Darum gehts
- Eine manipulierte SMS kann Android-Handys abstürzen lassen, auch während Notrufen
- Eine einzelne SMS-Nachricht löste in Tests bis zu eine Woche lang Ausfälle aus
- Ob hiesige Anbieter solche SMS filtern, ist offen, verfügbare Updates sollen installiert werden
Ein einziges SMS genügt, um ein Android-Handy lahmzulegen. Betroffen sind potenziell Millionen Geräte. Das zeigt der IT-Sicherheitsforscher Mark Blaszczyk. Er hat die Lücke entdeckt und sie «SMS des Todes» getauft. Das manipulierte SMS bringt den Teil im Android-System zum Absturz, der fürs Telefonieren zuständig ist. Die laufenden Gespräche brechen ab – laut dem Entdecker auch Notrufe.
Das Opfer muss dabei nicht einmal etwas anklicken. Es merkt nicht einmal etwas: Denn das SMS taucht gar nie im Posteingang auf und auch die Absendernummer bleibt verborgen.
SMS löst Schleife aus
Möglich macht dies eine Sonderform des SMS, sogenannte WAP-Push-Nachrichten. Damit schicken etwa Mobilfunkanbieter unsichtbare Befehle wie Netzeinstellungen ans Handy. Das «SMS des Todes» gibt dabei eine Länge an, die kleiner als null ist. Damit kommt Android nicht klar und stürzt ab.
Weil Mobilfunkanbieter unbestätigte Nachrichten meist erneut zustellen, wiederholt sich das Prozedere. In Blaszczyks Tests sorgte ein einziges SMS bis zu einer Woche lang für Ausfälle. Rund 20 solche Nachrichten machen laut dem IT-Experten das Handy de facto unbrauchbar. Es startet dann etwa alle 90 Sekunden neu und landet schliesslich in einem Rettungsmenü, das anbietet, alle Daten zu löschen. Getestet hat der Forscher unter anderem mit einem Google Pixel 9 und mehreren Samsung-Modellen. Der Angriff klappte laut Blaszczyk jedes Mal.
Google winkte ab
Am 5. Mai hat Blaszczyk nach seinen Angaben die Lücke an Google gemeldet. Der Konzern sah sie zunächst nicht als Problem an. Inzwischen stuft Google die Lücke als kritisch ein. Mit dem Android-Update vom Oktober wurde die Lücke in den Versionen 14 bis 17 geschlossen. Android 12 und 13 hingegen erhalten keinen Support mehr und bleiben wohl angreifbar. Wie immer bei Android-Updates müssen die Gerätehersteller die Systemupdates selbst verteilen. Es kann also sein, dass diese noch nicht für alle betroffenen Smartphones verfügbar sind.
Brisant: Blaszczyk hat einen funktionierenden Bauplan öffentlich ins Netz gestellt. Er selbst nennt es «Waffe». Das Tool sei nur für Forschung und Tests an eigenen Geräten gedacht, wer sie gegen andere einsetze, mache sich strafbar.
Und die Schweiz?
Über WAP-Push liefen auch in der Schweiz jahrelang alle MMS. Swisscom, Salt und Sunrise haben den Dienst aber inzwischen abgeschaltet, Sunrise als letzter Anbieter im März 2024. Vor dem Angriff schützt das nicht automatisch. Der Fehler steckt in der Software des Handys, die Nachricht reist aber über das normale Mobilfunknetz. Ob die hiesigen Anbieter dieses SMS herausfiltern, ist offen. Swisscom hat «temporäre Massnahmen ergriffen», um die Kundschaft zu schützen. Welche, verrät das Unternehmen aus Sicherheitsgründen nicht. Salt betont, der eigentliche Schutz müsse auf dem Gerät selbst erfolgen: «Filtermassnahmen auf Netzebene können einen zusätzlichen Schutz bieten, ersetzen jedoch nicht die Sicherheitsupdates auf dem Gerät.» Eine Anfrage bei Sunrise ist hängig.
So schützt du dich
Das Wichtigste ist, verfügbare Updates umgehend zu installieren. Steckt dein Handy schon in der Neustartschleife, wähle im Rettungsmenü nicht «Wipe data». Sonst sind alle Daten weg. Die Daten lassen sich retten. Dafür braucht es aber viel Trickserei: Man muss das Handy an einen Computer hängen und die schädlichen Nachrichten mit einem Entwicklerprogramm direkt von Hand löschen. Für Laien ist das kaum machbar.