Bezugsquelle Nummer eins für Android-Apps ist Googles Play Store. Der Internetkonzern verspricht, dass jede App vor Veröffentlichung geprüft wird. "Anwender gehen auf Nummer sicher, wenn sie Apps nur über Play beziehen", sagt Ronald Eikenberg vom Fachmagazin "c't".

Mit Play Protect hat Google über seine Play-Dienste außerdem bereits einen Virenscanner zentral ins Android-Betriebssystem integriert, der alle installierten Apps regelmäßig prüft.

Allerdings kann es trotz Prüfung vorkommen, dass über den Play Store Apps mit schädlichen Inhalten ausgeliefert werden. Entwickler von Antivirus-Apps verweisen gerne auf solche Vorfälle. Unterm Strich sind sie jedoch selten und meist in kurzer Zeit behoben.

Und auch bei Play Protect bleibt natürlich immer ein Restrisiko, dass ein Schädling nicht erkannt wird. Dieses kann durch Virenscanner minimiert werden, jedoch sind diese in ihrer Funktion eingeschränkt, da Android keine tiefen Einblicke in das System zulässt.

Hintergrund ist ein Sicherheitsmechanismus, der Schädlinge von wichtigen Funktion fernhält, aber eben auch Virenscannern gründliche Analysen verwehrt, erklärt Eikenberg. Sie können das System also nicht proaktiv schützen, etwa durch die Suche nach typischen Merkmalen von Schadsoftware (Heuristik) oder Verhaltenserkennung.

Die Antivirus-Apps vergleichen nur die installierten Apps mit Listen bekannter Schädlinge, erklärt Eikenberg. Ein Virenscanner für Android ist daher immer nur so gut wie die Datenbank, auf die er zugreift. Neue Schädlinge können die Scanner aber nicht entdecken.

Viele Entwickler werten ihre Apps daher mit weiteren Funktionen auf. Das geht vom Anti-Diebstahl-Feature mit Handy-Ortung und Möglichkeit zum Sperren aus der Ferne bis hin zum Blockieren unerwünschter Anrufer.

Oft werden auch Energiesparmodi, Datenmüll-Bereinigungen oder Kindersperren angeboten. Bevor man aber im Zweifel die Wahl eines Virenscanners von einer Zusatzfunktion abhängig macht, sollte man aber zuerst prüfen, ob Android diese nicht vielleicht ohnehin schon an Bord hat.

Bei der Installation von Anwendungen gilt es grundsätzlich, sich nicht blind auf Play Protect oder andere Virenscanner zu verlassen. "Eine umsichtige Nutzung des Smartphones ist wichtig, gerade dann, wenn die App nicht von Play, sondern einer alternativen Quelle stammt", erklärt Matteo Cagnazzo vom Institut für Internet-Sicherheit an der Westfälischen Hochschule in Gelsenkirchen.

Es sei ratsam, nie brandneue Apps ohne Bewertungen herunterzuladen, die vielleicht auch noch nicht auf ihre Sicherheit hin getestet worden sind.

Schädlinge verstecken sich gern in Plagiaten bekannter Apps. Im Play Store sollte man daher genau prüfen, ob die App vom richtigen Entwickler stammt. Auch hier können Kundenrezensionen helfen.

Gemieden werden sollten auch Apps, die kostenpflichtige Inhalte gratis versprechen, oder solche, die angeblich neue Funktionen zu populären Apps hinzufügen können, die die Originale nicht bieten.

Obwohl bei Android aus Sicherheitsgründen jede App als separater Prozess ausgeführt wird und keinen Zugriff auf Komponenten und Funktionen außerhalb dieses Prozesses hat (Sandboxing), gibt es dennoch erfolgreiche Android-Schädlinge.

2016 waren etwa 16,5 Millionen unterschiedliche Schadprogramme für Android bekannt, weiß Cagnazzo, und: "Jährlich kommen circa 3,5 Millionen hinzu - mit eher steigender Tendenz."

Am häufigsten versuchen Schad-Apps, den Nutzer auszuspionieren und an seine Daten zu kommen. Dazu fordern die Apps Zugriffsberechtigungen auf die Kontakte, das Telefonbuch, Mikrofon, Kamera oder die Standortdaten. Haben sie diese Berechtigungen erhalten, verschicken sie die Daten unbemerkt an Internet-Server.

Bevor man einer App Berechtigungen erteilt, tut man also gut daran, zweimal hinzuschauen. Braucht ein Spiel wirklich Zugriff auf die Kamera? Oder muss die Foto-App wirklich ans Telefonbuch?

Lieber einmal mehr verweigern, als eine folgenschwere Berechtigung zu erteilen, so die Faustregel. Ebenso wichtig wie wirksam: Updates umgehend installieren. Denn die bringen nicht nur neue Funktionen, sondern stopfen auch Sicherheitslücken.