Methodik
Dieselben Regeln, unabhängig vom Kunden
Ein Ermittler, der die Regeln für einen zahlenden Kunden beugt, ist kein Ermittler mehr - nur ein Dienstleister mit besserem Vokabular. Diese vier Prinzipien bestimmen, wohin wir schauen, wie wir prüfen, was wir mit unseren Funden machen und wann sie öffentlich werden, unabhängig davon, wer zahlt.
Quellen
Wir arbeiten nur mit dem, wozu wir rechtmäßig Einsicht haben: öffentlich zugängliche Informationen, Geräte, die wir besitzen oder zu deren Test wir berechtigt sind, und Software, zu deren Analyse wir befugt sind. Wenn Material in unbefugten Zugriff auf ein System übergeht, das wir nicht kontrollieren, nutzen wir es nicht - wir melden es stattdessen der zuständigen Behörde, genauso, wie wir umgekehrt behandelt werden wollten.
Methoden
Erst untersuchen, dann urteilen: Wir verfolgen die Grundursache, statt beim ersten Symptom stehenzubleiben, und jeder Schritt muss von jemand anderem als der Person, die ihn zuerst ausgeführt hat, reproduzierbar sein. Ein Fund, den nur eine Person reproduzieren kann, ist noch kein Fund.
Umgang mit Ergebnissen
Schweregrade werden eingestuft, nicht behauptet - und jeder Kunde, zahlend oder nicht, bekommt dieselbe Triage-Disziplin (ISO/IEC 30111: reproduzieren, eingrenzen, beheben, den Melder kreditieren). Was sich zwischen den Stufen ändert, ist, wie viel vom Bericht privat bleibt und wie schnell wir vorgehen - nie, ob der Fund veröffentlicht wird, nie die Sorgfalt der zugrundeliegenden Arbeit.
Offenlegung
Ein fixes öffentliches Vorlauffenster gilt, bevor irgendetwas auf das öffentliche Ledger kommt, und gibt der Organisation echte Zeit, ein Problem zu beheben, bevor es sonst jemand sieht. Behörden werden parallel informiert, wo unsere eigenen Regeln das verlangen, ohne Details preiszugeben, die einen Kunden gefährden würden, bevor er die Chance hatte, es zu beheben.
Eine Behauptung, die man nicht zurückverfolgen kann, ist keine Evidenz
Die meisten Berichte enden bei einem Schweregrad-Label: kritisch, hoch, mittel. Das sagt Ihnen, wie besorgt Sie sein sollten, aber nicht warum - und das eigene Rechts- oder Engineering-Team eines Kunden kann keine Arbeit prüfen, deren Schritte es nicht sehen kann. Deshalb muss jeder Fund, den wir liefern, fünf Fragen der Reihe nach beantworten, nicht nur die letzte: Was haben wir gefunden, was beweist es, wie haben wir es bewiesen, wie sicher sind wir, und was sollten Sie dagegen tun.
Echter, offengelegter Fund. Aus „Merge Chicken" (com.Merge.o98Chickens), gemeldet an Google Play & Android Security am 25.06.2026, aus dem Play Store entfernt am 30.06.2026. Vollständiger Bericht (PDF)
Fund
Eine mit PEGI 3 („für alle Altersgruppen geeignet") bewertete Google-Play-App, gelistet als beiläufiges Merge-Puzzle-Spiel, funktionierte als unlizenziertes Echtgeld-Online-Casino ohne KYC-Prüfung - im eingereichten Build auf den ersten Blick nicht erkennbar.
Evidenz
Die Glücksspiel-UI und -Logik fehlten in der geprüften Binärdatei und waren hinter einem serverseitig gesteuerten Schalter (Firebase Remote Config) versteckt, wobei die Live-Payload nach der Installation von separat kontrollierter Infrastruktur ausgeliefert wurde.
Methode
Statische Root-Level-Analyse der veröffentlichten Release-APK: apktool-Dekompilierung, dex-/String-Inspektion, Manifest-Prüfung, plus Open-Source-Bestätigung der Entwicklerentität. Keine Produktionsserver oder Nutzerkonten wurden untersucht.
Konfidenz
Bestätigt - direkt an Google Play & Android Security als Missbrauch gemeldet, nicht als Anbieter-Offenlegung verhandelt. Googles eigenes Sicherheitsteam bestätigte die Entfernung aus dem Play Store.
Empfehlung
Gemeldet am 25.06.2026; App am 30.06.2026 aus dem Play Store entfernt - 5 Tage bis zur Lösung, das erste öffentlich dokumentierte Durchsetzungsergebnis des RFI-IRFOS-Android-Audit-Programms 2026.
