Android-Sicherheits-Checkliste: die Basics

Warum App-Berechtigungen wichtiger sind, als man denkt

Die meisten Ratschläge zur Handysicherheit laufen auf „ein starkes Passwort setzen“ hinaus. In der Praxis ist die häufigste Lücke aber eine Berechtigung, die eine App einmal erhalten hat und die danach nie wieder überprüft wurde: Zugriff auf Kamera, Mikrofon, Standort, Dateien. Seit Android 6.0 nutzt das System ein sogenanntes Runtime-Berechtigungsmodell — „gefährliche“ Berechtigungen (Kontakte, Kamera, Standort usw.) werden nicht bei der Installation abgefragt, sondern erst im Moment der tatsächlichen Nutzung, und der Nutzer kann sie für jede App einzeln erteilen oder entziehen. Android 11 hat die Möglichkeit hinzugefügt, Standort-, Mikrofon- und Kamerazugriff nur einmalig zu erteilen („nur dieses Mal“), und Android 13 hat den Medienzugriff in separate Kategorien unterteilt — Fotos, Videos, Audio — statt Zugriff auf den gesamten Speicher auf einmal.

Praktischer Schritt: Öffnen Sie Einstellungen → Datenschutz → Berechtigungsmanager und gehen Sie die Kategorien „Kamera“, „Mikrofon“, „Standort“ durch. Für Apps, die den Zugriff nicht dauerhaft benötigen (etwa einen Fotoeditor oder eine Chat-App), wählen Sie „Nur während der Nutzung“ oder „Jedes Mal fragen“ statt „Immer zulassen“. Prüfen Sie außerdem, ob die automatische Berechtigungsentfernung für lange nicht genutzte Apps aktiv ist — sie heißt meist so ähnlich wie „Berechtigungen bei Nichtnutzung entfernen“ und ist standardmäßig eingeschaltet.

Systemupdates und Sicherheitspatches

Die monatlichen Android-Sicherheitspatches schließen konkrete Schwachstellen, von denen einige bereits in echten Angriffen ausgenutzt werden. Das Datum des letzten Patches finden Sie unter Einstellungen → System → Systemupdate (oder „Über das Telefon“ → „Sicherheitsupdate“). Liegt das Datum ohne erkennbaren Grund mehrere Monate zurück, lohnt es sich, manuell nach einem Update zu suchen. Ebenso wichtig ist es, die Apps selbst aktuell zu halten: Aktivieren Sie die automatische Aktualisierung in Google Play, denn Fixes erscheinen oft nicht in einer neuen Android-Version, sondern in einem Update einer bestimmten App oder Bibliothek.

Sperrbildschirm und Biometrie

• Verwenden Sie eine PIN ab 6 Ziffern oder ein alphanumerisches Passwort statt eines Musters — ein Muster lässt sich leicht über die Schulter ablesen oder anhand von Fingerspuren auf dem Display rekonstruieren.
• Nutzen Sie Biometrie (Fingerabdruck, Gesichtserkennung) als Ergänzung zur PIN und nicht als einzige Methode: Biometrie ist bequem, hat aber rechtliche und technische Besonderheiten bei der Entsperrung, die ein Code nicht hat.
• Deaktivieren Sie die Anzeige von Benachrichtigungsinhalten auf dem Sperrbildschirm — das schließt ein Leck von Bestätigungscodes und Nachrichten bei Verlust des Telefons.

App-Quellen und Prüfung vor der Installation

Installieren Sie Apps vorzugsweise aus Google Play und aktivieren Sie den Google-Play-Protect-Scan (Play Store → Profilsymbol → Play Protect). Wenn Sie aus irgendeinem Grund ein APK außerhalb des offiziellen Stores installieren müssen, prüfen Sie vor der Installation, welche Berechtigungen die App anfordert — wenn eine Taschenlampen-App Zugriff auf Kontakte und SMS verlangt, ist das ein Grund zur Vorsicht und kein Anlass, automatisch auf „Installieren“ zu tippen.

Passwörter und Zwei-Faktor-Authentifizierung

Die aktuellen NIST-Empfehlungen zum Management digitaler Identitäten (SP 800-63B) verlagern den Fokus weg von zwingender Passwort-„Komplexität“ (Pflicht-Sonderzeichen, Ziffern, regelmäßiger Wechsel ohne Anlass) hin zu Länge und Einzigartigkeit: Eine lange, für jeden Dienst einzigartige Passphrase ist in der Praxis widerstandsfähiger als ein kurzes Passwort mit ein paar Sonderzeichen — und lässt sich zudem leichter merken. Dutzende einzigartige Passwörter im Kopf zu behalten ist unrealistisch, deshalb ist ein Passwort-Manager eine sinnvolle Lösung; die Auswahlkriterien dafür sind im Beitrag Wie man einen zuverlässigen Passwort-Manager wählt beschrieben.

