%3Aquality(100)&w=640&q=75){kind=logo}
Studie deckt chinesischen und russischen Code in Apps auf, die an US-Militärangehörige vermarktet werden
STATUS: Sicherheitslücke in der Lieferkette SCHWERWIEGENDKEIT: 6/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
30. Juli 2026
·Blog
·Sichere Kommunikation
%3Aquality(100)&w=3840&q=75)
Eine von mehreren Universitäten durchgeführte Analyse von mehr als 220 Android-Apps, die für Angehörige der Streitkräfte entwickelt wurden, ergab, dass die meisten davon Softwarekomponenten ausländischer Herkunft enthalten, darunter auch Code, der mit Unternehmen in Ländern in Verbindung steht, die das Pentagon als strategische Gegner einstuft.
Was ist passiert — und warum es anders ist
Ein Risiko in der Lieferkette, das sich vor aller Augen verbirgt – kein Sicherheitsverstoß. Forscher der Purdue University, der U.S. Military Academy in West Point und der Florida International University analysierten mehr als 220 Android-Apps, die direkt an Angehörige des US-Militärs und deren Familien vermarktet werden 1– darunter Fitness-Tracker, Tools für Einsätze und körperliches Training, Rechner für Sozialleistungen, Community-Foren sowie Apps, die mit den Nationalgarden der einzelnen Bundesstaaten in Verbindung stehen.1 Unter der Leitung von Joshua Shinkle von der Purdue University ergab die Studie, dass 64 Prozent dieser Apps eingebettete Software Development Kits (SDKs) von Drittanbietern enthalten, die aus Ländern außerhalb der Vereinigten Staaten stammen, und dass mehr als jede achte App Code von Unternehmen enthält, die ihren Sitz in Ländern haben, die das Pentagon als strategische Gegner einstuft, darunter China und Russland.¹
HMS Core von Huawei, ein vom chinesischen Telekommunikationshersteller entwickeltes Framework für mobile Dienste, wurde in mindestens 12 der analysierten Apps gefunden, darunter auch einige, die mit staatlichen Nationalgarde-Organisationen in Verbindung stehen.² SDKs dienen in der Regel der Umsetzung von Standardfunktionen – Karten, Analysen, Cloud-Dienste, Push-Benachrichtigungen – und werden branchenweit in der gesamten Mobil-App-Branche eingesetzt. Das bedeutet, dass die meisten Entwickler den risikobehafteten Code nicht selbst geschrieben haben, sondern auf kommerzielle Bibliotheken und Open-Source-Komponenten zurückgegriffen haben, ohne zu überprüfen, woher die zugrunde liegenden Komponenten stammten. Unabhängig davon ergab die Studie, dass 40 Prozent der Apps mehr Nutzerdaten erfassten oder weitergaben, als ihre Entwickler in den Datenschutzhinweisen im Apple App Store oder bei Google Play angegeben hatten.¹
Die Forscher fanden keine Hinweise darauf, dass die beobachteten SDKs derzeit zur Exfiltration von Daten oder zur Überwachung genutzt werden, warnen jedoch davor, dass SDKs im Laufe der Zeit aktualisiert werden können – was bedeutet, dass sich Code, der heute harmlos erscheint, ändern könnte, nachdem ein Nutzer die App bereits installiert und als vertrauenswürdig eingestuft hat.² Dies ist kein neues Muster: Pushwoosh, ein russisches SDK-Unternehmen, das sich als in den USA ansässig vermarktet hatte, wurde zuvor in offiziellen Apps der US-Armee und der CDC entdeckt, bevor Reuters die Verbindung im Jahr 2022 aufdeckte; beide Organisationen entfernten es erst nach der Enthüllung.³ Das Pentagon lehnte es ab, sich zu den neuen Erkenntnissen zu äußern.¹
Was die Studie ergab – und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
64 Prozent der analysierten Apps enthalten SDKs von Drittanbietern aus dem Ausland.¹ | Routinefunktionen wie Karten, Analysen und Push-Benachrichtigungen werden häufig an Code von Drittanbietern ausgelagert, der nicht vom Entwickler der App selbst geschrieben wurde. | Der Fitness-Tracker oder die App für Sozialleistungen eines Soldaten kann eine Datenübertragung an ein externes Unternehmen ermöglichen, ohne dass der App-Entwickler dies beabsichtigt. | Wie viele dieser SDKs verfügen über Mechanismen zur Fernaktualisierung, die ihr Verhalten nach der Installation verändern könnten? |
