Ich habe mich kürzlich mit der Frage beschäftigt, ob es möglich ist, mehrere Android-Geräte via Bluetooth miteinander zu verbinden, ohne dafür irgendeine Bestätigung des Nutzers einzuholen.

Viele App-Entwickler möchten dies zugunsten der Usability gern machen. Aus Sicherheitsgründen ist aber nicht gewollt, dass es funktioniert. Bevor eine Peer-to-Peer-Verbindung aufgebaut werden kann, ist daher eigentlich erst eine Bestätigung des Nutzers erforderlich.
Dennoch habe ich recht schnell einen Weg gefunden, wie es trotzdem geht. Kritisch betrachtet handelt es sich dabei um eine Sicherheitslücke in Android.

Mich hat gerade ein Leser auf diesen Tweet aufmerksam gemacht.

Google hat mit den neuen Android Versionen (ab Android 5.1) ein neues Sicherheitsfeature eingeführt, dass Smartphones auch dann schützen soll, wenn sie gestohlen werden und der Dieb ein Werksreset durchführt.

In diesem Fall werden normalerweise alle Daten vom Gerät gelöscht und die Handys auf den Auslieferungszustand zurückgesetzt. Auch alle Sicherheitssperren werden damit entfernt. Damit auf diese Weise Diebe keinen Zugriff mehr auf die Geräte bekommen können, hat Google die sogenannte "Android Factory Reset Protection" (FRP) eingeführt. Dadurch wird nach einem Werksreset erst der Login mit dem zuletzt auf dem Gerät genutzten Google-Konto verlangt, bevor das Gerät wieder genutzt werden kann. Ein Werksreset nützt einem Dieb also nicht viel, denn auch hinterher ist das Gerät noch gesperrt.

Alle Jahre wieder …