APK Info Viewer

Funktionsweise des APK Info Viewers

Der APK Info Viewer ist ein kostenloses Online-Werkzeug, das die Inhalte und Metadaten eines Android-App-Pakets (APK) vor der Installation analysiert. Die Anwendung läuft vollständig im Webbrowser des Benutzers und extrahiert technische Details direkt aus der Datei. Dazu gehören der Paketname, die Version, die erforderlichen Android-Versionen, angeforderte Berechtigungen, Hintergrund- und Bildschirmkomponenten, unterstützte Prozessorarchitekturen, Signaturzertifikate und kryptografische Dateiprüfsummen.

Als Werkzeug zur statischen Analyse ermöglicht es die Überprüfung der Eigenschaften einer APK-Datei und den Abgleich mit offiziellen Veröffentlichungen von Entwicklern, ohne dass die Anwendung auf einem Gerät ausgeführt oder installiert werden muss.

Eingabeanforderungen und Dateiverarbeitung

Das Werkzeug verarbeitet eine einzelne APK-Datei im Format .apk mit einer maximalen Dateigröße von bis zu 500 MB. Es kann jeweils nur eine Datei zur gleichen Zeit analysiert werden. Wenn mehrere Dateien gleichzeitig hochgeladen werden, verarbeitet das Werkzeug ausschließlich die erste Datei und zeigt den Hinweis "Nur eine Datei auf einmal — die erste wird untersucht." an.

Die Benutzeroberfläche führt den Benutzer mit klaren Status- und Fortschrittsanzeigen durch den Analyseprozess:

• Vor dem Hochladen zeigt der Arbeitsbereich den Text "Bereit. Ziehe ein APK hierher, um es zu untersuchen." sowie im Drop-Bereich die Beschriftungen "APK hierher ziehen oder zum Auswählen klicken" und "Eine.apk-Datei, bis zu 500 MB".
• Während des Ladevorgangs erscheint die Meldung "‹name› wird gelesen…" (wobei ‹name› für den Dateinamen steht).
• Bei der Berechnung der Dateiprüfsummen wird der Fortschritt mit "Datei-Hashes werden berechnet — ‹percent›%" visualisiert.
• Während der Strukturprüfung zeigt das Tool "Paket wird analysiert…".
• Nach erfolgreichem Abschluss erscheint "Bericht fertig.".
• Über die Schaltfläche "Zurücksetzen" (Aktionstaste clear) wird die Ansicht geleert, was mit der Meldung "Zurückgesetzt." bestätigt wird.
• Beim Klick auf "Bericht herunterladen" (Aktionstaste download) wird die Meldung "Bericht herunterladen" ausgeführt und mit "Bericht heruntergeladen." bestätigt.

Fehlerbehandlung und Formatgrenzen

Das Werkzeug erzwingt strikte Regeln bei der Dateiprüfung und gibt bei Abweichungen spezifische Fehlermeldungen aus:

• Größenüberschreitung: Dateien, die die Grenze von 500 MB überschreiten, werden mit der Fehlermeldung abgelehnt: "Diese Datei ist über 500 MB groß — größer als ein Browser-Tab sicher untersuchen kann.".
• Geteilte Pakete: XAPK- oder APKM-Dateien werden nicht unterstützt. Das Tool bricht mit der Meldung ab: "Dies ist ein geteiltes XAPK-Paket — ein Container mit mehreren APKs. Extrahiere das Basis-APK und untersuche stattdessen diese Datei.".
• Android App Bundles: Dateien im Format .aab werden mit dem Hinweis blockiert: "Dies ist ein Android App Bundle (.aab) — ein Veröffentlichungsformat, kein installierbares APK. Untersuche stattdessen das erstellte APK.".
• Ungültige Formate: Wenn eine Datei keine gültige Android-Struktur aufweist, erscheint die Meldung: "Das sieht nicht nach einem APK aus: Keine lesbare AndroidManifest.xml im Inneren gefunden.".
• Beschädigte Dateien: Bei unvollständigen oder beschädigten Paketen wird ausgegeben: "Das Paket wirkt beschädigt oder unvollständig, daher konnten seine Inhalte nicht gelesen werden.".
• Lesefehler: Allgemeine Probleme beim Einlesen der Datei erzeugen die Meldung: "Die Datei konnte nicht gelesen werden. Wähle sie erneut aus.".
• Allgemeine Fehler: Sonstige unerwartete Fehler während der Analyse werden mit "Untersuchung fehlgeschlagen. Versuche es mit einer anderen Datei." signalisiert.

