Qualcomm-Lücke bedroht Millionen Android-Smartphones

Die Lücke CVE-2026-25262 sitzt tief im BootROM und lässt sich nicht durch Software-Updates schließen. Betroffen sind Millionen Android-Geräte aus den Jahren 2014 bis 2019.

Millionen Deutsche nutzen täglich Online-Banking per Smartphone – ohne diesen Schutz ist das gefährlich. Experten warnen: Wer diese 5 Maßnahmen nicht kennt, riskiert Datenverlust und finanzielle Schäden. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Hardware-Fehler ohne Patch-Möglichkeit

Die Schwachstelle befindet sich im sogenannten BootROM der Chips – einem Speicherbereich, der nur gelesen, nicht beschrieben werden kann. Experten von Kaspersky ICS CERT stellten die Details auf der Black Hat Asia 2026 vor. Ein herkömmlicher Software-Patch ist technisch ausgeschlossen.

Angreifer können die Lücke über das Sahara-Protokoll im Emergency Download Mode (EDL) ausnutzen. Voraussetzung: physischer Zugriff auf das Gerät. Ist der gegeben, lässt sich der Secure-Boot-Prozess umgehen. Das ermöglicht eine vollständige Systemübernahme – inklusive Zugriff auf Mikrofon und Kamera.

Betroffen sind prominente Modelle wie das Samsung Galaxy S10 5G, das Google Pixel 2 und das OnePlus 7 Pro 5G. Für diese Geräte gibt es keine regulären Sicherheitsupdates mehr. Sicherheitsexperten empfehlen betroffenen Nutzern den Austausch gegen modernere Modelle. Qualcomm war bereits im März 2025 informiert worden.

Smishing-Welle mit 700 Prozent Plus

Die Entdeckung kommt zu einem brisanten Zeitpunkt. Das FBI warnt vor einer massiven Welle von Smishing-Angriffen – Phishing per SMS. Die Zahl dieser Attacken stieg um 700 Prozent. Über 10.000 betrügerische Domains imitieren Paketdienste, Mautstellen oder Behörden. Ein einzelner Akteur kann täglich bis zu zwei Millionen SMS versenden.

Bei Android-Geräten steht oft der unbemerkte Download von Tracking-Software im Fokus. Angriffe auf iPhones zielen dagegen häufig auf das Klonen von Zahlungsportalen ab, um Kreditkartendaten zu stehlen.

Parallel dazu professionalisiert sich der Einsatz Künstlicher Intelligenz. Deepfake-Stimmenangriffe verzeichneten 2025 in den USA einen Anstieg von 680 Prozent – über 100.000 registrierte Vorfälle. Die finanziellen Schäden sind immens: In den ersten vier Monaten 2025 summierten sich die Verluste in den USA auf über 200 Millionen US-Dollar. Global überschritten sie 2,19 Milliarden US-Dollar. Ein Fall aus Singapur macht die Gefahr deutlich: Eine Finanzdirektorin überwies nach einem manipulierten Video-Call fast eine halbe Million US-Dollar an Betrüger.

Auch soziale Netzwerke bleiben ein Hauptvektor für Kriminalität. Laut Federal Trade Commission verloren Amerikaner 2025 über 2,1 Milliarden US-Dollar durch Betrug in sozialen Medien – ein achtfacher Anstieg im Vergleich zu 2020. Meta löschte daraufhin fast 11 Millionen Konten und 159 Millionen betrügerische Werbeanzeigen.

Infrastruktur unter Beschuss

Die Bedrohung geht längst über einzelne Endgeräte hinaus. In Kanada gelang der Polizei in Toronto mit dem „Projekt Lighthouse“ ein Schlag gegen Betreiber sogenannter SMS-Blaster. Diese Geräte simulieren Mobilfunk-Basisstationen und zwingen Telefone in der Umgebung zur Verbindung. Die Folge: rund 13 Millionen Netzwerkstörungen, zeitweise blockierten sogar Notrufnummern. Die Ermittlungen deuten auf globale Strukturen hin.

Der Handel mit gestohlenen Zugangsdaten hat sich zum Industriezweig entwickelt. Allein im ersten Halbjahr 2025 wurden rund 1,8 Milliarden Credentials von über 5,8 Millionen infizierten Geräten gestohlen – ein Zuwachs von 800 Prozent. Schadsoftware wie Lumma oder Vidar bildet das Rückgrat moderner Angriffe. Gestohlene Logins sind für 86 Prozent aller Sicherheitsverletzungen verantwortlich.

Auch etablierte Sicherheitsunternehmen bleiben nicht verschont. Der Dienstleister ADT meldete ein Datenleck, das rund 5,5 Millionen Personen betrifft. Die Angreifer aus der Gruppe ShinyHunters erbeuteten Namen, Adressen und Telefonnummern über einen kompromittierten Drittanbieter-Zugang.

Plattformbetreiber unter Druck

Microsoft verzeichnete 2025 zwar einen leichten Rückgang der Gesamtzahl der Schwachstellen um 6 Prozent auf 1.273. Gleichzeitig verdoppelte sich jedoch die Anzahl kritischer Lücken auf 157. Besonders betroffen waren Cloud-Dienste wie Azure und Dynamics 365 – hier verneunfachte sich die Zahl kritischer Schwachstellen fast.

Apple und Samsung reagierten mit gezielten Notfall-Patches. Apple veröffentlichte iOS 26.4.2, um eine Lücke (CVE-2026-28950) zu schließen. Sie ermöglichte die Wiederherstellung gelöschter Nachrichten aus verschlüsselten Messengern wie Signal. Zuvor war bekannt geworden, dass Ermittlungsbehörden wie das FBI solche Schwachstellen genutzt hatten. Zudem aktivierte Apple automatisch den Schutz für gestohlene Geräte auf iPhones.

Samsung rollte im April 2026 Patches für 47 Sicherheitslücken aus. Doch Nutzer der Flaggschiff-Modelle Galaxy S24 und S25 berichten nach dem Update von massiven Problemen mit Akkulaufzeit und Überhitzung. Branchenbeobachter vermuten Störungen durch die Sicherheitssoftware Knox Matrix oder Hintergrundprozesse von Drittanbieter-Apps.

Was jetzt zählt

Die Verknüpfung von nicht reparierbaren Hardware-Lücken und professionalisierter Angreifer-Infrastruktur markiert einen Wendepunkt. Der Swisscom Cybersecurity Threat Radar 2026 betont: Geopolitische Spannungen und KI verschärfen die Bedrohungslage weiter.

Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Experten empfehlen, nicht nur auf Software-Updates zu vertrauen. Physische Sicherheitsaspekte gewinnen an Bedeutung. Bei Geräten mit nicht mehr patchbaren Hardware-Lücken führt an der Außerbetriebnahme oft kein Weg vorbei.

WhatsApp hat angekündigt, den Support für ältere Android-Versionen (5.0 und 5.1) im September 2026 einzustellen. Laut Bitkom-Umfragen haben deutsche Nutzer durchschnittlich 46 zusätzliche Apps auf ihren Smartphones installiert. Das BSI rät dringend, ungenutzte Anwendungen regelmäßig zu entfernen – um die Angriffsfläche zu minimieren und die Systemleistung zu erhalten.

de | boerse | 69249904 |