Cyberpediavon Brain
DEENFR

Sideloading auf dem Smartphone

Eine App von außerhalb der offiziellen Stores kann Passwörter und SMS stehlen. Was Beschäftigte sehen, wie es funktioniert, was zu tun ist.

In 30 Sekunden

Wo es passiert
Auf einer Website, die zur Installation von Software auffordert, etwa mit einem gefälschten Installationsprogramm3, und auf einem Gerät, zu dem der Angreifer physischen Zugang hat9.
Was der Angreifer will
Eine präparierte App installieren lassen und ihr dann weitreichende Rechte verschaffen, um Zugangsdaten und Nachrichtendaten zu stehlen349.
Der Reflex
Nur aus dem offiziellen Store installieren und jede Anfrage nach Bedienungshilfen oder Geräteadministrator ablehnen, die Sie nicht selbst gesucht haben.
Wenn es schon passiert ist
Sofort den IT-Support informieren und auf diesem Telefon kein Passwort eingeben.

Worum es geht

Auf einem dienstlichen oder privaten Smartphone stammen Apps normalerweise aus einem offiziellen Store wie Google Play oder dem App Store. In diesem Artikel bezeichnet Sideloading die Installation einer App auf einem anderen Weg als über diesen Store. Da Mobilgeräte oft so konfiguriert sind, dass sie nur den zugelassenen Store akzeptieren2, muss der Angreifer das Opfer dazu bringen, diesen Rahmen zu verlassen. MITRE beschreibt die Methode: Schadsoftware wird verteilt, indem sie als legitime Anwendung getarnt wird1.

Dieser Artikel nimmt die Sicht der Beschäftigten ein. Die hier verwendeten Quellen sind technische Seiten von MITRE ATT&CK. Sie beschreiben die Methoden von Angreifern auf Android und iOS, enthalten aber keine Statistiken zum Sideloading.

Direkte Fragen

Was ist Sideloading?

Es ist die Installation einer App, ohne den zugelassenen Store des Geräts zu nutzen. MITRE hält fest, dass Mobilgeräte oft so konfiguriert sind, dass sie Installationen nur aus einem zugelassenen Store erlauben, etwa dem Google Play Store oder dem Apple App Store2. Ein Angreifer, der seine App dort nicht platzieren kann, muss das Opfer dazu bringen, sie anderswo zu beziehen.

Schützt der offizielle Store vollständig?

Nicht vollständig: MITRE beschreibt auch den Fall, dass der Angreifer versucht, die schädliche App in einem zugelassenen Store zu platzieren, wodurch sie auf den anvisierten Geräten installiert werden kann2. Die beiden MITRE-Seiten zu diesem Thema tragen einen Hinweis auf Veraltung, ihr Inhalt beschreibt aber beide Wege12.

Wie wird ein Beschäftigter dazu gebracht, die App zu installieren?

Die Quellen beschreiben zwei Tricks. Der erste besteht darin, die Software als legitime Anwendung auszugeben, entweder indem sie in eine echte Anwendung eingebaut wird oder indem ihr Erscheinungsbild nachgeahmt wird1. Der zweite läuft über eine Website, die zur Installation bekannter Software auffordert: Der Trojaner Cerberus wurde über Websites verbreitet, die den Nutzer aufforderten, „install Adobe Flash Player“, und eine schädliche APK-Datei herunterluden3.

Welche Berechtigungen verlangt die App?

Die Quellen nennen die Rechte für Bedienungshilfen und für den Geräteadministrator. Schädliche Apps missbrauchen die Bedienungshilfen von Android, um zu erfahren, welche App im Vordergrund läuft4. Zu den Administratorrechten hält MITRE fest, dass Apps sie nur sehr selten benötigen, und rät Entwicklern, diese Zugriffsebene nicht zu verwenden5.

Bleibt die installierte App sichtbar?

Nicht unbedingt. MITRE erklärt, dass Mobilsysteme Schnittstellen besitzen, um Elemente wie das Symbol einer App auszublenden, und dass Angreifer diese missbrauchen6. Die Seite zur Eingabeerfassung fordert Nutzer auf, bei gefährlichen Berechtigungen wie dem Zugriff auf die Bedienungshilfen misstrauisch zu sein7. Andere Angreifer nutzen Systemschwachstellen aus, um höhere Rechte zu erlangen8.