Mehr als jede achte App enthält Code von Unternehmen aus feindlich gesinnten Ländern, darunter 12 mit dem HMS Core von Huawei.² | Unternehmen mit Verbindungen zu Nationalstaaten verschaffen sich Zugang zu Apps, die von Angehörigen der Streitkräfte und in einigen Fällen auch von offiziellen Einheiten der Nationalgarde genutzt werden. | Selbst wenn derzeit kein Missbrauch vorliegt, ist die Infrastruktur für die zukünftige Datenerfassung bereits in vertrauenswürdigen, für den militärischen Einsatz vermarkteten Apps vorhanden. | Ob eines dieser SDKs seit der Installation Updates erhalten hat, die das Verhalten bei der Datenverarbeitung verändert haben. |
40 Prozent der Apps erfassen oder geben mehr Daten weiter, als in ihren Datenschutzhinweisen angegeben ist.¹ | Die Standard-Datenschutzhinweise in den App-Stores geben bei weitem nicht wieder, was diese Apps tatsächlich mit den Nutzerdaten machen. | Mitarbeiter und Familienangehörige, die eine mit einem Hinweis versehene App installieren, erklären sich mit weniger Daten einverstanden, als tatsächlich erfasst werden. | Welche Daten wurden im Zusammenhang mit dieser Lücke bereits erhoben und wo befinden sie sich derzeit? |
Ein dokumentierter Präzedenzfall (Pushwoosh in den Apps der Armee und der CDC) zeigt, dass die Offenlegung der Auslöser für die Entfernung war.³ | Ein russisches SDK-Unternehmen gab sich zuvor als in den USA ansässiger Anbieter von offiziellen Apps der Armee und der CDC aus, bis Reuters dies im Jahr 2022 aufdeckte. | Bislang war die Aufdeckung solcher Probleme auf externe journalistische Recherchen angewiesen und nicht auf interne Überprüfungen, bevor die betroffenen Apps korrigiert wurden. | Ob diese umfassendere, von Fachkollegen begutachtete Erkenntnis nun eine systematische Überprüfung oder einen weiteren einmaligen Löschvorgang nach sich zieht. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die Datenschutzhinweise im App Store und eine grundlegende Überprüfung der Anbieter reichen aus, um zu erfahren, was eine mobile App tatsächlich mit den Daten eines Nutzers macht. | 40 Prozent der Apps, die an Militärangehörige vermarktet werden, erfassen oder geben mehr Daten weiter, als in ihren Datenschutzhinweisen angegeben ist, und die zugrunde liegende SDK-Lieferkette bleibt in diesen Hinweisen gänzlich unerwähnt.¹ | Die Richtlinie zur Überprüfung und Zulassung UEM bewertet, was eine App und ihre eingebetteten Komponenten auf einem verwalteten Gerät tatsächlich tun, und nicht, was in der Beschreibung im App-Store angegeben wird. |
Auf privaten Geräten installierte Verbraucher- und Lifestyle-Apps fallen nicht in den Geltungsbereich staatlicher Programme zur Gerätesicherheit. | Einsatz-Tools, PT-Tracker und Leistungsrechner, die speziell für Angehörige der Streitkräfte entwickelt wurden, bergen dasselbe Risiko hinsichtlich der Lieferkette durch ausländischen Code wie jede andere Verbraucher-App, und einige davon sind mit offiziellen Organisationen der Nationalgarde der einzelnen Bundesstaaten verknüpft.² | UEM geht über die zentralen Produktivitäts-Apps hinaus und dient dazu, SDKs aus fremden Quellen in der gesamten Bandbreite der Apps, die Mitarbeiter voraussichtlich installieren werden – einschließlich derjenigen, die speziell an sie vermarktet werden –, zu kennzeichnen und einzuschränken. |
Ein Risiko in der Lieferkette, das bisher noch nicht aktiv ausgenutzt wurde, hat keine Priorität. | SDKs können nach der Installation aktualisiert werden, sodass Code, der zum Zeitpunkt der Installation als sicher eingestuft wurde, später ohne jegliches Zutun des Nutzers sein Verhalten ändern kann.² Der Fall „Pushwoosh“ zeigt, dass genau dieses Muster jahrelang unentdeckt blieb.³ | Die kontinuierliche Überwachung UEM bewertet verwaltete Geräte und deren installierte Software fortlaufend und erfasst so auch nachträgliche SDK-Updates und nicht nur die Erstinstallation. |
Empfohlene Maßnahmen
