Ein Google-Sprecher gab auf Reddit bekannt , dass das Unternehmen mit der Einführung der ersten Version seines Advanced Flow begonnen hat, der die Installation von Apps von nicht verifizierten Entwicklern sicherer machen soll.
Wir erklären Ihnen, was Sideloading ist, warum Google Play nicht hundertprozentig sicher ist, worauf Sie beim Sideloading achten sollten, um es sicherer durchzuführen, und wie Googles Advanced Flow hilft dabei.
Was ist Sideloading?
Sideloading ermöglicht Android Nutzer installieren Apps von außerhalb von Google Play. Das kann nützlich sein, schafft aber auch Möglichkeiten für Betrug und Schadsoftware.
Android Die Offenheit von [Name der Plattform] ist eine ihrer beständigsten Stärken. Sie sind nicht auf einen einzigen App-Store beschränkt: Sie können Apps von der Website eines Entwicklers, einem alternativen Marktplatz, einem Unternehmensportal oder einer direkt mit Ihnen geteilten Datei installieren.
Das nennt man Sideloading. Es ist nicht zwangsläufig gefährlich, aber es beseitigt einige der Sicherheitsvorkehrungen, die bei der herkömmlichen App-Store-Verteilung gelten. Apps direkt aus dem Google Play Store zu beziehen, bietet keine Garantie für Sicherheit, aber es findet zumindest eine gewisse Überprüfung statt. Google gibt an, bis 2025 mehr als 1,75 Millionen Apps, die gegen die Richtlinien verstoßen, an der Veröffentlichung gehindert und über 80.000 Entwicklerkonten im Zusammenhang mit schädlichen Apps gesperrt zu haben.
Es gibt mehrere Gründe für das Sideloading:
- Der Entwickler vertreibt eine App direkt über seine eigene Website.
- Die App ist in Ihrem Land oder auf Google Play nicht verfügbar.
- Ein alternatives App-Repository bietet Ihnen das, was Sie suchen, zum Beispiel Open-Source-Software.
- Sie benötigen eine Enterprise-, Beta- oder Spezial-App.
- Sie möchten eine Version installieren, die derzeit nicht über Google Play angeboten wird.
Doch auch Malware-Autoren und Online-Betrüger nutzen diese Flexibilität. Sie geben sich als Banken , Lieferdienste, Regierungsbehörden, Krypto-Plattformen, Nachrichtensprecher oder Personalvermittler aus und drängen ihre Opfer dann dazu, eine App zu installieren, um ein Konto zu „sichern“, eine Zahlung zu erhalten oder ein erfundenes Problem zu lösen.
Google Play ist kein Freifahrtschein
Google Play verfügt über Prüfverfahren, Richtliniendurchsetzung, Entwicklerkontrollen und Google Play Protect . Zudem werden nach der Veröffentlichung einer App fortlaufende Überprüfungen durchgeführt. Diese Maßnahmen reduzieren das Risiko zwar deutlich, machen aber weder jeden Eintrag harmlos noch jeden Entwickler vertrauenswürdig.
Zu den Bedrohungen, die weiterhin über offizielle Kanäle auftreten können, gehören:
- Trojaner, die sich als nützliche Hilfsprogramme, Spiele oder Finanz-Apps tarnen
- Adware und Apps, die ihr Verhalten falsch darstellen
- Abofallen und irreführende Abrechnungspraktiken
- Datenerfassungs-Apps, die mehr Zugriff anfordern, als sie benötigen
- Schläfer-Apps, die ihr Verhalten nach einer ersten Überprüfung ändern
Google Play Protect überprüft Apps aus dem Play Store vor dem Download und scannt auch Apps aus anderen Quellen. Es kann vor potenziell schädlichen Apps warnen, diese deaktivieren oder entfernen, sollte aber als zusätzliche Sicherheitsebene und nicht als Ersatz für die sorgfältige Prüfung einer App vor der Installation betrachtet werden.
Schutz für Ihr Mobilgerät – überall und jederzeit.
Kurz gesagt: „Verfügbar bei Google Play“ ist ein positives Signal, kein Sicherheitsurteil.