Braucht es physischen Zugriff auf das Gerät, um es zu infizieren?

Im dokumentierten Fall von BusyGasper ja: Diese Spionagesoftware infizierte ihre Opfer durch physischen Zugriff auf das Gerät9.

1In der Haut des Angreifers1 min

Der Angreifer steht vor einem Hindernis: Das Gerät ist oft so konfiguriert, dass es nur den zugelassenen Store akzeptiert2. Er braucht einen glaubwürdigen Vorwand, und die Quellen nennen einen: Name und Aussehen einer bekannten App4. Im Fall von Cerberus ist es ein gefälschtes Installationsprogramm für Adobe Flash Player3.

Sobald die App installiert ist, besteht ihr erstes Ziel darin, Rechte zu erlangen. Cerberus kann Eingaben einschleusen, um sich ohne Zutun des Nutzers zusätzliche Berechtigungen zu geben und um zu verhindern, dass die App gelöscht wird3. Danach folgen das Sammeln von Daten und die Tarnung: Der Angreifer will SMS lesen, Kontakte und die Liste der Apps abrufen und dann gefälschte Bildschirme über den vom Angreifer ausgewählten Apps anzeigen3.

Die Quellen beschreiben auch Angreifer, die das System selbst ins Visier nehmen. Einige nutzen Schwachstellen des Betriebssystems aus, um von einer eingeschränkten Zugriffsebene zu Superuser-Rechten (root) zu gelangen8. MITRE nennt Pegasus für Android, das bekannte Android-Schwachstellen auszunutzen versucht, und Pegasus für iOS, das iOS-Schwachstellen ausnutzt8.

2Was Sie auf dem Bildschirm sehen1 min

Das Opfer sieht zuerst die Seite oder die Nachricht, die zur Installation von Software auffordert. Die hier verwendeten Quellen beschreiben die Installationswarnung des Geräts nicht, dieser Schritt wird daher hier nicht im Einzelnen dargestellt.

Nach der Installation gibt es konstruktionsbedingt kaum Anzeichen. MITRE erklärt, dass Mobilsysteme Schnittstellen zum Ausblenden von Elementen wie dem Symbol einer App bieten und dass diese Schnittstellen legitime Verwendungen haben, die Angreifer missbrauchen6. Cerberus verbirgt sein Symbol nach dem ersten Start in der App-Übersicht3. BusyGasper senkt die Bildschirmhelligkeit auf das Minimum und schaltet den Ton aus, solange es aktiv ist9.

Das sichtbarste Anzeichen ist eine gefälschte Eingabeaufforderung. MITRE erklärt, dass schädliche Apps Elemente der Systemoberfläche nachahmen, um sensible Informationen abzufragen, und dass der kleine Bildschirm eines Mobilgeräts die Prüfung des Kontexts erschwert4. Sie können auch gefälschte Benachrichtigungen senden, die beim Antippen eine Eingabeaufforderung öffnen4. Schließlich kann eine Eingabeaufforderung über einer legitimen App erscheinen4.

3Unter der HaubeIT-Teams1 min

Die Quellen beschreiben zuerst die Überlagerung und die Bedienungshilfen, dann die Persistenz.

  • Die Überlagerung: Die App zeichnet ein Fenster über einer anderen. Sie muss die Berechtigung SYSTEM_ALERT_WINDOW besitzen, die nach MITRE Apps, die aus Google Play installiert wurden, zumindest unter bestimmten Bedingungen automatisch erteilt wird4. Android 10 schränkt den Start einer Aktivität über einer anderen App ein4. Android 12 ergänzt die Berechtigung HIDE_OVERLAY_WINDOWS, mit der sich solche Fenster ausblenden lassen7.
  • Die Bedienungshilfen: Ein Missbrauch erlaubt es zu erfahren, welche App im Vordergrund läuft4. MITRE weist außerdem auf Apps hin, die Tastenanschläge aufzeichnen oder Informationen über Gesten auf dem Bildschirm erfassen7.
  • Die Persistenz: Cerberus deaktiviert Google Play Protect, um nicht entdeckt und später entfernt zu werden3. Es kann seinen Code auf Befehl aktualisieren3.