Zusätzlich lohnt es sich, die Zwei-Faktor-Authentifizierung mindestens für Ihr Google-Konto und Ihre E-Mail zu aktivieren — über diese beiden wird am häufigsten der Zugang zu anderen Diensten wiederhergestellt. Wie das geht und warum es „kein überflüssiger Schritt, sondern echter Schutz“ ist, wird ausführlich im Artikel zur Zwei-Faktor-Authentifizierung erklärt.

WLAN und Netzwerkverbindungen

Offene, passwortlose Netzwerke in Cafés, Flughäfen und Hotels verschlüsseln den Datenverkehr zwischen Gerät und Access Point nicht — ein bequemer Angriffspunkt innerhalb desselben Netzwerks. Wenn Sie über öffentliches WLAN eine Banking-App oder Ihr Konto nutzen müssen, ist eine verschlüsselte Verbindung oberhalb des Netzwerks sinnvoll — die HamikVPN-App für Android verschlüsselt beispielsweise den Datenverkehr Ihres Geräts und senkt das Abfangrisiko genau in solchen Situationen. Mehr zu den Risiken öffentlicher Netzwerke und weiteren Schutzmaßnahmen im Artikel Wie Sie Ihre Daten in öffentlichem WLAN schützen.

Backups und Gerät wiederfinden

Seit Android 6 ist die Geräteverschlüsselung (dateibasierte Verschlüsselung) standardmäßig aktiviert, sodass Daten auf einem verlorenen Telefon ohne Entsperrung des Bildschirms nicht ausgelesen werden können — das funktioniert aber nur, wenn tatsächlich eine PIN oder ein Passwort für den Sperrbildschirm eingerichtet ist und nicht „Wischen zum Entsperren“. Zusätzlich lohnt es sich:

• „Mein Gerät finden“ zu aktivieren (Einstellungen → Sicherheit → Mein Gerät finden) und einmal zu prüfen, dass das Telefon tatsächlich über android.com/find oder einen ähnlichen Dienst gefunden wird.
• Ein Backup wichtiger Daten einzurichten (Google One oder eine lokale verschlüsselte Kopie), damit der Verlust des Telefons nicht auch den Verlust von Fotos und Kontakten bedeutet.

Wenn das Telefon verloren oder gestohlen wurde

1. Sperren Sie das Telefon über „Mein Gerät finden“ per Fernzugriff und lösen Sie, falls eine Wiederherstellung nicht möglich ist, die Löschung der Daten aus.
2. Ändern Sie zuerst das Passwort Ihres Google-Kontos (oder Ihrer Haupt-E-Mail) — andere Dienste sind meist darüber wiederherstellbar.
3. Wenden Sie sich an Ihren Mobilfunkanbieter, um die SIM-Karte zu sperren und zu verhindern, dass Bestätigungscodes per SMS auf einem neuen Gerät empfangen werden.
4. Prüfen Sie die Liste der aktiven Sitzungen in Banking- und anderen kritischen Apps und beenden Sie alle, die Sie nicht zuordnen können.

Die 15-Minuten-Schnellcheckliste

• Patchdatum prüfen und automatische App-Updates aktivieren.
• PIN ab 6 Ziffern statt Muster einrichten, Benachrichtigungsinhalte auf dem Sperrbildschirm ausblenden.
• Berechtigungsmanager durchgehen: Kamera, Mikrofon, Standort — nur „während der Nutzung“.
• Google Play Protect aktivieren.
• Lange, einzigartige Passwörter über einen Passwort-Manager verwenden und Zwei-Faktor-Authentifizierung für das Google-Konto aktivieren.
• „Mein Gerät finden“ aktivieren und einmal testen.
• Bei öffentlichem WLAN für Banking- und Arbeits-Apps eine verschlüsselte Verbindung nutzen.

Keiner dieser Punkte ersetzt die anderen — es sind unabhängige Schutzebenen, und erst ihr Zusammenspiel reduziert die Zahl realistischer Angriffsszenarien. Mehr zu digitaler Hygiene und Privatsphäre im HamikVPN-Blog, und die Android-App selbst finden Sie auf der HamikVPN-App-Seite.