Struktur der Analyseberichte

Der generierte Bericht gliedert sich in strukturierte Abschnitte, die die extrahierten Metadaten der App aufbereiten:

Anforderungen (Requirements)

In diesem Bereich werden die Systemanforderungen der App ausgewiesen:

• Minimale Android-Version (lMinSdk): Wird entweder als "Android ‹version› (API ‹level›)" oder direkt als "API ‹level›" dargestellt.
• Ziel-Android-Version (lTargetSdk): Zeigt die API-Stufe, für die die App optimiert wurde, im Format "Android ‹version› (API ‹level›)" oder "API ‹level›".
• Falls im Paket definiert, wird auch die maximale SDK-Version als "max. SDK ‹n›" abgebildet.

Berechtigungen (Permissions)

Dieser Abschnitt listet alle von der App in der Manifest-Datei angeforderten Berechtigungen auf. Berechtigungen, die von Android als kritisch für die Privatsphäre eingestuft werden, erhalten das hervorgehobene Badge "Gefährlich". Zur besseren Übersicht werden Berechtigungen mit diesem Badge priorisiert an den Anfang der Liste sortiert.

Komponenten (Components)

Die App-Komponenten werden in vier Kategorien unterteilt und dargestellt:

• Activities (groupActivities): Zeigt die Benutzeroberflächen der App, gegebenenfalls mit der Kennzeichnung "exportiert", wenn sie für andere Apps zugänglich sind.
• Services (groupServices): Listet die Hintergrunddienste auf, ebenfalls mit dem Label "exportiert" falls zutreffend.
• Receivers (groupReceivers): Zeigt die registrierten Broadcast-Receiver, inklusive des Status "exportiert".
• Providers (groupProviders): Listet die Content-Provider auf, inklusive der Provider-Autorität, dem Label "exportiert" oder dem Wert "Keine".

Um die Übersichtlichkeit der Benutzeroberfläche zu wahren, werden maximal 100 Einträge pro Komponentenkategorie direkt angezeigt. Übersteigt die Anzahl der Komponenten dieses Limit, wird die Liste abgeschnitten und mit dem Platzhalter "+‹count› weitere" ergänzt.

Nativer Code (Native Code)

Dieser Bereich listet die im Paket enthaltenen Prozessorarchitekturen (Application Binary Interfaces, ABIs) sowie die Anzahl der jeweils enthaltenen nativen Programmbibliotheken auf.

Ressourcen (Resources)

Hier werden statistische Daten zu den im Paket enthaltenen Dateien aufgeführt:

• Bildschirmdichten (lDensities)
• Ressourcendateien (lResFiles)
• Asset-Dateien (lAssets)
• Codedateien (.dex) (lDexFiles)
• Dateien im Paket (lEntries)

Signaturen (Signatures)

Das Tool extrahiert X.509-Zertifikate aus v1-PKCS#7-Blöcken sowie aus APK-Signaturblöcken der Schemata v2, v3 und v3.1. Für jeden gefundenen Signierer ("Signierer ‹n›") werden folgende Metadaten dargestellt:

• Subjekt (lSubject)
• Ausgestellt von (lIssuer)
• Seriennummer (lSerial)
• Gültig von (lValidFrom)
• Gültig bis (lValidTo)
• Signaturalgorithmus (lSigAlg)
• Schlüsselalgorithmus (lKeyAlg)
• Die kryptografischen Fingerabdrücke des Zertifikats in den Formaten MD5, SHA-1 und SHA-256.