SOFORT | Erfassen Sie die von Militärangehörigen, Einheiten der Nationalgarde und regierungsnahen Mitarbeitern genutzten mobilen Apps hinsichtlich des in dieser Studie identifizierten spezifischen Musters – SDKs von Drittanbietern aus gegnerischen Ländern, insbesondere Huaweis HMS Core. |
SOFORT | Vergleichen Sie die Ergebnisse von Purdue, West Point und der FIU mit allen Apps, die über offizielle Kanäle des Militärs oder der Nationalgarde verbreitet oder empfohlen werden. |
KURZFRISTIG | Erweitern Sie die UEM Richtlinie UEM und zur Erstellung von Whitelists, um eingebettete SDKs von Drittanbietern zu bewerten, und beschränken Sie sich nicht nur auf den Entwickler oder Herausgeber der obersten App-Ebene. |
KURZFRISTIG | Registrieren Sie die Geräte der Mitarbeiter für die kontinuierliche UEM Überwachung, damit ein harmloses SDK, das ein späteres, risikoreicheres Update erhält, bereits nach der Installation erkannt wird und nicht erst bei der anfänglichen Überprüfung. |
LAUFEND | Beobachten Sie, ob diese Studie zu einer Anforderung zur Überprüfung von Apps auf Pentagon-Ebene führt, da sich das Ministerium bislang nicht dazu geäußert hat. |
BlackBerry-Position
Ein Datenschutzlabel gibt Auskunft darüber, wozu eine App laut Angaben des Entwicklers dient. Es sagt jedoch nichts über den Code von Drittanbietern aus, der im Hintergrund der App läuft, und die Studie ergab, dass Datenschutzlabels das tatsächliche Verhalten bei der Datenerfassung und -weitergabe häufig untertreiben.¹ Bei jedem Gerät, auf dem Daten mit Bezug zu Regierung oder Militär gespeichert sind, muss die Überprüfung die gesamte Lieferkette umfassen und darf sich nicht nur auf den Eintrag im App-Store beschränken.
Quellenangaben:
Apps, die an US-Soldaten vermarktet werden, enthalten chinesischen und russischen Code
(WIRED, 20. Juli 2026).Militärbezogene Apps enthalten Code ausländischer Herkunft, was Bedenken hinsichtlich der Datensicherheit aufkommen lässt
(SC Media, 21. Juli 2026).Apps, die an US-Soldaten vermarktet werden, enthalten chinesischen und russischen Code
(WIRED-Artikel zum Fall „Pushwoosh“ und Bericht von Reuters aus dem Jahr 2022).
Studie deckt chinesischen und russischen Code in Apps auf, die an US-Militärangehörige vermarktet werden
STATUS: Sicherheitslücke in der Lieferkette SCHWERWIEGENDKEIT: 6/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
30. Juli 2026
·Blog
·Sichere Kommunikation
Eine von mehreren Universitäten durchgeführte Analyse von mehr als 220 Android-Apps, die für Angehörige der Streitkräfte entwickelt wurden, ergab, dass die meisten davon Softwarekomponenten ausländischer Herkunft enthalten, darunter auch Code, der mit Unternehmen in Ländern in Verbindung steht, die das Pentagon als strategische Gegner einstuft.
Was ist passiert — und warum es anders ist
Ein Risiko in der Lieferkette, das sich vor aller Augen verbirgt – kein Sicherheitsverstoß. Forscher der Purdue University, der U.S. Military Academy in West Point und der Florida International University analysierten mehr als 220 Android-Apps, die direkt an Angehörige des US-Militärs und deren Familien vermarktet werden 1– darunter Fitness-Tracker, Tools für Einsätze und körperliches Training, Rechner für Sozialleistungen, Community-Foren sowie Apps, die mit den Nationalgarden der einzelnen Bundesstaaten in Verbindung stehen.1 Unter der Leitung von Joshua Shinkle von der Purdue University ergab die Studie, dass 64 Prozent dieser Apps eingebettete Software Development Kits (SDKs) von Drittanbietern enthalten, die aus Ländern außerhalb der Vereinigten Staaten stammen, und dass mehr als jede achte App Code von Unternehmen enthält, die ihren Sitz in Ländern haben, die das Pentagon als strategische Gegner einstuft, darunter China und Russland.¹
