Stagefright: Bis zu 95 Prozent aller Android-Geräte von neuer Sicherheitslücke betroffen

Eine neu entdeckte Sicherheitslücke im Smartphone- und Tablet-Betriebssystem Android sorgt für Wirbel. Im schlimmsten Fall könnten bis zu 95 Prozent der Geräte betroffen sein und von Angreifern zum Ausspähen des Besitzers verwendet werden. Dafür genügt es laut Experten schon, die Mobilfunknummer zu kennen.

Smartphone wird per Kurznachricht zur Wanze

Die Lücke wurde in der Multimedia-Schnittstelle Stagefright entdeckt und wird von Sicherheitsforschern als „Mutter aller Android-Schwachstellen“ bezeichnet, weil sie es ermöglichen soll, einen Großteil der im Umlauf befindlichen Android-Geräte zu kapern. Angreifer müssen lediglich eine MMS oder Google Hangouts-Nachricht an das Gerät schicken, die Schadcode enthält. Damit dieser aktiv wird, ist oft nicht einmal nötig, dass der Besitzer die Nachricht öffnet. Dies ermöglicht den Angreifern eine Attacke, die keine Spuren hinterlässt. Hat die Schadsoftware ihre Arbeit aufgenommen, kann der Hacker die Nachricht wieder vom Gerät löschen, wodurch dem Nutzer verborgen bleibt, dass das Telefon nicht mehr sicher ist.

Wie groß die Auswirkungen sind, hängt von der jeweiligen Android-Version ab. Normal ist aber, dass der Angreifer über Stagefright Audio- und Videoaufzeichnungen vornehmen, auf die Mediengalerie und auf die Bluetooth-Verbindung zugreifen kann. Sollte zudem eine Lücke bei der Rechtevergabe vorhanden sein, kann der Zugriff noch ausgeweitet werden. Laut Joshua Drake, einem Sicherheitsexperten von Zimperium Labs, ist dies aber bei einigen Modellen gar nicht nötig. Als Beispiel nannte er das Samsung Galaxy S4, auf dem der Schadcode umgehend mit Administratorrechten läuft und so auf alle Bereiche des Systems zugreifen kann.

Viele Geräte dürften angreifbar bleiben

Insgesamt sieben Schwachstellen konnte Drake ausfindig machen, die er zwischen April und Mai auch an Google meldete. Der Internetriese hat mittlerweile begonnen, diese zu beheben und entsprechende Patches an die Hardware-Hersteller zu verschicken. Ob und wann diese beim Kunden ankommen, ist allerdings unsicher. Da viele ältere Geräte betroffen sind, die von den Herstellern gar nicht mehr mit Updates versorgt werden, könnten die Schwachstellen auch langfristig auf den Smartphones und Tablets zu finden sein. Dass bisher kein Angriff bekannt geworden ist, bei dem die Stagefright-Lücke ausgenutzt wurde, ist für die Nutzer deshalb ein schwacher Trost.