Gefälschtes WhatsApp mit 500.000 Installationen: Die Play-Store-Prüfung ist kein Sicherheitssiegel

Wie kann die Kopie einer der beliebtesten Apps der Welt in dem Store, dem man vertrauen soll, eine halbe Million Installationen sammeln? Genau das ist mit einem gefälschten WhatsApp bei Google Play passiert. Aus unserer Sicht erledigt das die Vorstellung, „im offiziellen Store“ heiße „sicher“.

Was passiert ist, kurz gefasst

Laut Techbook nutzte die Fälschung dasselbe Symbol und denselben Namen wie das Original. Offenbar übernahm sie auch Screenshots und Beschreibungstext. Verräterisch war das Entwicklerfeld. Dort stand „Agment Assets sallu“ statt WhatsApp LLC. Mashable India ergänzt unter Berufung auf Android Authority, dass der Eintrag erst etwa einen Monat alt war. Der Entwickler hatte nichts anderes veröffentlicht, die echte App kommt auf mehr als 10 Milliarden Downloads.

Zwei Details machen es schlimmer. Auf Reddit geteilte Screenshots legen nahe, dass die Fälschung für manche Nutzer als gesponsertes Suchergebnis erschien. Und sie nutzte Berichten zufolge das Early-Access-Programm von Google Play, bei dem öffentliche Bewertungen deaktiviert sind. Opfer konnten also niemanden warnen. Was die App tatsächlich mit Daten macht, wird in den uns vorliegenden Berichten nicht erklärt.

Die Schuld ist geteilt, aber nicht gleich verteilt

Nutzer sollten den Entwicklernamen prüfen. Das ist eine Gewohnheit von zehn Sekunden, und hier hätte sie den Betrug entlarvt. Wer eine App namens WhatsApp von einem Herausgeber installiert, den niemand kennt, geht ein Risiko ein. Die Schuld bei den Nutzern zu suchen, halten wir dennoch nicht für eine befriedigende Antwort. Wer nach WhatsApp sucht, erwartet, dass der Store WhatsApp zuerst anzeigt. Ein gesponserter Platz wirkt wie eine Empfehlung, auch wenn das niemand so beabsichtigt hat.

Die Fälschung tauchte übrigens nicht bei jeder Suche auf. Laut Mashable stand manchmal die echte App vorn. Das macht die Falle unserer Meinung nach schwerer erkennbar, nicht leichter. Zwei Personen können dasselbe suchen und unterschiedliche Ergebnisse erhalten. Dann kann niemand sicher sagen: „Ich habe nachgesehen, und es war in Ordnung.“

Google trägt die größere Verantwortung, denn das Unternehmen kontrolliert die drei Dinge, die den Betrug möglich machten. Es verkauft die Werbeplätze. Es betreibt die Prüfung, die den Eintrag durchließ. Und es hat ein Programm entworfen, das Bewertungen neuer Apps verbirgt. Jede dieser Funktionen ist für sich genommen vernünftig. Zusammen gaben sie einem brandneuen, unbekannten Konto eine Bühne, ein Megafon und eine Stummschaltung für seine Kritiker. Mashable weist zudem darauf hin, dass Bitdefender schon früher gewarnt hatte: Apps im Early Access bieten nicht unbedingt Bewertungen, die Nutzern bei der Einschätzung helfen, ob eine App seriös ist. Das Risiko war bekannt.

Den Herausgeber prüfen, zumindest bei den großen Namen

Es handelt sich nicht um einen Einzelfall. Mashable erwähnt, dass ein gefälschter Chrome Berichten zufolge mehr als 100.000-mal heruntergeladen und erst wenige Tage zuvor entfernt wurde. Wenn derselbe Trick binnen weniger Tage zweimal funktioniert, nennen wir das ein Muster.

Unser Vorschlag ist einfach. Wenn eine App den Namen oder die Marke eines großen Unternehmens nutzt, sollte der Store prüfen, ob der Herausgeber dieses Unternehmen ist, bevor der Eintrag online geht. Auch bevor Werbung zu diesem Namen geschaltet werden kann. Das erscheint machbar und im Vergleich zum Schaden günstig. Early-Access-Apps, die eine bekannte Marke nachahmen, könnten zudem daran gehindert werden, Bewertungen auszublenden, oder zumindest einen deutlichen Warnhinweis tragen.

Wie Googles interne Prüfungen aussehen, können wir nicht sagen. Aber ein Eintrag, der länger als einen Monat online blieb und 500.000 Installationen sammelte, deutet darauf hin, dass sie hier nicht funktioniert haben. Eine Handvoll Namen wie WhatsApp oder Chrome macht einen riesigen Teil der Suchanfragen aus. Diese Namen zu schützen, ist die Sicherheitsarbeit mit dem höchsten Ertrag, die ein Store leisten kann. Sie ist zugleich am leichtesten zu messen.

Was jetzt zu tun ist

Prüfen Sie vor der Installation, ob der Entwickler WhatsApp LLC ist. Betrachten Sie gesponserte Ergebnisse und unbekannte Herausgeber als Warnzeichen. Nehmen Sie eine Download-Zahl nicht als Beleg für Seriosität. Wer die Fälschung installiert hat, sollte sie deinstallieren und die echte App laden. Der Rat ist vernünftig, sollte aber nicht die einzige Verteidigungslinie sein. Unser Urteil: Nutzer sollten wachsam bleiben, und Google sollte Identitätsprüfungen bei den Marken, die jeder nachzuahmen versucht, nicht länger als optional behandeln.