--- id: CP-093 slug: sideloading-apps-ausserhalb-der-stores lang: de title: Sideloading auf dem Smartphone description: Eine App von außerhalb der offiziellen Stores kann Passwörter und SMS stehlen. Was Beschäftigte sehen, wie es funktioniert, was zu tun ist. canonical_url: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ markdown_url: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Sideloading auf dem Smartphone“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # Sideloading auf dem Smartphone Auf einem dienstlichen oder privaten Smartphone stammen Apps normalerweise aus einem offiziellen Store wie Google Play oder dem App Store. In diesem Artikel bezeichnet Sideloading die Installation einer App auf einem anderen Weg als über diesen Store. Da Mobilgeräte oft so konfiguriert sind, dass sie nur den zugelassenen Store akzeptieren [2], muss der Angreifer das Opfer dazu bringen, diesen Rahmen zu verlassen. MITRE beschreibt die Methode: Schadsoftware wird verteilt, indem sie als legitime Anwendung getarnt wird [1]. Dieser Artikel nimmt die Sicht der Beschäftigten ein. Die hier verwendeten Quellen sind technische Seiten von MITRE ATT&CK. Sie beschreiben die Methoden von Angreifern auf Android und iOS, enthalten aber keine Statistiken zum Sideloading. ## In 30 Sekunden - Wo es passiert: auf einer Website, die zur Installation von Software auffordert, etwa mit einem gefälschten Installationsprogramm [3], und auf einem Gerät, zu dem der Angreifer physischen Zugang hat [9]. - Was der Angreifer will: eine präparierte App installieren lassen und ihr dann weitreichende Rechte verschaffen, um Zugangsdaten und Nachrichtendaten zu stehlen [3][4][9]. - Der Reflex: nur aus dem offiziellen Store installieren und jede Anfrage nach Bedienungshilfen oder Geräteadministrator ablehnen, die Sie nicht selbst gesucht haben. - Wenn es schon passiert ist: sofort den IT-Support informieren und auf diesem Telefon kein Passwort eingeben. ## Direkte Fragen ### Was ist Sideloading? Es ist die Installation einer App, ohne den zugelassenen Store des Geräts zu nutzen. MITRE hält fest, dass Mobilgeräte oft so konfiguriert sind, dass sie Installationen nur aus einem zugelassenen Store erlauben, etwa dem Google Play Store oder dem Apple App Store [2]. Ein Angreifer, der seine App dort nicht platzieren kann, muss das Opfer dazu bringen, sie anderswo zu beziehen. ### Schützt der offizielle Store vollständig? Nicht vollständig: MITRE beschreibt auch den Fall, dass der Angreifer versucht, die schädliche App in einem zugelassenen Store zu platzieren, wodurch sie auf den anvisierten Geräten installiert werden kann [2]. Die beiden MITRE-Seiten zu diesem Thema tragen einen Hinweis auf Veraltung, ihr Inhalt beschreibt aber beide Wege [1][2]. ### Wie wird ein Beschäftigter dazu gebracht, die App zu installieren? Die Quellen beschreiben zwei Tricks. Der erste besteht darin, die Software als legitime Anwendung auszugeben, entweder indem sie in eine echte Anwendung eingebaut wird oder indem ihr Erscheinungsbild nachgeahmt wird [1]. Der zweite läuft über eine Website, die zur Installation bekannter Software auffordert: Der Trojaner Cerberus wurde über Websites verbreitet, die den Nutzer aufforderten, „install Adobe Flash Player“, und eine schädliche APK-Datei herunterluden [3]. ### Welche Berechtigungen verlangt die App? Die Quellen nennen die Rechte für Bedienungshilfen und für den Geräteadministrator. Schädliche Apps missbrauchen die Bedienungshilfen von Android, um zu erfahren, welche App im Vordergrund läuft [4]. Zu den Administratorrechten hält MITRE fest, dass Apps sie nur sehr selten benötigen, und rät Entwicklern, diese Zugriffsebene nicht zu verwenden [5]. ### Bleibt die installierte App sichtbar? Nicht unbedingt. MITRE erklärt, dass Mobilsysteme Schnittstellen besitzen, um Elemente wie das Symbol