Sicherheitswarnung · Handeln empfohlen

„SMS des Todes“: Android-Handys jetzt auf Update prüfen

Eine einzige, unsichtbare SMS kann Android-Smartphones lahmlegen. Laufende Telefonate brechen ab, auch Notrufe. Ein Update gibt es, aber nicht für jedes Gerät.

Smartphone auf dem Schreibtisch, der Bildschirm zeigt eine Endlosschleife aus Neustart-Pfeilen — Symbolbild, mit KI erstellt (Artlist).

Betrifft Sie, wenn

im Betrieb Android-Smartphones mit Android 12 bis 17 laufen, deren Sicherheitspatch älter ist als Oktober 2026. iPhones sind nicht betroffen.

Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober eine Lücke in Android veröffentlicht, die er „SMS des Todes“ nennt. Sie trägt die Kennung CVE-2026-58882 und gilt als kritisch.

Der Angriff läuft über eine sogenannte WAP-Push-SMS. Das ist ein altes Verfahren, mit dem Mobilfunkanbieter Einstellungen an Handys schicken. Die Nachricht erscheint nicht im Posteingang, der Absender ist nicht zu sehen, und niemand muss etwas antippen.

Eine solche SMS bringt den Telefoniedienst von Android zum Absturz. Ein laufendes Gespräch bricht ab, das Netz ist kurz weg. Nach rund 20 Nachrichten ist das Gerät laut Forscher praktisch nicht mehr nutzbar und kann in einer Neustart-Schleife hängen. Nachgestellt wurde das unter anderem auf Google Pixel und Samsung Galaxy, auch auf günstigen A-Modellen. Der Beispielcode für den Angriff ist öffentlich.

Für Android 14 bis 17 gibt es eine Korrektur. Pixel-Geräte haben sie bereits, bei Samsung, Xiaomi, Motorola und anderen kann es Wochen dauern. Android 12 und 13 bekommen von Google keine Updates mehr. Dort bleibt die Lücke voraussichtlich offen.

Zur Einordnung: Die Lücke stiehlt keine Daten und öffnet keine Hintertür. Sie legt das Telefon lahm. Für Betriebe, die per Handy erreichbar sein müssen, ist das trotzdem ernst, vor allem bei Bereitschaft, Außendienst und Alleinarbeitsplätzen, an denen ein Notruf möglich sein muss.

Hand hält ein Smartphone, auf dem ein Sicherheitsupdate installiert wird — Symbolbild, mit KI erstellt (Artlist).

Was zu tun ist

Patchstand prüfen: Einstellungen, dann Telefoninfo (oder „Über das Telefon“), dann Softwareinformationen, dann „Android-Sicherheitsupdate“. Das Datum sollte Oktober 2026 oder neuer sein.
Updates einspielen: Einstellungen, dann System bzw. Software-Update, dann „Nach Updates suchen“. Auch das Google-Play-Systemupdate mitnehmen und das November-Update installieren, sobald es kommt.
Handys, die bei Android 12 oder 13 stehen bleiben, als Firmenhandy ersetzen.
Startet ein Gerät ständig neu und bietet „Wipe data“ oder „Auf Werkseinstellungen zurücksetzen“ an: nicht auswählen. Dabei gehen alle Daten verloren, und laut Forscher hilft es nicht dauerhaft. Gerät ausschalten und uns anrufen, die Daten lassen sich meist retten.

Für unsere Wartungskunden: Sind Ihre Firmenhandys in einer Geräteverwaltung wie Microsoft Intune, prüfen wir den Patchstand aller Geräte auf einmal und nennen Ihnen die Geräte, die ein Update oder Ersatz brauchen. Ohne Geräteverwaltung gehen wir die Handys mit Ihnen durch.

Quelle: heise online, 30.10.2026; Veröffentlichung von Mark Blaszczyk, 29.10.2026
Eingeordnet von Christian Wichert, CSW IT Dienstleistungen · 31. Oktober 2026