HMS Core von Huawei, ein vom chinesischen Telekommunikationshersteller entwickeltes Framework für mobile Dienste, wurde in mindestens 12 der analysierten Apps gefunden, darunter auch einige, die mit staatlichen Nationalgarde-Organisationen in Verbindung stehen.² SDKs dienen in der Regel der Umsetzung von Standardfunktionen – Karten, Analysen, Cloud-Dienste, Push-Benachrichtigungen – und werden branchenweit in der gesamten Mobil-App-Branche eingesetzt. Das bedeutet, dass die meisten Entwickler den risikobehafteten Code nicht selbst geschrieben haben, sondern auf kommerzielle Bibliotheken und Open-Source-Komponenten zurückgegriffen haben, ohne zu überprüfen, woher die zugrunde liegenden Komponenten stammten. Unabhängig davon ergab die Studie, dass 40 Prozent der Apps mehr Nutzerdaten erfassten oder weitergaben, als ihre Entwickler in den Datenschutzhinweisen im Apple App Store oder bei Google Play angegeben hatten.¹
Die Forscher fanden keine Hinweise darauf, dass die beobachteten SDKs derzeit zur Exfiltration von Daten oder zur Überwachung genutzt werden, warnen jedoch davor, dass SDKs im Laufe der Zeit aktualisiert werden können – was bedeutet, dass sich Code, der heute harmlos erscheint, ändern könnte, nachdem ein Nutzer die App bereits installiert und als vertrauenswürdig eingestuft hat.² Dies ist kein neues Muster: Pushwoosh, ein russisches SDK-Unternehmen, das sich als in den USA ansässig vermarktet hatte, wurde zuvor in offiziellen Apps der US-Armee und der CDC entdeckt, bevor Reuters die Verbindung im Jahr 2022 aufdeckte; beide Organisationen entfernten es erst nach der Enthüllung.³ Das Pentagon lehnte es ab, sich zu den neuen Erkenntnissen zu äußern.¹
Was die Studie ergab – und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
64 Prozent der analysierten Apps enthalten SDKs von Drittanbietern aus dem Ausland.¹ | Routinefunktionen wie Karten, Analysen und Push-Benachrichtigungen werden häufig an Code von Drittanbietern ausgelagert, der nicht vom Entwickler der App selbst geschrieben wurde. | Der Fitness-Tracker oder die App für Sozialleistungen eines Soldaten kann eine Datenübertragung an ein externes Unternehmen ermöglichen, ohne dass der App-Entwickler dies beabsichtigt. | Wie viele dieser SDKs verfügen über Mechanismen zur Fernaktualisierung, die ihr Verhalten nach der Installation verändern könnten? |
Mehr als jede achte App enthält Code von Unternehmen aus feindlich gesinnten Ländern, darunter 12 mit dem HMS Core von Huawei.² | Unternehmen mit Verbindungen zu Nationalstaaten verschaffen sich Zugang zu Apps, die von Angehörigen der Streitkräfte und in einigen Fällen auch von offiziellen Einheiten der Nationalgarde genutzt werden. | Selbst wenn derzeit kein Missbrauch vorliegt, ist die Infrastruktur für die zukünftige Datenerfassung bereits in vertrauenswürdigen, für den militärischen Einsatz vermarkteten Apps vorhanden. | Ob eines dieser SDKs seit der Installation Updates erhalten hat, die das Verhalten bei der Datenverarbeitung verändert haben. |
40 Prozent der Apps erfassen oder geben mehr Daten weiter, als in ihren Datenschutzhinweisen angegeben ist.¹ | Die Standard-Datenschutzhinweise in den App-Stores geben bei weitem nicht wieder, was diese Apps tatsächlich mit den Nutzerdaten machen. | Mitarbeiter und Familienangehörige, die eine mit einem Hinweis versehene App installieren, erklären sich mit weniger Daten einverstanden, als tatsächlich erfasst werden. | Welche Daten wurden im Zusammenhang mit dieser Lücke bereits erhoben und wo befinden sie sich derzeit? |
Ein dokumentierter Präzedenzfall (Pushwoosh in den Apps der Armee und der CDC) zeigt, dass die Offenlegung der Auslöser für die Entfernung war.³ | Ein russisches SDK-Unternehmen gab sich zuvor als in den USA ansässiger Anbieter von offiziellen Apps der Armee und der CDC aus, bis Reuters dies im Jahr 2022 aufdeckte. | Bislang war die Aufdeckung solcher Probleme auf externe journalistische Recherchen angewiesen und nicht auf interne Überprüfungen, bevor die betroffenen Apps korrigiert wurden. | Ob diese umfassendere, von Fachkollegen begutachtete Erkenntnis nun eine systematische Überprüfung oder einen weiteren einmaligen Löschvorgang nach sich zieht. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die Datenschutzhinweise im App Store und eine grundlegende Überprüfung der Anbieter reichen aus, um zu erfahren, was eine mobile App tatsächlich mit den Daten eines Nutzers macht. | 40 Prozent der Apps, die an Militärangehörige vermarktet werden, erfassen oder geben mehr Daten weiter, als in ihren Datenschutzhinweisen angegeben ist, und die zugrunde liegende SDK-Lieferkette bleibt in diesen Hinweisen gänzlich unerwähnt.¹ | Die Richtlinie zur Überprüfung und Zulassung UEM bewertet, was eine App und ihre eingebetteten Komponenten auf einem verwalteten Gerät tatsächlich tun, und nicht, was in der Beschreibung im App-Store angegeben wird. |