einer App auszublenden, und dass Angreifer diese missbrauchen [6]. Die Seite zur Eingabeerfassung fordert Nutzer auf, bei gefährlichen Berechtigungen wie dem Zugriff auf die Bedienungshilfen misstrauisch zu sein [7]. Andere Angreifer nutzen Systemschwachstellen aus, um höhere Rechte zu erlangen [8]. ### Braucht es physischen Zugriff auf das Gerät, um es zu infizieren? Im dokumentierten Fall von BusyGasper ja: Diese Spionagesoftware infizierte ihre Opfer durch physischen Zugriff auf das Gerät [9]. ## In der Haut des Angreifers Der Angreifer steht vor einem Hindernis: Das Gerät ist oft so konfiguriert, dass es nur den zugelassenen Store akzeptiert [2]. Er braucht einen glaubwürdigen Vorwand, und die Quellen nennen einen: Name und Aussehen einer bekannten App [4]. Im Fall von Cerberus ist es ein gefälschtes Installationsprogramm für Adobe Flash Player [3]. Sobald die App installiert ist, besteht ihr erstes Ziel darin, Rechte zu erlangen. Cerberus kann Eingaben einschleusen, um sich ohne Zutun des Nutzers zusätzliche Berechtigungen zu geben und um zu verhindern, dass die App gelöscht wird [3]. Danach folgen das Sammeln von Daten und die Tarnung: Der Angreifer will SMS lesen, Kontakte und die Liste der Apps abrufen und dann gefälschte Bildschirme über den vom Angreifer ausgewählten Apps anzeigen [3]. Die Quellen beschreiben auch Angreifer, die das System selbst ins Visier nehmen. Einige nutzen Schwachstellen des Betriebssystems aus, um von einer eingeschränkten Zugriffsebene zu Superuser-Rechten (root) zu gelangen [8]. MITRE nennt Pegasus für Android, das bekannte Android-Schwachstellen auszunutzen versucht, und Pegasus für iOS, das iOS-Schwachstellen ausnutzt [8]. ## Was Sie auf dem Bildschirm sehen Das Opfer sieht zuerst die Seite oder die Nachricht, die zur Installation von Software auffordert. Die hier verwendeten Quellen beschreiben die Installationswarnung des Geräts nicht, dieser Schritt wird daher hier nicht im Einzelnen dargestellt. Nach der Installation gibt es konstruktionsbedingt kaum Anzeichen. MITRE erklärt, dass Mobilsysteme Schnittstellen zum Ausblenden von Elementen wie dem Symbol einer App bieten und dass diese Schnittstellen legitime Verwendungen haben, die Angreifer missbrauchen [6]. Cerberus verbirgt sein Symbol nach dem ersten Start in der App-Übersicht [3]. BusyGasper senkt die Bildschirmhelligkeit auf das Minimum und schaltet den Ton aus, solange es aktiv ist [9]. Das sichtbarste Anzeichen ist eine gefälschte Eingabeaufforderung. MITRE erklärt, dass schädliche Apps Elemente der Systemoberfläche nachahmen, um sensible Informationen abzufragen, und dass der kleine Bildschirm eines Mobilgeräts die Prüfung des Kontexts erschwert [4]. Sie können auch gefälschte Benachrichtigungen senden, die beim Antippen eine Eingabeaufforderung öffnen [4]. Schließlich kann eine Eingabeaufforderung über einer legitimen App erscheinen [4]. ## Unter der Haube Die Quellen beschreiben zuerst die Überlagerung und die Bedienungshilfen, dann die Persistenz. - Die Überlagerung: Die App zeichnet ein Fenster über einer anderen. Sie muss die Berechtigung SYSTEM_ALERT_WINDOW besitzen, die nach MITRE Apps, die aus Google Play installiert wurden, zumindest unter bestimmten Bedingungen automatisch erteilt wird [4]. Android 10 schränkt den Start einer Aktivität über einer anderen App ein [4]. Android 12 ergänzt die Berechtigung HIDE_OVERLAY_WINDOWS, mit der sich solche Fenster ausblenden lassen [7]. - Die Bedienungshilfen: Ein Missbrauch erlaubt es zu erfahren, welche App im Vordergrund läuft [4]. MITRE weist außerdem auf Apps hin, die Tastenanschläge aufzeichnen oder Informationen über Gesten auf dem Bildschirm erfassen [7]. - Die Persistenz: Cerberus deaktiviert Google Play Protect, um nicht entdeckt und später entfernt zu werden [3]. Es kann seinen Code auf Befehl aktualisieren [3]. MITRE führt außerdem aus, dass die Abschottung der Apps den Zugriff auf die Daten einer anderen App begrenzt, außer in drei Fällen: ungeschützter externer Speicher, interner Speicher mit unsicheren Berechtigungen oder Erlangung von Root-Rechten [10]. ## Fallanalysen ### Cerberus, ein vermieteter Banking-Trojaner Cerberus ist ein Banking-Trojaner für Android, dessen Nutzung in Untergrundforen vermietet wird [3]. Seine Urheber behaupten, ihn zwei Jahre lang privat eingesetzt zu haben, bevor sie ihn zur Miete anboten [3]. Zu den Referenzen der MITRE-Seite gehören ein Bericht von ThreatFabric vom August 2019 und ein Artikel vom 16. August 2019 über gefälschte Installationsprogramme für Adobe Flash Player [3]. Die Software konnte SMS lesen, Kontakte und die Liste der Apps abrufen, gefälschte Benachrichtigungen erzeugen und Overlay-Angriffe auf die vom Angreifer ausgewählten Apps starten [3]. ### BusyGasper, Spionagesoftware (seit Mai 2016) BusyGasper ist eine Android-Spionagesoftware, die seit Mai 2016 im Einsatz ist [9]. Bekannt sind weniger als zehn Opfer, offenbar alle in Russland, und alle wurden durch physischen Zugriff auf das Gerät infiziert [9]. Sie kann Ton und Kamera aufzeichnen, Fotos und den Browserverlauf kopieren sowie SMS und Daten von WhatsApp, Viber und Facebook lesen [9]. Die Referenz der Seite ist ein Artikel von Alexey Firsh vom 29. August 2018 [9]. ## Was Sie tun - Installieren Sie ausschließlich aus dem offiziellen Store des Geräts. Die Aufforderung, von einer Website eine Datei oder ein „Installationsprogramm“ herunterzuladen, ist verdächtig, auch bei bekannter Software [3]. - Lehnen Sie Rechte für Bedienungshilfen, Tastatur oder Administrator ab, die eine App ohne klaren Grund verlangt. MITRE rät Nutzern, bei gefährlichen oder aufdringlichen Berechtigungen misstrauisch zu sein, etwa bei der Aufzeichnung einer Tastatur oder dem Zugriff auf die Bedienungshilfen [7]. - Halten Sie Ihr Telefon gesperrt und griffbereit: Ein dokumentierter Fall beginnt mit physischem Zugriff [9]. - Aktualisieren Sie das System: Einige Schutzmaßnahmen, etwa die Einschränkungen von Android 10 und Android 12, hängen von der Version ab [4][7]. - Auf einem verwalteten Gerät kann das Unternehmen die zugelassenen Bedienungshilfen über eine ausdrückliche Liste einschränken, mithilfe eines Werkzeugs zur Geräteverwaltung (EMM oder MDM) [7]. ## Die Fallstricke Der offizielle Store ist keine vollständige Garantie [2]. Eine schädliche App kann auch ihr Symbol verbergen, sodass das Fehlen eines verdächtigen Symbols nichts beweist [6]. MITRE schreibt, dass sich diese Art von Technik nicht leicht durch vorbeugende Kontrollen abwehren lässt, da sie Funktionen des Systems missbraucht [6]. Eine Sicherheitseinstellung, die sich ohne Ihr Zutun ändert, ist ein Warnsignal: Cerberus deaktiviert Google Play Protect [3]. Wenden Sie sich in diesem Fall oder wenn eine unbekannte App weitreichende Rechte verlangt an den Support. ## Quellen 1. MITRE ATT&CK, „Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1444/ (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1475/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Cerberus, Software S0480 | MITRE ATT&CK®“. https://attack.mitre.org/software/S0480/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1417/002/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1626/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1628/ (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1417/ (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1404/ (abgerufen am 3. November 2026) 9. MITRE ATT&CK, „BusyGasper, Software S0655 | MITRE ATT&CK®“. https://attack.mitre.org/software/S0655/ (abgerufen am 3. November 2026) 10. MITRE ATT&CK, „Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1409/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.