Warum das Sideloading Aufmerksamkeit erfordert
Der Hauptunterschied zwischen der Installation aus einem anerkannten Store und dem Herunterladen einer APK-Datei von einer anderen Quelle liegt nicht nur im Dateiformat, sondern in der Vertrauenskette.
Beim Sideloading haben Sie möglicherweise weniger Gewissheit hinsichtlich:
- Wer hat die App entwickelt?
- Ob die Datei verändert oder neu verpackt wurde
- Ob die Downloadseite sich als ein legitimer Entwickler ausgibt
- Ob Sie echte Updates erhalten werden
- Ob ein Betrüger Sie dazu manipuliert, Sicherheitsvorkehrungen zu deaktivieren
Social Engineering ist oft der entscheidende Faktor. Ein überzeugender Anrufer, ein Pop-up, eine SMS oder eine Chatnachricht kann darauf bestehen, dass die Installation einer App dringend erforderlich ist. Das Ziel des Angreifers ist es häufig, das Opfer dazu zu bringen, Warnungen zu ignorieren, bevor es die Aufforderung hinterfragen kann.
Seien Sie bei jeder unerwarteten Aufforderung zur Installation einer App misstrauisch, insbesondere wenn sie mit Dringlichkeit, Geheimhaltung, einem Geldversprechen oder der Behauptung einhergeht, Ihre Bank, Regierung, Ihr Arbeitgeber oder Geräteanbieter verlange dies.
Eine seriöse Bank, Regierungsbehörde, Strafverfolgungsbehörde oder ein technischer Supportanbieter sollte Sie weder anrufen noch Ihnen eine Nachricht senden und Sie auffordern, eine APK-Datei zu installieren oder Ihre Sicherheitssoftware zu schwächen. Android Sicherheitseinstellungen.
Wie man sicherer seitlich lädt
Führen Sie Sideload nur dann durch, wenn Sie einen konkreten Grund dafür haben, und stellen Sie sicher, dass die Entscheidung von Ihnen selbst und nicht durch eine unerwartete Nachricht oder einen Anruf getroffen wurde.
- Beginnen Sie auf der offiziellen Website des Entwicklers. Verwenden Sie keine gesponserten Suchergebnisse, zufällige Downloadportale, Links von Unbekannten oder Domains, die einer ähnlichen Domain ähneln.
- Überprüfen Sie den Entwickler unabhängig. Schauen Sie auf der offiziellen Website des Herausgebers, in der Dokumentation, im öffentlichen Code-Repository und in vertrauenswürdigen Community-Kanälen nach. Die Informationen auf der Downloadseite allein reichen nicht aus.
- Bevorzugen Sie etablierte App-Repositorys. Wenn eine App außerhalb von Google Play vertrieben wird, nutzen Sie nach Möglichkeit eine Quelle mit einem guten Ruf hinsichtlich Herkunft und Signaturprüfung. Fortgeschrittene Nutzer können das Signaturzertifikat oder den kryptografischen Hash einer APK-Datei mit einem vom Entwickler veröffentlichten Wert vergleichen. Dies ist zwar nicht für jeden praktikabel, kann aber helfen, Fälschungen zu erkennen.
- Installieren Sie keine Apps unter Druck. Beenden Sie das Gespräch, schließen Sie den Chat und recherchieren Sie selbstständig über die behauptete Organisation anhand der gefundenen Kontaktdaten.
- Lassen Sie Google Play Protect aktiviert. Es scannt Apps während der Installation und anschließend in regelmäßigen Abständen, einschließlich Apps, die außerhalb von Google Play installiert wurden.
- Überprüfen Sie die Berechtigungen vor und nach der Installation. Seien Sie besonders vorsichtig, wenn eine einfache App Zugriff auf Bedienungshilfen, SMS-Nachrichten, Benachrichtigungen, Geräteverwaltung, Kontakte oder Bildschirmaufzeichnung benötigt.
- Halten Sie Android und Ihre Apps auf dem neuesten Stand. Sicherheitsupdates schützen sowohl vor Schwachstellen im Betriebssystem als auch vor bekanntem schädlichem App-Verhalten.
