In Sachen Sicherheit kann man bei Smartphones nicht vorsichtig genug sein. Sie enthalten sensible Daten und können als Sicherheits-Token für die Zwei-Faktor-Authentifizierung dienen. Dank Fingerabdruck- und Gesichtserkennung verfügen sie mittlerweile zwar über biometrische Sicherungsverfahren - viele Millionen Smartphones sind aber nach wie vor offen für einen Low-Tech-Angriff: den verstohlenen Blick aufs Display, während sie entsperrt werden. Eine neue Studie zeigt: Das Ausspähen von Entsperrmustern, wie sie auf Android-Phones zum Einsatz kommen, ist verhältnismäßig leicht - im Gegensatz zu einem sechsstelligen Pin oder einer biometrischen Freischaltung.
Die von den Sicherheitsforschern der US Naval Academy und der Universität von Maryland Baltimore County veröffentliche Studie hat ergeben, dass ein Android-Entsperrmuster von einem zufälligen Betrachter relativ leicht kopiert werden kann. In ihren Tests haben die Forscher ermittelt, dass zwei von drei Beobachtern ein Android-Entsperrmuster mit sechs Punkten aus einer Entfernung von etwa zwei Metern nach nur einmaliger Beobachtung wiederholen können. Ein sechsstelliger Pin, wie er auf den meisten iPhones verwendet wird, erwies sich dagegen als vergleichsweise schwierig: Nur etwa jeder zehnte Teilnehmer der Studie konnte diesen auf den ersten Blick rekonstruieren.
Diese Diskrepanz ist zum Teil darauf zurückzuführen, wie einprägsam ein Android-Freischaltmuster für das menschliche Gehirn ist, erklärt Professor Adam Aviv von der Naval Academy. „Muster bleiben uns leicht im Gedächtnis - es ist so, als ob man die Leute bittet, sich an ein Symbol zu erinnern“, sagt Aviv, der zusammen mit seinen Forscherkollegen die Ergebnisse im Dezember auf der Annual Computer Security Applications Conference in Puerto Rico präsentieren wird. „Muster sind definitiv nicht so sicher wie eine Pin.“
Für ihre Tests haben die Forscher über Amazons Mechanical Turk Crowdsourcing-Plattform insgesamt 1173 Teilnehmer gebeten, sich online sorgfältig ausgewählte Videos einer Smartphone-Entsperrung anzusehen. Die Videos zeigten den Entsperrvorgang mit gebräuchlichen Geheimzahlen und Mustern aus fünf verschiedenen Winkeln und Entfernungen - anschließend sollten die Testpersonen die Pin oder das Entsperrmuster erraten. Der Videotest wurde mit 91 Personen nochmal persönlich wiederholt, um ihre Online-Ergebnisse zu überprüfen.
Die Forscher fanden heraus, dass rund 64 Prozent der Online-Teilnehmer ein Sechs-Punkte-Muster nach nur einer Betrachtung rekonstruieren konnten, 80 Prozent gelang dies nach zwei. Lediglich 11 Prozent der Befragten waren in der Lage, eine sechsstellige Pin auf den ersten Blick zu identifizieren. 27 Prozent schafften es, nachdem sie das Video ein zweites Mal sahen.
Es gibt aber einen kleinen Trost für alle Android-Nutzer, die an ihren Entsperrmustern hängen: Die Studie zeigt auch, dass sich das Ausspähpotential erheblich verringert, wenn die „Feedback“-Linien ausgeschaltet werden, die das Wischmuster des Fingers auf dem Display nachvollziehbarer machen. Nur 35 Prozent der Online-Teilnehmer konnten ein Muster ohne diese Hilfslinien erkennen. „Wer ein Muster verwendet, das ihm gefällt, kann sich mit dem Ausschalten dieser Linien etwas mehr Sicherheit verschaffen“, sagt Aviv.
Es gibt jedoch zahlreiche andere Gründe, sich bei der Sicherheit des Smartphones nicht auf ein Muster zu verlassen. Eine frühere Studie, an der Aviv ebenfalls beteiligt war, hatte ergeben, dass die Zufälligkeit eines Sperrmusters ungefähr der eines dreistelligen Pin-Codes entspricht. Andere Forscher haben gezeigt, dass sich die in Frage kommenden Muster mit einer automatisierten Bilderkennungssoftware deutlich einschränken lassen, selbst wenn das Video heimlich aus ein paar Metern Entfernung aufgezeichnet wurde. Außerdem lässt sich ein Sperrmuster auch relativ zuverlässig anhand der Bildschirmflecken auf der Touchscreen-Oberfläche erkennen.
Die „Pin oder Muster“-Debatte ist natürlich nicht mehr so relevant wie noch vor wenigen Jahren. Heute sichern viele Android- und iPhone-Nutzer ihr Gerät per Fingerabdruck, und bald vermutlich per Gesichtserkennung. Dennoch greifen Smartphones häufig noch immer auf Pin-Codes und Muster zurück – beim ersten Einschalten etwa, oder wenn die biometrische Sicherung nicht funktioniert. Viele sicherheitsbewusste Anwender deaktivieren biometrische Sicherungen bewusst, um Spoofing-Angriffe zu vermeiden oder das Entsperren ihrer Smartphones durch die Behörden zu verhindern. In Amerika beispielsweise schützt der fünfte Zusatzartikel zur Verfassung der Vereinigten Staaten die Bürger davor, ihren Pin-Code preiszugeben – dies gilt aber nicht für ihre Fingerabdrücke oder ihr Gesicht.
Die Studie der Naval Academy und der Universität von Maryland zeigt, wie anfällig Pin-Codes und besonders Muster für eine Low-Tech-Form des Hackens sind, nämlich das Ausspähen. Wer also ein Entsperrmuster auf seinem Smartphone verwendet, sollte unbedingt die Hilfslinien ausschalten.
