Der Handywechsel ist der riskanteste Moment, und Clone2Pwn belegt es

Welche App auf Ihrem Smartphone verarbeitet die sensibelsten Daten, die Sie besitzen? Wahrscheinlich nicht die Ihrer Bank. Es ist vermutlich die App, die Sie nur alle paar Jahre öffnen, halb abgelenkt, während Sie ein neues Gerät auspacken: das Werkzeug „Alles vom alten Handy kopieren“.

Dieses Werkzeug hat jetzt eine harte Prüfung hinter sich. Forscher der TU Graz und des österreichischen Zentrums A-SIT haben die Migrations-Apps von sieben Herstellern analysiert: Google, Samsung, Vivo, Xiaomi, Oppo, Huawei und Honor. Laut TU Graz fanden sie in allen Schwachstellen, die es einem Angreifer in WLAN-Reichweite erlauben, die Übertragung abzuhören oder zu manipulieren. In Innenräumen beträgt diese Reichweite etwa 20 bis 45 Meter, und die Ausrüstung kostete weniger als 100 Euro. Die Arbeit mit dem Namen Clone2Pwn wurde auf der ESORICS 2026 vorgestellt.

Zu den offengelegten Daten gehörten Textnachrichten, Kontakte, Fotos, Gesundheitsdaten, gespeicherte WLAN-Zugangsdaten und App-Passwörter. In einigen Fällen konnten manipulierte App-Pakete Schadsoftware auf das neue Smartphone einschleusen. Alle sieben Hersteller haben inzwischen Sicherheitsupdates veröffentlicht und die Schwere der Probleme bestätigt, fünf davon wurden als hoch eingestuft.

Der Komfort ist die Schwachstelle

Diese Werkzeuge sollen nahezu alles auf dem Smartphone in einem Rutsch übertragen, ohne externen Server, über eine direkte WLAN-Verbindung zwischen zwei Geräten. Das ist eine hervorragende Nutzererfahrung. Es ist aber auch ein konzentrierter Strom der wertvollsten Daten, die Sie haben, der per Funk übertragen wird, für jeden, der nah genug zum Mithören ist. Wenn die Forscher sagen, dass fast der gesamte Inhalt eines Telefons übertragen wird, ist das keine Fußnote. Es ist das Bedrohungsmodell.

Nach unserer Einschätzung behandelte die Branche diese Apps als freundliche Einstiegsfunktion und nicht als sicherheitskritische Software. Kein Zahlungsmodul wird mit dieser Haltung ausgeliefert. Dabei verwaltet die Migrations-App die Schlüssel zu all diesen Daten und ist laut den Forschern auf fast jedem Android-Gerät vorinstalliert.

„Alle sieben“ ist die entscheidende Zahl

Zwölf Milliarden Downloads, eine Gesamtzahl, die Tech Xplore für die untersuchten Apps nennt, taugt als Schlagzeile, aber aufschlussreicher ist die Zahl sieben von sieben. Es war nicht ein schlampiger Hersteller. Es sieht nach einem blinden Fleck der gesamten Kategorie aus: Alle bauten dieselbe Art von Werkzeug, und alle machten es angreifbar. Das deutet auf eine gemeinsame Designgewohnheit hin, nicht auf einen einzelnen Fehler. Wir halten das für den unbequemen Teil und würden „gepatcht“ deshalb nicht mit „gelöst“ gleichsetzen.

Fairerweise verdienen die Hersteller etwas Anerkennung. Das Team hielt sich an die verantwortungsvolle Offenlegung, die Hersteller bestätigten die Probleme, und alle haben Korrekturen ausgeliefert. So sollte es laufen. Doch ein Patch ersetzt unserer Meinung nach keine Sicherheitsprüfung vor dem Start, und genau diese Gewohnheit sollte sich ändern.

Wo das Risiko real ist und wo nicht

Übertreiben sollte man nicht. Der Angriff setzt räumliche Nähe voraus, und nichts in der Dokumentation deutet auf eine massenhafte Ausnutzung hin. Für die meisten Menschen, die zu Hause das Gerät wechseln, ist das praktische Risiko vermutlich gering. Die Forscher selbst nennen Orte, an denen täglich viele Übertragungen stattfinden, etwa Elektronikmärkte und Mobilfunkshops. Wenn ein Mitarbeiter anbietet, Ihre Daten für Sie zu übertragen, ist das genau die Umgebung, die sie als besonders anfällig hervorheben.

Es gibt außerdem versteckte Kosten: In manchen Fällen erfordert die Korrektur womöglich ein Update des gesamten Betriebssystems, nicht nur der App. Wir vermuten, dass das besonders Menschen mit alten, vernachlässigten Geräten trifft, also genau diejenigen, die wahrscheinlich auf ein neues Gerät umsteigen.

Was vor dem nächsten Gerätewechsel zu tun ist

Der Rat der Forscher ist einfach, und wir würden ihm buchstabengetreu folgen: Stellen Sie sicher, dass auf beiden Geräten die neueste Version der Migrations-App installiert ist, und spielen Sie alle relevanten Updates ein, bei Bedarf auch das des Systems. Tun Sie das vor dem Start, nicht danach. Wenn möglich, führen Sie die Übertragung zu Hause durch und nicht in einem vollen Geschäft.

Unser Fazit: Clone2Pwn ist kein Grund, diese Apps zu meiden, denn sie bleiben der einfachste Weg für den digitalen Umzug. Es ist ein Grund für die Hersteller, ihnen dieselbe Bedrohungsmodellierung, dieselben Audits und dieselbe Update-Disziplin zu widmen wie einer digitalen Geldbörse oder einem Passwortmanager. Der Moment des Handywechsels sollte der am sorgfältigsten geschützte Moment Ihres digitalen Lebens sein. Heute ist er einer der am wenigsten geschützten.