RASP, das keine echten Kunden aussperrt

Laufzeitschutz, kurz RASP, wird heute bei Banking-Apps und anderen Finanz-Apps erwartet. Partnerbanken, Auditoren und Fraud-Teams verlangen Root-Erkennung, Hooking-Erkennung und Anti-Tampering-Prüfungen.

Die Schwierigkeit liegt nicht darin, Bedrohungen zu erkennen, sondern darin, sie zu erkennen, ohne echte Kunden zu blockieren. Eine Prüfung, die einen legitimen Nutzer auf einem ungewöhnlichen Gerät aussperrt, bedeutet ein Support-Ticket, eine schlechte Bewertung und manchmal einen verlorenen Kunden.

In diesem Artikel zeigen wir, wie wir den Laufzeitschutz für die Android-App einer Retail-Bank aufgebaut und verifiziert haben – und welche Designentscheidungen die False Positives niedrig hielten.

---

Was die App erkennen musste

• Hooking-Frameworks wie Frida, die das Verhalten einer App zur Laufzeit verändern können.

• Gerootete Geräte, auf denen die Schutzmechanismen des Betriebssystems nicht mehr greifen.

• Emulatoren, die häufig für automatisierten Missbrauch im großen Stil eingesetzt werden.

• Neu verpackte Apps, die verändert und außerhalb des offiziellen Stores weiterverbreitet werden.

• Missbrauch von Overlays und Bedienungshilfen, eine gängige Technik von Banking-Malware.

📌 Kernaussage:

Jeder Detektor kann auf zwei Arten versagen: Er übersieht einen Angriff, oder er markiert einen ehrlichen Nutzer. Die meisten RASP-Diskussionen behandeln nur den ersten Fall.

---

Designentscheidungen, die die False Positives niedrig hielten

1. Exakte Werte statt grober Heuristiken

Viele Emulator-Prüfungen durchsuchen die Geräteeigenschaften nach verdächtigen Begriffen. Damit erwischen sie auch echte Hardware mit ungewöhnlichen Namen. Wir sind auf eine Emulator-Erkennung anhand exakter Werte umgestiegen, abgedeckt durch 35 Tests, und haben verifiziert, dass es keine False Positives auf Chromebooks gibt, die Android-Apps ausführen und naive Prüfungen häufig auslösen.

2. Klassifikatoren, an echten Apps getestet

Für die Autoclicker-Erkennung haben wir einen Klassifikator entwickelt und ihn an echten Apps getestet, nicht nur an Laborproben. Am Verhalten gegenüber echter Software entscheidet sich, ob ein Klassifikator Vertrauen verdient oder anfängt, ehrliche Nutzer zu blockieren.

3. Identitätsprüfungen, die nicht vom Gerät abhängen

Der Anti-Repackaging-Schutz nutzt eine Prüfung des Signaturzertifikats und eine Prüfung der Installationsquelle. Beide betrachten die App selbst und verhalten sich deshalb auf jedem Smartphone gleich.

4. Ein Kill-Switch für jeden Detektor

Die Laufzeiterkennung liegt hinter einem Remote-Kill-Switch. Löst ein neues Smartphone-Modell plötzlich eine Prüfung aus, muss das Team nicht auf ein Store-Release warten, um das Aussperren von Nutzern zu beenden.

---

Wie wir es verifiziert haben

Die Verifizierungsmatrix spielte jedes Szenario auf Test-Builds durch:

Szenario	Erwartetes Ergebnis
Frida an die App angehängt	Sperrbildschirm innerhalb von 5 Sekunden
App auf einem Emulator gestartet	Blockiert
App auf einem echten Smartphone gestartet	Läuft normal

Die Zeilen „sollte durchlaufen“ zu testen ist genauso wichtig wie die Zeilen „sollte blockieren“. Genau dort werden False Positives entdeckt, bevor Kunden darauf stoßen.

---

Was RASP nicht leistet

• Es macht eine App nicht unknackbar. Ein entschlossener Angreifer kann clientseitige Prüfungen mit genügend Zeit umgehen.

• Es ersetzt keine serverseitigen Schutzmaßnahmen wie Sitzungsvalidierung und Fraud-Scoring.

• Es deckt keine branchenspezifischen Anforderungen ab, etwa zertifizierte Geolokalisierung im Glücksspielbereich.

Was es gut kann: die Kosten gängiger Angriffe erhöhen, handelsübliche Tools und automatisierten Missbrauch stoppen und dem Backend Signale liefern, auf die es reagieren kann.

Wie Mobian unterstützt

Bei Mobian waren diese Laufzeitschutzmaßnahmen Teil einer Sicherheitsbehebung für eine Retail-Bank, die bei einem MobSF-Score von 48/100 begann und 124 nachverfolgte Fixes hervorbrachte. Wir gestalten die Erkennung für die Nutzer, die Sie haben, nicht nur für die Angreifer, die Sie fürchten – mit Tests für beide Seiten und einer Möglichkeit, eine Prüfung abzuschalten, wenn sie sich falsch verhält.

Fazit

Gutes RASP wird an zwei Seiten gemessen: wie schnell es ein Hooking-Tool stoppt und wie selten es einen echten Kunden stört. Prüfungen anhand exakter Werte, an legitimen Apps getestete Klassifikatoren, geräteunabhängige Identitätsprüfungen und ein Remote-Kill-Switch ermöglichen es, Frida in Sekunden zu blockieren, während ein Kunde auf einem Chromebook überhaupt nichts davon bemerkt.

Häufige Fragen

Was ist RASP in einer mobilen App?

Runtime Application Self-Protection (RASP) ist eine Reihe von Prüfungen, die eine App während der Nutzung an sich selbst durchführt: Erkennung von Root, Hooking-Tools wie Frida, Emulatoren, Debuggern und neu verpackten Versionen der App. Schlägt eine Prüfung an, kann die App blockieren, Funktionen einschränken oder an den Server melden.

Warum verursachen RASP-Prüfungen False Positives?

Viele Erkennungen beruhen auf groben Heuristiken, etwa der Suche nach Begriffen in den Geräteeigenschaften, die mit Emulatoren in Verbindung gebracht werden. Echte Geräte, darunter Chromebooks, auf denen Android-Apps laufen, können diesen Mustern entsprechen. Ein False Positive sperrt einen zahlenden Kunden aus seinem eigenen Konto aus.

Was ist ein RASP-Kill-Switch?

Eine Remote-Einstellung, mit der das Team einen bestimmten Detektor deaktivieren oder lockern kann, ohne eine neue App-Version zu veröffentlichen. Blockiert eine Prüfung plötzlich echte Nutzer auf einem bestimmten Gerät, kann das Team sie innerhalb von Minuten abschalten, während ein Fix vorbereitet wird.

Kann RASP einen entschlossenen Angreifer stoppen?

Nein. Ein versierter Angreifer mit genügend Zeit kann clientseitige Prüfungen umgehen. RASP erhöht die Kosten von Angriffen, stoppt gängige Tools und automatisierten Missbrauch und liefert dem Server Signale, auf die er reagieren kann. Es ergänzt sicheres Design und serverseitige Schutzmaßnahmen, ersetzt sie aber nicht.

Ist RASP auch außerhalb des Bankings nützlich?

Ja. Emulator-Farmen, Autoclicker und neu verpackte Apps treiben Bonusmissbrauch im Gaming und Betrug in Krypto-Apps voran. Es gelten dieselben Detektoren, auch wenn jede Branche zusätzlich eigene Anforderungen hat, etwa zertifizierte Geolokalisierung, die RASP nicht abdeckt.