Sollte das Paket keinen gültigen Signaturblock aufweisen, wird die Warnung "Kein erkannter Signaturblock gefunden – das paket ist möglicherweise unsigniert oder neu verpackt." ausgegeben. Das Tool führt eine reine Metadaten-Extraktion durch; es erfolgt keine kryptografische Verifizierung der Signaturintegrität, keine Validierung der Zertifikatskette und keine Überprüfung der realen Identität des Herausgebers.

Dateiprüfsummen (File hashes)

In diesem Abschnitt werden die globalen Dateiprüfsummen der hochgeladenen APK-Datei in den Formaten MD5, SHA-1 und SHA-256 berechnet und angezeigt.

Lokale Verarbeitung und Datenschutz

Die Analyse der APK-Dateien erfolgt vollständig lokal im Webbrowser des Benutzers über einen lokalen Web Worker. Es werden keine Dateien oder Analysedaten an externe Server übertragen. Da die Datei ausschließlich innerhalb der Sandbox des Browsers gelesen und temporär verarbeitet wird, besteht kein Risiko einer unbeabsichtigten Ausführung oder Installation der App auf dem verwendeten Gerät.

Zielgruppen des Werkzeugs

• Sicherheitsbewusste Anwender: Personen, die APK-Dateien aus Drittquellen beziehen und vor der Installation prüfen möchten, ob die App unerwartete Berechtigungen anfordert oder ob die Signaturzertifikate vom echten Entwickler stammen.
• Android-Entwickler: Entwickler, die die kompilierten Eigenschaften ihrer erstellten APKs (wie SDK-Versionen, enthaltene Assets, aktive Komponenten oder Signaturschemata) schnell und ohne das Öffnen einer integrierten Entwicklungsumgebung (IDE) überprüfen wollen.
• Systemadministratoren und IT-Auditoren: Fachkräfte, die für Compliance- oder Bereitstellungsprotokolle die exakten Dateiprüfsummen, Berechtigungen und Signaturzertifikate von App-Paketen dokumentieren müssen.

Häufig gestellte Fragen (FAQ)

Was kann ich aus einem APK erfahren, ohne es zu installieren?

So einiges: Paketname und Version der App, benötigte Android-Versionen, angeforderte Berechtigungen, deklarierte Bildschirme und Hintergrundkomponenten, unterstützte Prozessorptypen sowie die Signaturzertifikate.

Kann mir dieses Tool sagen, ob ein APK Schadsoftware enthält?

Nein — und sei skeptisch bei Tools, die nach einem schnellen Scan ein Urteil versprechen. Hier erhältst du die Fakten: Berechtigungen, Komponenten, Signer und Hashes. Vergleiche sie mit den Angaben des Entwicklers und betrachte unerwartete Berechtigungen oder einen abweichenden Signer als Grund zur Vorsicht.

Welche Dateien werden unterstützt?

Einzelne APK-Dateien bis zu 500 MB. Geteilte Pakete (XAPK, APKM) und Android App Bundles (.aab) sind Container- oder Veröffentlichungsformate und kein einzelnes installierbares Paket; sie werden daher mit einer klaren Meldung anstelle eines verwirrenden Berichts abgelehnt.

Was verraten mir die Signaturdetails?

Jede Android-App ist signiert, und das Zertifikat identifiziert den Herausgeber. Du siehst, welche Signaturschemata das Paket enthält (v1, v2, v3) sowie Aussteller, Gültigkeitszeitraum und MD5-, SHA-1- und SHA-256-Fingerabdrücke jedes Signers. Zwei APKs mit übereinstimmenden Fingerabdrücken stammen vom selben Herausgeber — ob du diesem vertraust, musst du selbst entscheiden.

Was bedeutet das Badge „Dangerous“ bei einer Berechtigung?

Das ist Androids eigene Klassifizierung: Gefährliche Berechtigungen können auf private Daten zugreifen — Standort, Kontakte, Kamera, Mikrofon, Speicher —, weshalb das System den Benutzer vor der Erteilung fragt. Das Badge ist keine Anklage; dass eine Karten-App den Standort abfragt, ist normal. Es markiert lediglich die Berechtigungen, die man genauer lesen sollte.