MITRE führt außerdem aus, dass die Abschottung der Apps den Zugriff auf die Daten einer anderen App begrenzt, außer in drei Fällen: ungeschützter externer Speicher, interner Speicher mit unsicheren Berechtigungen oder Erlangung von Root-Rechten10.

4FallanalysenReale Fälle1 min

Cerberus, ein vermieteter Banking-Trojaner

Cerberus ist ein Banking-Trojaner für Android, dessen Nutzung in Untergrundforen vermietet wird3. Seine Urheber behaupten, ihn zwei Jahre lang privat eingesetzt zu haben, bevor sie ihn zur Miete anboten3. Zu den Referenzen der MITRE-Seite gehören ein Bericht von ThreatFabric vom August 2019 und ein Artikel vom 16. August 2019 über gefälschte Installationsprogramme für Adobe Flash Player3. Die Software konnte SMS lesen, Kontakte und die Liste der Apps abrufen, gefälschte Benachrichtigungen erzeugen und Overlay-Angriffe auf die vom Angreifer ausgewählten Apps starten3.

BusyGasper, Spionagesoftware (seit Mai 2016)

BusyGasper ist eine Android-Spionagesoftware, die seit Mai 2016 im Einsatz ist9. Bekannt sind weniger als zehn Opfer, offenbar alle in Russland, und alle wurden durch physischen Zugriff auf das Gerät infiziert9. Sie kann Ton und Kamera aufzeichnen, Fotos und den Browserverlauf kopieren sowie SMS und Daten von WhatsApp, Viber und Facebook lesen9. Die Referenz der Seite ist ein Artikel von Alexey Firsh vom 29. August 20189.

5Was Sie tun1 min
  • Installieren Sie ausschließlich aus dem offiziellen Store des Geräts. Die Aufforderung, von einer Website eine Datei oder ein „Installationsprogramm“ herunterzuladen, ist verdächtig, auch bei bekannter Software3.
  • Lehnen Sie Rechte für Bedienungshilfen, Tastatur oder Administrator ab, die eine App ohne klaren Grund verlangt. MITRE rät Nutzern, bei gefährlichen oder aufdringlichen Berechtigungen misstrauisch zu sein, etwa bei der Aufzeichnung einer Tastatur oder dem Zugriff auf die Bedienungshilfen7.
  • Halten Sie Ihr Telefon gesperrt und griffbereit: Ein dokumentierter Fall beginnt mit physischem Zugriff9.
  • Aktualisieren Sie das System: Einige Schutzmaßnahmen, etwa die Einschränkungen von Android 10 und Android 12, hängen von der Version ab47.
  • Auf einem verwalteten Gerät kann das Unternehmen die zugelassenen Bedienungshilfen über eine ausdrückliche Liste einschränken, mithilfe eines Werkzeugs zur Geräteverwaltung (EMM oder MDM)7.
6Die Fallstricke1 min

Der offizielle Store ist keine vollständige Garantie2. Eine schädliche App kann auch ihr Symbol verbergen, sodass das Fehlen eines verdächtigen Symbols nichts beweist6. MITRE schreibt, dass sich diese Art von Technik nicht leicht durch vorbeugende Kontrollen abwehren lässt, da sie Funktionen des Systems missbraucht6.

Eine Sicherheitseinstellung, die sich ohne Ihr Zutun ändert, ist ein Warnsignal: Cerberus deaktiviert Google Play Protect3. Wenden Sie sich in diesem Fall oder wenn eine unbekannte App weitreichende Rechte verlangt an den Support.

Merkblatt

Kennung
CP-093
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Geräte absichern (secure_devices)
Brain-Reflex
cr-071
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
10 Quellen geprüft am 3. November 2026
Quellen10 Quellen
  1. MITRE ATT&CK, „Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1444/ (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1475/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Cerberus, Software S0480 | MITRE ATT&CK®“. https://attack.mitre.org/software/S0480/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1417/002/ (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1626/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1628/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1417/ (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1404/ (abgerufen am 3. November 2026)
  9. MITRE ATT&CK, „BusyGasper, Software S0655 | MITRE ATT&CK®“. https://attack.mitre.org/software/S0655/ (abgerufen am 3. November 2026)
  10. MITRE ATT&CK, „Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1409/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Sideloading auf dem Smartphone“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/

BibTeX 
@misc{brain_cp093_de_2026,
  author = {Brain},
  title = {Sideloading auf dem Smartphone},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0