Mehr Sicherheit für Android: Malware am Ausspionieren von App-Daten hindern

Sicherheit ist eine Grundlage von Android. Wir arbeiten mit Ihnen zusammen, um die Plattform zu schützen und Nutzerdaten zu sichern. Dazu bieten wir leistungsstarke Sicherheitstools und ‑funktionen wie den Anmeldedatenmanager und FLAG_SECURE an. Jede Android-Version bietet Verbesserungen bei Leistung und Sicherheit. Mit Android 16 können Sie einfache, aber wichtige Schritte unternehmen, um die Abwehrmechanismen Ihrer App zu stärken. Sehen Sie sich unser Video an oder lesen Sie weiter, um mehr über den erweiterten Schutz für Accessibility APIs zu erfahren.

Schützen Sie Ihre App mit einer einzigen Codezeile vor Schnüfflern

Wir haben festgestellt, dass böswillige Akteure manchmal versuchen, Funktionen der Accessibility API auszunutzen, um vertrauliche Informationen wie Passwörter und Finanzdaten direkt vom Bildschirm abzulesen und das Gerät eines Nutzers durch das Einfügen von Berührungen zu manipulieren. Um dem entgegenzuwirken, bietet Android 16 eine neue, leistungsstarke Schutzmaßnahme in einer einzigen Codezeile: accessibilityDataSensitive.

Mit dem Flag accessibilityDataSensitive können Sie eine Ansicht oder eine komponierbare Funktion explizit als sensible Daten enthaltend kennzeichnen. Wenn Sie dieses Flag in Ihrer App auf true setzen, blockieren Sie im Wesentlichen den Zugriff potenziell schädlicher Apps auf Ihre sensiblen Ansichtsdaten oder die Ausführung von Interaktionen damit. Das funktioniert so: Jede App, die eine Berechtigung für Bedienungshilfen anfordert, sich aber nicht explizit als legitime Bedienungshilfe deklariert hat (isAccessibilityTool=true), erhält keinen Zugriff auf diese Ansicht.

Diese einfache, aber effektive Änderung trägt dazu bei, dass Malware keine Informationen stehlen und keine unbefugten Aktionen ausführen kann, ohne dass die Nutzung legitimer Bedienungshilfen beeinträchtigt wird. Hinweis: Wenn eine App keine Bedienungshilfe ist, aber Berechtigungen für Bedienungshilfen anfordert und isAccessibilityTool=true festlegt, wird sie von Google Play abgelehnt und von Google Play Protect auf Nutzergeräten blockiert. 

Automatische, erweiterte Sicherheitsfunktionen für den Schutz von setFilterTouchesWhenObscured

Wir haben diese neue Sicherheitsfunktion (accessibilityDataSensitive) bereits in die bestehende Methode (setFilterTouchesWhenObscured) integriert. 

Wenn Sie bereits setFilterTouchesWhenObscured(true) verwenden, um Ihre App vor Tapjacking zu schützen, werden Ihre Ansichten automatisch als sensible Daten für die Barrierefreiheit im Internet behandelt. Durch die Erweiterung der setFilterTouchesWhenObscured-Methode um accessibilityDataSensitive-Schutzmaßnahmen bieten wir allen sofort eine zusätzliche Schutzebene ohne zusätzlichen Aufwand.

Erste Schritte

Wir empfehlen, setFilterTouchesWhenObscured oder alternativ das Flag accessibilityDataSensitive auf allen Bildschirmen zu verwenden, die vertrauliche Informationen enthalten, einschließlich Anmeldeseiten, Zahlungsabläufen und allen Ansichten, in denen personenbezogene oder finanzielle Daten angezeigt werden.

Für Jetpack Compose

val composeView = LocalView.current DisposableEffect(Unit) { composeView.filterTouchesWhenObscured = true onDispose { composeView.filterTouchesWhenObscured = false } }

BasicText { text = “Your password”,

            modifier = Modifier.semantics {

                sensitiveData = true }}

Für ansichtsbasierte Apps

Fügen Sie dem sensiblen Bereich in Ihrem XML-Layout das entsprechende Attribut hinzu.

Alternativ können Sie das Attribut programmatisch in Java oder Kotlin festlegen:

Weitere Informationen zu den Flags accessibilityDataSensitive und setFilterTouchesWhenObscured finden Sie im Leitfaden zu Tapjacking.

Zusammenarbeit mit Entwicklern zum Schutz der Nutzer

Wir haben frühzeitig mit Entwicklern zusammengearbeitet, um sicherzustellen, dass diese Funktion den Anforderungen der Praxis entspricht und sich reibungslos in Ihren Workflow einfügt.

„Der Schutz der sensiblen Finanzdaten unserer Kunden hatte für uns schon immer oberste Priorität. Deshalb haben wir eine eigene Schutzebene gegen Malware entwickelt, die auf Bedienungshilfen basiert. Revolut unterstützt die Einführung dieser neuen, offiziellen Android API, da wir so nach und nach von unserem benutzerdefinierten Code abrücken und stattdessen eine robuste, einzeilige Plattformverteidigung nutzen können.“ 
– Vladimir Kozhevnikov, Android Engineer bei Revolut

Wenn Sie diese Funktionen nutzen, können Sie Ihre Nutzer besser vor bösartigen Angriffen schützen, die auf Bedienungshilfen basieren. Wir empfehlen allen Entwicklern, diese Funktionen in ihre Apps zu integrieren, um die Sicherheit der Nutzer zu erhöhen. 

Gemeinsam können wir eine sicherere und vertrauenswürdigere Umgebung für alle schaffen.