Eine SMS kann Android-Handys zum Absturz bringen – für Android 12 und 13 gibt es keinen Fix

Ein Sicherheitsforscher hat funktionsfähigen Angriffscode für eine Android-Schwachstelle veröffentlicht, mit der jeder, der deine Telefonnummer kennt, dein Handy mit einer einzigen SMS zum Absturz bringen kann. Die als „SMS of Death“ bekannte Nachricht taucht nie im Posteingang auf und erfordert keinen Fingertipp. Sie legt den Teil von Android lahm, der Anrufe und Mobilfunkempfang verwaltet – laufende Gespräche brechen dadurch ab, auch Notrufe. Google hat die Lücke in aktuellen Android-Versionen geschlossen. Ältere Handys, die keine Sicherheitsupdates mehr erhalten, bleiben jedoch gefährdet.

Für die meisten stellt sich eine einfache Frage: Hat dein Handy das neueste Sicherheitsupdate installiert? Der Fehler steckt im zentralen Telefoniecode von Android, den alle Hersteller verwenden, und ist deshalb nicht auf eine bestimmte Marke beschränkt. Der Forscher, der unter dem Namen Mark B veröffentlicht, berichtet, dass sich der Absturz jedes Mal auf einem Google Pixel und auf mehreren Samsung-Galaxy-Handys reproduzieren ließ – darunter günstigere Modelle der A-Serie –, sofern diese das Update noch nicht erhalten hatten.

Der Angriff nutzt WAP Push aus, ein älteres Nachrichtenformat, mit dem Mobilfunkanbieter im Hintergrund Einstellungen an Handys senden. Eine fehlerhaft formatierte Nachricht bringt Android dazu, eine negative Speichermenge reservieren zu wollen, woraufhin der Prozess abstürzt, der Anrufe und Empfang verwaltet. Jede Nachricht sorgt dafür, dass das betroffene Handy für ein oder zwei Sekunden keinen Empfang hat. Den eigentlichen Schaden richtet die Wiederholung an. Mobilfunkanbieter senden Nachrichten erneut, wenn ein Handy ihren Empfang nicht bestätigt hat. In den Tests des Forschers verursachte eine einzige Nachricht wiederkehrende Ausfälle, die bis zu einer Woche anhielten. Rund 20 Nachrichten machten ein Handy unbenutzbar.

Die manipulierten Nachrichten bleiben außerdem in der Warteschlange und werden bei jedem Neustart erneut verarbeitet. Ein getestetes Android-12-Handy startete ungefähr alle 90 Sekunden im Wiederherstellungsmodus neu. Ein gewöhnlicher Besitzer könnte diese Schleife nur durch ein Zurücksetzen auf Werkseinstellungen beenden, bei dem alle Daten auf dem Gerät gelöscht werden. Ein Mitwirkender an dem Projekt, der unter dem Namen Sakis auftritt, fand eine Möglichkeit, nur die schädlichen Nachrichten zu löschen. Dafür braucht man allerdings einen Computer, die Android-Entwicklertools und das richtige Timing in dem kurzen Zeitfenster nach jedem Neustart.

Der Forscher stellt den Fehler in den Zusammenhang mit der australischen Notrufnummer Triple Zero und weist auf eine ungewöhnliche Nebenwirkung hin. In Australien müssen Mobilfunkanbieter Handys ausfindig machen, die keine Notrufe absetzen können, und sie schließlich vom Netz nehmen. Telstra zufolge werden solche Handys gesperrt, wenn sich innerhalb von 28 Tagen nichts ändert. Nach Einschätzung des Forschers könnte ein Angreifer, der ein Handy gezielt daran hindern kann, Notrufe abzusetzen, dazu führen, dass das Gerät des Opfers selbst für das Netz gesperrt wird.

Die Gefahr hat jedoch Grenzen. Es handelt sich um einen Denial-of-Service-Angriff, nicht um einen Einbruch: Die Nachricht kann weder deine Daten auslesen noch etwas installieren oder die Kontrolle über das Handy übernehmen. Der Angreifer braucht deine Telefonnummer und eine Möglichkeit, Rohdaten-Nachrichten zu senden. Das veröffentlichte Tool verschickt sie von einem anderen Android-Handy mit SIM-Karte aus – dabei entsteht ein Eintrag beim Mobilfunkanbieter. Bislang gibt es keine öffentlichen Berichte über Angriffe auf reale Personen. Wie BleepingComputer anmerkt, führt auch Googles Sicherheitsbulletin für Oktober den Fix nicht auf. Besitzer älterer Handys wurden somit offiziell nicht darüber informiert, dass ihre Geräte gefährdet sind.

Zur Überprüfung öffnest du die Einstellungen, gehst zu „Über das Telefon“ oder „Sicherheit“ und siehst nach dem Datum des Android-Sicherheitsupdates. Alle Updates ab Oktober 2026 enthalten den Fix. Samsung, Motorola, Xiaomi und andere Hersteller veröffentlichen Patches nach eigenen Zeitplänen; auch Mobilfunkanbieter können sie zurückhalten. Deshalb kann selbst ein Handy mit einer neueren Android-Version noch auf das Update warten. Für Geräte, auf denen Android 12 oder 13 läuft, bietet nur der Wechsel zu einem Handy, das weiterhin Updates erhält, vollständigen Schutz.

Der Forscher meldete die Schwachstelle am 5. Mai an Googles Android Vulnerability Reward Program. Ein Google-Ingenieur schrieb den Fix Mitte Juni; mit dem Sicherheitsupdate für Android 14 bis 17 wurde er im Oktober 2026 ausgeliefert. Die öffentliche Beschreibung und der Proof of Concept folgten am 29. Oktober. Google ergänzte nicht die vom Forscher vorgeschlagene Längenprüfung: Der Patch fängt den Absturz ab und löscht die schädliche Nachricht, damit sie nicht erneut ausgelöst werden kann.

Damit befinden sich ältere Android-Handys in einer ungewöhnlichen Lage. Anrufe funktionieren weiterhin ganz normal. Nur darauf verlassen, dass sie auch zu Ende geführt werden können, sollte man sich nicht.

Schlagwörter: Google, Cybersicherheit, Android, Google Pixel, Samsung Galaxy, BleepingComputer