Android-Lücke „SMS des Todes“: Was du jetzt tun kannst

Eine einzige präparierte SMS kann bei vielen Android-Handys den Telefondienst abstürzen lassen. Du musst dafür nichts anklicken und siehst die Nachricht nicht einmal. Google hat den Fehler für Android 14 bis 17 behoben, ankommen muss die Korrektur aber über das Update deines Herstellers. Für Android 12 und 13 gibt es von Google keine.

Was die Lücke anrichtet

Öffentlich gemacht hat sie der Sicherheitsforscher Mark Blaszczyk am 29. Oktober 2026, geführt wird sie als CVE-2026-58882. Die Nachricht ist eine sogenannte WAP-Push-SMS, eine Datennachricht, die nie im Posteingang landet. Auch die Nummer des Absenders wird nicht angezeigt. Ein falscher Längenwert darin bringt den Telefondienst des Handys zum Absturz.

Laut Forscher bricht dabei ein laufendes Gespräch ab, auch ein Notruf. Weil Netzbetreiber nicht bestätigte Nachrichten erneut zustellen, sorgte in seinen Tests eine einzige SMS bis zu einer Woche lang immer wieder für Ausfälle. In seinen Tests konnten wiederholte Nachrichten Geräte für längere Zeit unbrauchbar machen. Auf einem getesteten Android-12-Gerät blieb die Nachricht im Speicher hängen: Das Handy startete etwa alle 90 Sekunden neu und landete schließlich in einem Wiederherstellungsmenü. Das sind beobachtete Testergebnisse, nicht der zwangsläufige Ablauf auf jedem Gerät.

Nachgestellt hat Blaszczyk den Absturz von Android 12 bis 16, unter anderem auf einem Google Pixel 9 und auf mehreren Samsung-Galaxy-Modellen. Laut heise steckt der Fehler bis Android 17. Ob jemand die Lücke schon ausnutzt, ist nicht bekannt. Den Angriffscode hat der Forscher allerdings öffentlich gemacht.

Warum „nicht öffnen“ hier nicht hilft

Bei falschen SMS zur ID Austria oder gefälschten Nachrichten vom Finanzamt schützt du dich, indem du nichts anklickst. Hier nicht: Das Handy verarbeitet die Nachricht von selbst, bevor du irgendetwas davon mitbekommst. Schutz bringt nur die Fehlerkorrektur im System.

Was du jetzt tun kannst

1. Nach Updates suchen. Such direkt in den Einstellungen deines Handys nach System- und Sicherheitsupdates, der Punkt heißt je nach Hersteller etwa „Softwareupdate“ oder „Systemupdate“, und installiere verfügbare Aktualisierungen. Lade keine angeblichen Sicherheitsupdates über Links aus Nachrichten oder von unbekannten Webseiten herunter.
2. Daten sichern, solange das Handy normal läuft: Fotos, Kontakte, Chats.
3. Bei einer Neustartschleife nicht „Wipe data“ wählen. Das löscht alles, was auf dem Gerät gespeichert ist. Laut Forscher lässt sich die Schleife auch anders lösen, indem man die hängende Nachricht über einen Computer löscht. Das braucht aber Fachwissen. Wende dich in dem Fall an den Support deines Herstellers oder an einen Reparaturbetrieb, der Android-Systemfehler behandelt, und sag ausdrücklich dazu, dass deine Daten erhalten bleiben sollen.

Welches Update schützt?

Hier wird es unübersichtlich. Google hat die Korrektur laut Forscher mit der Oktober-Sicherheitsversion von Android 14 bis 17 veröffentlicht. Im Oktober-Sicherheitsbulletin stand sie laut heise aber nicht, eingetragen werden soll sie im November-Bulletin als kritisch. Samsung und die anderen Hersteller bauen solche Korrekturen selbst in ihre Updates ein und verteilen sie in ihrem eigenen Takt. Ein Sicherheitsstand „Oktober 2026“ in den Einstellungen heißt deshalb nicht sicher, dass diese Korrektur schon drin ist.

Schwierig ist es für ältere Geräte: Android 12 und 13 bekommen von Google keine Sicherheitsupdates mehr. Ein Schutz kommt dort nur, wenn der Hersteller selbst nachbessert. Wer so ein Handy hat und ohnehin über ein neues nachdenkt, findet eine Übersicht der Handyshops im Bezirk Baden.

← Zurück zu Aktuelles aus Baden · Alle Meldungen