Unsichtbare SMS lässt Android-Handys alle 90 Sekunden abstürzen

Eine manipulierte SMS, die Nutzer nicht zu sehen bekommen, bringt Android-Smartphones der Versionen 12 bis 17 in eine Neustartschleife. Der Sicherheitsforscher Mark Blaszczyk hat die Schwachstelle öffentlich gemacht.

Die Nachricht läuft über WAP Push, einen veralteten Kanal, über den Mobilfunkanbieter Einstellungen unsichtbar auf das Handy schicken. Das Opfer muss nichts anklicken. Eine manipulierte Nachricht bringt den Telefoniedienst zum Absturz, das Gerät startet etwa alle 90 Sekunden neu. Laufende Gespräche brechen ab, auch Notrufe. Blaszczyk testete den Angriff unter anderem auf einem Pixel 9 und mehreren Samsung-Geräten, in allen Fällen funktionierte er.

Auf dem Bildschirm erscheint die Aufforderung, das Gerät im Wiederherstellungsmodus zurückzusetzen. Wer «Wipe data» wählt, löscht Fotos, Kontakte und Dokumente unwiederbringlich. Die Nachricht bleibt in der Warteschlange und wird bei jedem Start erneut verarbeitet. Zudem stellen Netzbetreiber unbestätigte Nachrichten erneut zu. In Blaszczyks Tests verursachte eine einzige SMS deshalb bis zu eine Woche lang Ausfälle. Rund 20 solcher Nachrichten machen ein Gerät praktisch unbrauchbar.

Blaszczyk meldete die Lücke Google am 5. Mai. Der Konzern schloss den Bericht zunächst mit dem Vermerk «Will Not Fix». Das Entwicklerteam von GrapheneOS vermutet eine interne Panne, wonach der Bericht versehentlich falsch abgelegt worden sein könnte. Eine Korrektur entstand am 15. Juni, der Patch kam im Oktober-Sicherheitsupdate für Android 14 bis 17. Im Bulletin wird die Schwachstelle erst im November aufgeführt und als kritisch eingestuft.

Für Android 12 und 13 ist kein Fix zu erwarten, da Google diese Versionen nicht mehr unterstützt; nur die Gerätehersteller könnten noch nachbessern. Bei Pixel-Geräten erhalten die Nutzer Googles Patches direkt, bei Samsung, Xiaomi und anderen dauert es oft Wochen oder Monate. Den Stand lässt sich unter den Einstellungen unter «Softwareupdate» prüfen. Wer bereits in der Neustartschleife steckt, braucht einen Computer und das Entwicklerwerkzeug ADB, um sie ohne Datenverlust zu stoppen. Für Laien empfiehlt Blaszczyk den Gang in den Fachhandel.

Quellen

20 Minuten: «SMS des Todes» legt Android-Handys lahm

heise online: „SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen

Mehr auf Newsmag

FBI ruft Firmen auf, Ein- und Auszahlungen bestimmter Adressen zu blockieren

Grünen-Präsidentin Mazzone geht auf Distanz zu Amaudruz und will Kandidierende anhören

Nach dem Zugunglück bei Urda ist die Hälfte der Todesopfer identifiziert

EZB-Präsidentin Christine Lagarde tritt am 7. Februar 2027 vorzeitig zurück