Massive sicherheitslücke: 250 millionen android-handys gefährdet – hacker können passwörter stehlen
Eine verheerende Sicherheitslücke betrifft schätzungsweise 25 % aller aktiven Android-Smartphones weltweit – das sind rund 875 Millionen Geräte. Forscher haben eine Schwachstelle in Chips von MediaTek entdeckt, die es Angreifern ermöglicht, Passwörter und sensible Daten zu stehlen, und zwar oft innerhalb von Minuten.
Die Ursache liegt in einem Designfehler, der es Hackern ermöglicht, den Master-Schlüssel des Geräts zu extrahieren, selbst wenn das Smartphone ausgeschaltet ist. Dies geschieht, indem das Gerät während des Hochfahrens per USB physisch verbunden wird. Die Schwachstelle trägt die CVE-Nummer CVE 2026-20435.
Was bedeutet das für nutzer?
Betroffene Geräte können für Angreifer zu einem gefundenen Fressen werden. Selbst wenn die Bildschirmsperre mit Fingerabdruck oder Gesichtserkennung geschützt ist, können die Hacker die benötigten Schlüssel erlangen. Passwörter, die in Notiz-Apps gespeichert sind, könnten ungeschützt sein. Die Möglichkeit besteht sogar, dass das Gerät gefälschte biometrische Daten akzeptiert.
Die Forscher vom Ledger Donjon Hacker Lab demonstrierten die Schwachstelle am Nothing CMF Phone 1. Weitere betroffene Modelle stammen von Herstellern wie Oppo, Realme, Vivo und Xiaomi. Eine Liste der gefährdeten MediaTek-Chipsätze ist verfügbar.
MediaTek hat bereits im Januar einen Patch für die Schwachstelle veröffentlicht. Doch die fragmentierte Android-Welt sorgt dafür, dass nicht alle Nutzer ihn zeitnah erhalten. Viele ältere Geräte erhalten möglicherweise gar kein Update mehr.
Charles Guillemet, CTO von Ledger, betont, dass diese Erkenntnisse zeigen, dass Smartphones keine sicheren Tresore für sensible Informationen sind. Die Speicherung von Geheimnissen auf nicht-sicheren Geräten birgt erhebliche Risiken.
Wer ein betroffenes Gerät besitzt, sollte umgehend das neueste Sicherheitsupdate installieren oder, wenn keine Updates mehr verfügbar sind, sensible Daten nicht mehr darauf speichern und gegebenenfalls auf ein neues Smartphone umsteigen.
Die Geschwindigkeit, mit der diese Schwachstelle ausgenutzt werden kann – in weniger als drei Minuten – unterstreicht die Notwendigkeit einer schnellen Reaktion der Hersteller und eine proaktive Haltung der Nutzer zum Datenschutz.