„Nichts anklicken“ ist überholt: Patches sind der wirklich wirksame Schutz

Jahrelang lautete der Standardrat zur Sicherheit schlicht: Keine verdächtigen Links anklicken, keine seltsamen Apps herunterladen. Was sagt man den Menschen, wenn schon das Laden einer ganz normalen Seite genügen kann?

Das ist die unbequeme Lehre aus einer Kampagne, die das französische Sicherheitsunternehmen Sekoia beschrieben hat. Laut der Zusammenfassung von eSecurity Planet zum Bericht vom 4. November wurde die Operation mit mittlerer bis hoher Sicherheit der Gruppe APT29 zugeordnet, die mit dem russischen Auslandsgeheimdienst in Verbindung gebracht wird. Die Angreifer schleusten bösartiges JavaScript in legitime Websites ein, darunter ein ukrainischer Gasproduzent, ein US-Branchenverband der chemischen Industrie und eine europäische politische Partei. Außerdem registrierten sie täuschend ähnliche Domains und manipulierten den Tracker eines ukrainischen Analyse-Anbieters. Das Skript erfasste Browser und Betriebssystem des Besuchers, und anfällige Geräte erhielten die Exploits automatisch – ohne zusätzliche Klicks oder Downloads.

Das wichtigste Detail ist dieses: Jede der sichergestellten Exploit-Ketten nutzte Schwachstellen, die bereits vor Beginn der Kampagne gepatcht worden waren. Vollständig aktualisierte Geräte waren gegen genau diese Angriffe geschützt. Wie BFMTV berichtet, hatte Apple bereits im April einen Fix für die Lücke veröffentlicht, die das DarkSword-Toolkit ausnutzt.

Nicht Ihre Vorsicht war das schwache Glied, sondern der Update-Rückstand

Wer Nutzern rät, „vorsichtig zu sein“, geht davon aus, dass die Gefahr sichtbar ist. Hier war sie es nicht: Die Look-alike-Seiten zeigten Inhalte, die von den legitimen Originalen übernommen waren, und die übrigen Angriffe versteckten sich in echten Websites. Alle Wachsamkeit nützt nichts, wenn der bösartige Code auf einer Seite sitzt, der man guten Grund hat zu vertrauen.

Was half, war unspektakulär: den Patch installieren. Unserer Ansicht nach macht das den alten Rat nicht nur unzureichend, sondern irreführend, denn er legt die Last auf ein Verhalten, das Nutzer nicht kontrollieren können, und vernachlässigt das Einzige, was sie beeinflussen können: den Update-Stand. Fairerweise muss man sagen, dass diese Kampagne gezielt wirkt. Sekoia vermutet, dass diplomatische Delegationen und hochrangige Gäste das Ziel gewesen sein könnten; wie viele Geräte kompromittiert wurden, konnten die Ermittler nicht feststellen. Die meisten Leserinnen und Leser dürften nicht zu den vorgesehenen Opfern gehören. Doch solche Werkzeuge verbreiten sich erfahrungsgemäß, und die Verteidigung ist in beiden Fällen dieselbe.

Android zeigt, warum „Einfach updaten“ keine faire Forderung ist

Beim iPhone ist die Antwort leicht zu geben. Bei Android ist es komplizierter. 01net weist darauf hin, dass der November-Patch von Google 216 Schwachstellen schließt, davon 23 kritische, darunter eine im Framework, die keinerlei Nutzerinteraktion erfordert. Derselbe Artikel nennt über 40 % der aktiven Geräte, die mit Android 13 oder älter laufen und von Google keine Sicherheitsupdates mehr erhalten. Für alle anderen hängt der Zeitpunkt davon ab, wann der Hersteller den Fix anpasst: bei manchen wenige Tage, bei anderen mehrere Wochen.

Das ist der eigentliche Skandal. Wir fordern die Menschen auf, schnell zu patchen, und verkaufen ihnen dann Geräte, bei denen der Zeitplan fürs Patchen in fremden Händen liegt. Ein Nutzer kann alles richtig machen und trotzdem wochenlang ungeschützt sein. Das ist aus unserer Sicht ein Designfehler des Ökosystems, kein Fehler der Nutzer.

Hersteller sollten das Patchen unsichtbar machen

Unsere Position: Sicherheitsupdates sollten sich selbst installieren, schnell und wo möglich ohne Neustart, und die Verantwortung liegt beim Hersteller. Apps und Handys, die Nutzer mit „Später aktualisieren“ vertrösten, liefern eine Schwachstelle mit Schlummertaste aus. Hersteller, die den Google-Bulletins hinterherhinken, sollten öffentlich benannt und beim Tempo verglichen werden, und Käufer sollten Update-Zusagen als ebenso wichtiges Merkmal betrachten wie die Kamera.

Eine Einschränkung aus der Untersuchung: Keine der Ketten etablierte Persistenz, aber ein Neustart des Telefons macht, wie der Bericht festhält, einen Datendiebstahl nicht rückgängig. Auch durch Session-Hijacking können Angreifer Zugriff auf Konten erhalten, ohne ein Firmennetzwerk zu berühren. Nachträgliches Updaten ist also keine Heilung.

Prüfen Sie Ihr Handy noch heute und behandeln Sie die Patch-Geschwindigkeit als Ausstattungsmerkmal

Öffnen Sie bei Android Einstellungen, Über das Telefon und sehen Sie sich das Datum des Sicherheitsupdates an: Laut 01net schützt ein Stand vom 1. November 2026 oder später vor der kritischen Framework-Lücke. Installieren Sie beim iPhone das neueste iOS. Aktivieren Sie überall automatische Updates. Erhält Ihr Handy keine Patches mehr, betrachten Sie das als Austauschtermin, nicht als Empfehlung. Und wenn Sie ein neues auswählen, fragen Sie den Verkäufer, wie lange und wie schnell es gepatcht wird. Diese Frage schützt Sie besser als jede Warnung vor Links.