Eine SMS darf kein Android lahmlegen – das eigentliche Problem ist das Patch-Tempo

Wie kann es akzeptabel sein, dass eine Nachricht, die man nie sieht, in einem Posteingang, den man nie öffnet, die Netzwerkdienste eines Smartphones lahmlegen kann – Notrufe eingeschlossen? Das ist die unbequeme Frage hinter der „SMS des Todes“, und sie verdient eine bessere Antwort als „Aktualisieren, sobald es geht“.

Laut dpa-Berichten, die deutsche Medien aufgegriffen haben, hat der Sicherheitsforscher Mark Blaszczyk eine Schwachstelle veröffentlicht, durch die eine versteckte WAP-Push-SMS Smartphones mit Android 12 bis 17 etwa alle anderthalb Minuten in eine Neustart-Schleife schickt. Der Wiederherstellungsbildschirm fordert dann zum Löschen der Daten auf, was man nicht tun sollte. Eine Wiederherstellung soll von einem PC aus mit dem Tool Android Debug Bridge möglich sein.

Wie Udaipur Kiran berichtet, wird der Fehler unter CVE-2026-58882 geführt und liegt in der Art, wie das Telefonie-Framework von Android die Datenlänge prüft. Er wurde Google am 5. Mai 2026 gemeldet, am 15. Juni im Open-Source-Code behoben und am 29. Oktober offengelegt. Laut demselben Bericht kann der Angriff Anrufe und Mobilfunkdienste stören, darunter Notrufe.

Der Fehler ist alt, der Skandal ist die Verzögerung

WAP Push ist ein veralteter Mechanismus, über den Netzbetreiber versteckte Konfigurationsanweisungen an Smartphones senden. Unsere Einschätzung: Eine Funktion aus einer anderen Ära sollte nicht den Prozess lahmlegen können, der Anrufe und das Mobilfunknetz steuert, und man darf fragen, warum sie das noch kann. Das ist ein Entwicklungsfehler, aber ein bekannter. Komplexe Parser versagen.

Nicht unvermeidlich ist dagegen der Zeitplan. Googles Sicherheitsupdate für Android 14 bis 17 existiert mindestens seit Anfang Oktober, doch außerhalb der Pixel-Geräte kann es Wochen oder Monate dauern, bis die Hersteller es ausliefern. Geräte mit Android 12 und 13 bleiben höchstwahrscheinlich verwundbar, sofern ihre Hersteller nicht eigene Patches schreiben. Zwischen Code-Fix und öffentlicher Offenlegung vergingen mehr als vier Monate, und viele Nutzer können trotzdem noch nichts installieren.

Google und Hersteller sollten an Tagen gemessen werden, nicht an Update-Versprechen

Giga berichtet, dass inzwischen 56,4 Prozent der aktiven Android-Geräte mit Android 14 oder neuer laufen, auch dank Project Treble und Project Mainline sowie Update-Versprechen von bis zu sieben Jahren. Das ist echter Fortschritt, und wir meinen, es ist der unterschätzte Teil der Geschichte. Es bedeutet aber auch, dass mehr als 40 Prozent der Geräte mit älteren Versionen laufen und dass Google den Support für Android 13 im März 2026 beendet hat.

Deshalb plädieren wir für einen anderen Maßstab. Die Jahre der Update-Versprechen sind Marketing. Entscheidend ist die Zahl der Tage von Googles Patch bis zu Ihrem Sperrbildschirm. Samsung, Xiaomi, OnePlus und Motorola, allesamt als Marken genannt, bei denen Nutzer selbst nach Patches suchen sollten, müssten diese Zahl veröffentlichen. Google, das die Plattform kontrolliert und mit Pixel die Referenzerfahrung verkauft, sollte klar sagen, wie viel Verzögerung es für vertretbar hält.

Es gibt auch eine Lehre für das Design. Ein Absturz in dem Prozess, der Anrufe und das Mobilfunknetz abwickelt, sollte nicht durch eine Nachricht auslösbar sein, die der Nutzer nicht einmal sieht. Zumindest sollte eine fehlerhafte WAP-Push-Nachricht verworfen werden, ohne die Telefonie lahmzulegen. Genau darauf zielt Googles Fix Berichten zufolge ab, und wir meinen, dass das von Anfang an das Standardverhalten hätte sein müssen.

Bis der Patch eintrifft: manuell prüfen und Daten behalten

Öffnen Sie die Einstellungen, suchen Sie System oder Software-Update und installieren Sie jeden verfügbaren Sicherheitspatch. Wenn Ihr Smartphone bei Android 12 oder 13 festhängt, werten wir das als Kaufsignal und nicht als Eigenheit. Sollte es in eine Schleife geraten und anbieten, alles zu löschen, wählen Sie nicht „Daten löschen“, sondern verbinden Sie es mit einem PC und gehen Sie den Wiederherstellungsweg.

Und fragen Sie Ihren Hersteller öffentlich und hartnäckig, wann der Patch kommt. Die Schwachstelle war ein Fehler. Das Schweigen über die Auslieferung ist eine Entscheidung.