- Verwenden Sie seriöse mobile Sicherheitssoftware . Eine separate Sicherheitsebene kann helfen, riskantes Verhalten zu erkennen und zusätzliche Transparenz hinsichtlich potenziell unerwünschter oder schädlicher Apps zu gewährleisten.
- Entfernen Sie Berechtigungen und deinstallieren Sie Apps, denen Sie nicht mehr vertrauen oder die Sie nicht mehr verwenden. Eine App, die bei der Installation harmlos erschien, kann zu einem Risiko werden, wenn der Entwickler sie nicht mehr betreut oder seine Strategie ändert.
Wie Googles neues Advanced Flow hilft
Google führt Advanced Flow für die Installation von Apps von Entwicklern ein, die die Zertifizierung noch nicht abgeschlossen haben. Android Das neue Identitätsprüfungsverfahren von [Name des Unternehmens/der Plattform]. Diese Funktion richtet sich an Nutzer, die die Risiken der Installation nicht verifizierter Software kennen, aber dennoch diese Flexibilität benötigen.
Das Design ist bemerkenswert, da es sowohl Social-Engineering-Angriffe als auch Malware abwehrt. Anstatt eine sofortige, einseitige Intervention zu ermöglichen, erfordert der Ablauf von den Nutzern Folgendes:
- Aktivieren Sie den Entwicklermodus in den Systemeinstellungen. Das ist ganz einfach und hilft, versehentliche oder durch einen einzigen Klick ausgelöste Umgehungen zu verhindern, die häufig bei Betrugsmaschen mit hohem Druck eingesetzt werden.
- Führen Sie eine kurze Sicherheitsprüfung durch , um sicherzustellen, dass Sie niemand dazu überredet, Ihre Sicherheitseinstellungen zu deaktivieren. Betrüger setzen ihre Opfer häufig unter Druck, Schutzmaßnahmen zu deaktivieren.
- Starten Sie Ihr Gerät neu. Dadurch werden jegliche Fernzugriffe oder aktive Telefonanrufe unterbrochen, die ein Betrüger möglicherweise nutzt, um Sie zu manipulieren.
- Warten Sie einen Tag und bestätigen Sie die Änderung dann per Biometrie, z. B. per Fingerabdruck- oder Gesichtserkennung, oder mit Ihrer Geräte-PIN. Diese einmalige Verzögerung von einem Tag nimmt Betrügern die Dringlichkeit und gibt Ihnen Zeit zum Nachdenken.
Sobald Sie den Vorgang abgeschlossen haben, können Sie festlegen, ob Installationen von nicht verifizierten Entwicklern für sieben Tage oder auf unbestimmte Zeit zugelassen werden sollen.
Advanced Flow bedeutet nicht, dass Google Play risikofrei ist, und macht auch nicht verifizierte Apps nicht automatisch schädlich. Die Entwicklerverifizierung schafft Verantwortlichkeit: Sie verknüpft eine App mit der Identität eines verifizierten Entwicklers, garantiert aber nicht, dass jede App harmlos oder für jeden Nutzer geeignet ist.
Letztendlich liegt die Entscheidung bei Ihnen. Installieren Sie Apps, weil Sie sie nach Prüfung der Quelle ausgewählt haben, nicht weil jemand anderes einen Notfall herbeigeführt hat.
Egal ob eine App aus dem Google Play Store oder einer externen Quelle stammt: Halten Sie vor der Installation inne. Prüfen Sie, wer die App entwickelt hat, warum sie die angeforderten Berechtigungen benötigt, ob die Downloadquelle vertrauenswürdig ist und lehnen Sie ab, wenn ein Fremder Sie zur Installation drängt. Diese kleine Hürde ist ein Vorteil, nicht nur lästig.
Betrüger wissen mehr über dich, als du denkst.
Malwarebytes Mobile Security Sie vor Phishing, betrügerischen SMS, bösartigen Websites und vielem mehr. Mit integriertem, KI-gestütztem Scam Guard in Echtzeit.
