können sehen, welche Daten erfasst werden, aber Sie können nicht sehen, wer die Tools herstellt, mit denen sie erfasst werden.
Benutzer gaben an, dass sie sich bei der Datenerfassung wohler fühlten, wenn die App für militärische Zwecke gekennzeichnet wäre. Branding schafft Vertrauen. Dieses Vertrauen wird ausgenutzt.
Institutionelle Leitlinien fehlen
Fast zwei Drittel der Teilnehmer gaben an, dass sie vom Militär kaum oder gar keine Anleitung zur persönlichen App-Nutzung erhalten hätten. Von denen, die Beratung erhielten, bezeichneten fast drei Viertel diese als unzureichend.
Das Pentagon lehnte es ab, sich zu den Ergebnissen zu äußern.
Was kann also getan werden? Die Teilnehmer wurden gebeten, mögliche Abhilfemaßnahmen abzuwägen.
Sie stuften Telefonwarnungen als die effektivste Lösung ein. Stellen Sie sich ein Warnsystem vor, das Sie benachrichtigt, wenn eine installierte App fremden oder unbekannten Code von Drittanbietern enthält. Benutzer sagten, sie würden dies wahrscheinlich unterstützen.
Weitere vorgeschlagene Maßnahmen waren:
- Bundesgesetze, die Datenmaklern den Verkauf von Daten über Militärpersonal verbieten
- Unabhängige Prüfungen der App-Datenschutzoffenlegungen
- Strengere Verbote von ausländischem Code in militärischen Marketing-Apps
Diese Maßnahmen stießen bei der befragten Gruppe auf nahezu identische Zustimmung.
Die Werbeindustrie behandelt militärische Nutzer und Zivilisten gleich. Der Gewinn ist das einzige Unterscheidungsmerkmal. Solange Plattformen und Entwickler nicht gezwungen sind, den Ursprung des von ihnen bereitgestellten Codes preiszugeben, bleiben die Service-Mitglieder ungeschützt.
Der Code ist da. Es wartet nur auf ein Remote-Update.
