Das Fachmagazin für Computertechnik "c't" hat sechs beliebte Antiviren-Programme für Android getestet und kritisiert bei vier der Programme Datenschutz-Probleme . Im Fokus steht dabei die sogenannte Safe-Browsing-Funktion, die Alarm schlagen soll, wenn der Nutzer potenziell bösartige oder jugendgefährdende Web-Seiten aufruft. Um Web-Seiten überhaupt derartig klassifizieren zu können, befragen die Apps die Hersteller-Server - und dabei scheint sich die Datenübertragung nicht nur aufs Nötigste zu beschränken.

Wie die "c't" herausgefunden hat, übertragen vier der sechs Apps nicht nur die angesteuerte Domain wie beispielsweise Heise.de oder Spiegel.de, sondern gleich den vollständigen URL-Pfad der aufgerufenen Webseite. Zu den betroffenen Programmen zählt neben "Lookout GRATIS Antivirus & Sicherheit" auch "Norton Antivirus & Sicherheit".

Die beiden anderen Apps, die URL-Pfade übermitteln, sind die kostenlosen Programme "Mobile Security & Antivirus" von Avast und "AntiVirus GRATIS" von AVG, die zusammen auf über 150 Millionen Installationen kommen. Diese beiden Apps übertragen auch noch URL-Parameter mit, die an die Adresse angehängt sind. Das kann zum Sicherheitsproblem werden, wenn es sich um vertrauliche Daten wie Passwörter oder Session-IDs handelt.

Exakte HTTPS-URLs im Klartext

Nicht gerade sicherheitsfördernd ist es augenscheinlich auch, mit aktivierter Safe-Browsing-Funktion auf HTTPS-Seiten zu surfen, denn alle vier genannten Apps übertragen die Cloud-Anfragen im Klartext. "Ein Datenschnüffler kann anhand der Abfragen mühelos die exakte HTTPS-URL herausfinden", warnt "c't"-Autor Ronald Eikenberg in seinem Artikel. "Normalerweise kann er bei verschlüsselten Verbindungen zwar sehen, mit welchem Server man spricht, aber nicht, welche Seiten und Funktionen abgerufen werden."

Von "c't" aufs Testergebnis angesprochen, haben Avast und AVG angekündigt, sich um eine Lösung der Probleme zu bemühen . Bis es jedoch soweit ist, empfiehlt Ronald Eikenberg den Umstieg auf weniger datenhungrige Software. Alternativ könne man die Safe-Browsing-Funktion abschalten.

Die einzige der sechs Apps, deren Datenschutz "c't" positiv bewertet, ist übrigens Esets "Mobile Security & Antivirus". Den Datenschutz der sechsten App, "Dr. Web v.9 Anti-virus" hält das Heft zumindest für "zufriedenstellend".

Anmerkung, 25. Februar: Nach eigenen Angaben hat Avast seine Software aktualisiert. URLs sollen nun verschlüsselt übertragen werden.