Auf privaten Geräten installierte Verbraucher- und Lifestyle-Apps fallen nicht in den Geltungsbereich staatlicher Programme zur Gerätesicherheit. | Einsatz-Tools, PT-Tracker und Leistungsrechner, die speziell für Angehörige der Streitkräfte entwickelt wurden, bergen dasselbe Risiko hinsichtlich der Lieferkette durch ausländischen Code wie jede andere Verbraucher-App, und einige davon sind mit offiziellen Organisationen der Nationalgarde der einzelnen Bundesstaaten verknüpft.² | UEM geht über die zentralen Produktivitäts-Apps hinaus und dient dazu, SDKs aus fremden Quellen in der gesamten Bandbreite der Apps, die Mitarbeiter voraussichtlich installieren werden – einschließlich derjenigen, die speziell an sie vermarktet werden –, zu kennzeichnen und einzuschränken. |
Ein Risiko in der Lieferkette, das bisher noch nicht aktiv ausgenutzt wurde, hat keine Priorität. | SDKs können nach der Installation aktualisiert werden, sodass Code, der zum Zeitpunkt der Installation als sicher eingestuft wurde, später ohne jegliches Zutun des Nutzers sein Verhalten ändern kann.² Der Fall „Pushwoosh“ zeigt, dass genau dieses Muster jahrelang unentdeckt blieb.³ | Die kontinuierliche Überwachung UEM bewertet verwaltete Geräte und deren installierte Software fortlaufend und erfasst so auch nachträgliche SDK-Updates und nicht nur die Erstinstallation. |
Empfohlene Maßnahmen
SOFORT | Erfassen Sie die von Militärangehörigen, Einheiten der Nationalgarde und regierungsnahen Mitarbeitern genutzten mobilen Apps hinsichtlich des in dieser Studie identifizierten spezifischen Musters – SDKs von Drittanbietern aus gegnerischen Ländern, insbesondere Huaweis HMS Core. |
SOFORT | Vergleichen Sie die Ergebnisse von Purdue, West Point und der FIU mit allen Apps, die über offizielle Kanäle des Militärs oder der Nationalgarde verbreitet oder empfohlen werden. |
KURZFRISTIG | Erweitern Sie die UEM Richtlinie UEM und zur Erstellung von Whitelists, um eingebettete SDKs von Drittanbietern zu bewerten, und beschränken Sie sich nicht nur auf den Entwickler oder Herausgeber der obersten App-Ebene. |
KURZFRISTIG | Registrieren Sie die Geräte der Mitarbeiter für die kontinuierliche UEM Überwachung, damit ein harmloses SDK, das ein späteres, risikoreicheres Update erhält, bereits nach der Installation erkannt wird und nicht erst bei der anfänglichen Überprüfung. |
LAUFEND | Beobachten Sie, ob diese Studie zu einer Anforderung zur Überprüfung von Apps auf Pentagon-Ebene führt, da sich das Ministerium bislang nicht dazu geäußert hat. |
BlackBerry-Position
Ein Datenschutzlabel gibt Auskunft darüber, wozu eine App laut Angaben des Entwicklers dient. Es sagt jedoch nichts über den Code von Drittanbietern aus, der im Hintergrund der App läuft, und die Studie ergab, dass Datenschutzlabels das tatsächliche Verhalten bei der Datenerfassung und -weitergabe häufig untertreiben.¹ Bei jedem Gerät, auf dem Daten mit Bezug zu Regierung oder Militär gespeichert sind, muss die Überprüfung die gesamte Lieferkette umfassen und darf sich nicht nur auf den Eintrag im App-Store beschränken.
Quellenangaben:
Apps, die an US-Soldaten vermarktet werden, enthalten chinesischen und russischen Code
(WIRED, 20. Juli 2026).Militärbezogene Apps enthalten Code ausländischer Herkunft, was Bedenken hinsichtlich der Datensicherheit aufkommen lässt
(SC Media, 21. Juli 2026).Apps, die an US-Soldaten vermarktet werden, enthalten chinesischen und russischen Code
(WIRED-Artikel zum Fall „Pushwoosh“ und Bericht von Reuters aus dem Jahr 2022).
%3Aquality(100)&w=3840&q=75)