«SMS des Todes» legt Android-Handys lahm

• Ein unsichtbares SMS kann Android-Handys der Versionen 12 bis 17 lahmlegen, wie Sicherheitsforscher Mark Blaszczyk zeigt.
• Die Nachricht läuft über WAP Push, das Gerät startet danach alle 90 Sekunden neu – auch Notrufe brechen ab.
• Auf dem Bildschirm erscheint die Aufforderung zum Zurücksetzen, wodurch aber alle Daten gelöscht würden.
• Google behob die Lücke im Oktober-Update für Android 14 bis 17, für Android 12 und 13 gibt es keinen Fix.

Ein einziges SMS kann Android-Smartphones unbrauchbar machen. Das zeigt der Sicherheitsforscher Mark Blaszczyk, der die Schwachstelle am Donnerstag publik gemacht hat. Betroffen sind laut ihm die Android-Versionen 12 bis 17. Getestet hat er den Angriff unter anderem auf einem Pixel 9 und mehreren Samsung-Geräten – er funktionierte in allen Fällen.

Das Opfer muss nichts anklicken. Die Nachricht erscheint gar nicht erst im Posteingang: Sie läuft über WAP Push, einen veralteten Kanal, über den Mobilfunkanbieter unsichtbar Einstellungen aufs Handy schicken. Eine manipulierte Nachricht bringt dort den Telefoniedienst zum Absturz.

Alle 90 Sekunden ein Neustart

Danach startet das Gerät etwa alle 90 Sekunden neu. Laufende Gespräche brechen ab – auch Notrufe. Auf dem Bildschirm erscheint die Aufforderung, das Handy im Wiederherstellungsmodus zurückzusetzen.

Genau das sollte man nicht tun: Wer «Wipe data» wählt, löscht Fotos, Kontakte und Dokumente unwiederbringlich. Die Nachricht bleibt in der Warteschlange und wird bei jedem Start erneut verarbeitet – der Absturz wiederholt sich.

Dazu kommt: Netzbetreiber stellen unbestätigte Nachrichten erneut zu. In Blaszczyks Tests verursachte ein einziges SMS deshalb bis zu eine Woche lang Ausfälle. Rund 20 solcher Nachrichten machen ein Gerät praktisch unbrauchbar.

Von welchem Hersteller ist dein Handy?

Apple.

Google schloss den Bericht zuerst ab

Blaszczyk meldete die Lücke Google am 5. Mai. Der Konzern schloss den Bericht zunächst mit dem Vermerk «Will Not Fix» – wird nicht behoben. Das Entwicklerteam von GrapheneOS vermutet eine interne Panne: Möglicherweise sei das Problem intern schon bekannt gewesen und der Bericht versehentlich falsch abgelegt worden.

Behoben wurde die Lücke dann doch: Eine Korrektur entstand am 15. Juni, der Patch kam im Oktober-Sicherheitsupdate für Android 14 bis 17. Im Bulletin aufgeführt wird die Schwachstelle erst im November – als kritisch eingestuft.

Alte Geräte bleiben offen

Für Android 12 und 13 ist kein Fix zu erwarten. Google unterstützt diese Versionen nicht mehr; nur die Gerätehersteller könnten noch nachbessern.

Und auch neuere Handys sind nicht automatisch geschützt: Pixel-Geräte erhalten Googles Patches direkt, bei Samsung, Xiaomi und anderen dauert es oft Wochen oder Monate. Wer prüfen will, ob er geschützt ist, findet das in den Einstellungen unter «Softwareupdate».

Wer bereits in der Neustartschleife steckt, braucht einen Computer und das Entwicklerwerkzeug ADB, um sie zu stoppen, ohne Daten zu verlieren. Für Laien empfiehlt Blaszczyk den Gang in den Fachhandel.

Digital-Push

Wenn du den Digital-Push abonnierst, bist du über News und Gerüchte aus der Welt von Whatsapp, Tiktok, Instagram, Samsung, Apple und Co. informiert. Auch erhältst du Warnungen vor Viren, Trojanern, Phishing-Attacken und Ransomware als Erster. Weiter gibt es Tricks, um mehr aus deinen digitalen Geräten herauszuholen.

So gehts: Installiere die neuste Version der 20-Minuten-App. Tippe unten auf «Profil», dann aufs «Einstellungen»-Zahnrad und schliesslich auf «Push-Mitteilungen». Wähle hier die gewünschten Themen aus.

Konstantin Furrer (fur) arbeitet seit 2017 für 20 Minuten. Seit 2022 Newsdesk-Leiter, daneben Blattmacher und Mitglied der Redaktionsleitung.