Die „SMS des Todes“ zeigt Androids wahre Schwäche: späte Patches

Ist ein Fehler wirklich der Skandal, wenn die Lösung seit Wochen existiert und dennoch viele Hosentaschen nicht erreicht hat? Die „SMS des Todes“ ist ein unangenehmes Stück Schadcode, doch die unbequemere Geschichte ist, wie lange Android-Nutzer auf die Abhilfe warten.

Eine unsichtbare SMS kann Ihr Handy vom Netz nehmen

Der Sicherheitsforscher Mark Blaszczyk hat Details zu einer Schwachstelle samt Proof of Concept veröffentlicht. Mit einer speziell präparierten WAP-Push-Nachricht lässt sich der Teil von Android zum Absturz bringen, der den Mobilfunk verwaltet. Laut Heise via Chip ist die Nachricht unsichtbar: Sie landet nie im Posteingang. Ein betroffenes Handy kann etwa alle 90 Sekunden neu starten und im Wiederherstellungsmodus das Löschen der Daten anbieten.

Blogspan berichtet, der Forscher habe Google am 5. Mai informiert, und die Korrektur umfasse Android 14 bis 17 ab dem Oktober-Update. Android 12 und 13 gehen demnach leer aus. Auch Notrufe können abbrechen. Dieses letzte Detail macht aus einem Ärgernis ein Sicherheitsproblem.

Der Fehler ist gewöhnlich; die Auslieferungskette ist die Schwachstelle

Die technische Ursache ist fast banal: Ein Längenfeld wird ohne Prüfung umgewandelt, wird negativ, und der Code fängt den daraus entstehenden Fehler nicht ab. Jede große Codebasis enthält solche Fehler, würden wir vermuten. Entscheidend ist die Zeit zwischen „behoben“ und „installiert“.

Wie die deutsche Berichterstattung festhält, kann es ohne Pixel Wochen oder sogar Monate dauern, bis der Hersteller die Patches von Google ausliefert. Das ist die strukturelle Schwäche. Google kann die Korrektur schreiben, aber nicht auf Ihrem Galaxy, Xiaomi oder was auch immer in Ihrer Tasche steckt, den Knopf drücken. Der Exploit-Code ist unterdessen öffentlich. Unserer Meinung nach verdient genau diese Kombination Alarm: ein veröffentlichtes Rezept, ein gepatchter Upstream-Code und eine lange Reihe von Handys, die dazwischen schutzlos bleiben.

Auch sollte man die Bedrohung einordnen. Es handelt sich um einen Absturz aus der Ferne, nicht um Datendiebstahl, und nichts, was wir gelesen haben, deutet auf eine massenhafte Ausnutzung hin. Ein Handy, das Anrufe, den Notrufzugang und womöglich Ihre Daten verliert (wenn Sie in Panik „Daten löschen“ antippen), ist aber alles andere als harmlos. Störung ist ebenfalls eine Waffe, und sie scheint billig einsetzbar.

Ältere Handys sind die stillen Verlierer

Die bitterste Zeile betrifft Android 12 und 13. Diese Geräte bleiben wahrscheinlich verwundbar, sofern die Hersteller nicht eigene Patches schreiben. Blogspan nennt eine klare Konsequenz für Diensthandys mit diesen Versionen: ein Grund, sie auszutauschen. Wir würden weitergehen. Wenn eine Textnachricht ein Handy lahmlegen kann und der Hersteller es nicht behebt, ist das Gerät kein verlässliches Telefon mehr.

Hinzu kommt ein Überprüfungsproblem. Blogspan merkt an, dass die von BleepingComputer genannte CVE-Nummer am 1. November in den geprüften MITRE- und NVD-Einträgen nicht auftauchte und dass Googles Oktober-Bulletin die Lücke nicht nennt. Die Angabe „Oktober 2026 oder neuer“ stammt allein vom Forscher. Das macht sie nicht falsch, bedeutet aber, dass Nutzer viel auf Vertrauen hinnehmen müssen, was für sich genommen ein Transparenzversagen ist.

Prüfen Sie heute Ihren Patch-Stand, dann die Gewohnheiten Ihres Herstellers

Prüfen Sie das Datum Ihres Sicherheitspatches: Einstellungen, Über das Telefon, Android-Version (die Menüs unterscheiden sich je nach Marke). Steht dort Oktober 2026 oder später, sind Sie laut dem Forscher geschützt. Falls nicht, installieren Sie jedes ausstehende Update und starten Sie neu. Warten Sie nicht auf die automatische Benachrichtigung.

Wenn Ihr Handy bereits in einer Schleife hängt, tippen Sie nicht auf „Daten löschen“. Der Forscher beschreibt einen Wiederherstellungsweg über einen Computer und die Android Debug Bridge, doch das ist eine Notlösung für technisch Versierte, kein Ersatz für das Update.

Unser Urteil: Die Update-Geschwindigkeit darf nicht länger als Fußnote in Datenblättern behandelt werden. Fragen Sie beim Kauf Ihres nächsten Android-Geräts, wie schnell der Hersteller Googles Patches ausliefert und für wie viele Jahre. Solange Hersteller nicht an diesem Maßstab gemessen werden, wird die nächste „SMS des Todes“ vermutlich auf dieselbe lange Schlange ungepatchter Handys treffen.