Android Sicherheitslücke SMS of Death: Eine unsichtbare SMS legt Firmenhandys lahm

• Die Android Sicherheitslücke SMS of Death (CVE-2026-58882) lässt den Telefonie-Prozess von Android mit einer unsichtbaren WAP-Push-SMS abstürzen, ohne dass der Empfänger etwas tun muss.
• Laufende Gespräche einschließlich Notrufen brechen ab, mehrere Nachrichten können ein Smartphone dauerhaft unbrauchbar machen, auch nach Neustart und Zurücksetzen.
• Betroffen sind Android 12 bis 16, Google liefert die Korrektur für Android 14 bis 17 mit dem Sicherheitsupdate vom November 2026, Android 12 und 13 bleiben ungeschützt.
• Unternehmen sollten in Microsoft Intune das Sicherheitspatch-Level ihrer Android-Geräte prüfen, ein Mindest-Patch-Level erzwingen und Altgeräte austauschen.

Eine neue Android Sicherheitslücke mit dem Namen SMS of Death (CVE-2026-58882) erlaubt es Angreifern, die Telefonie eines Android-Smartphones mit einer einzigen, unsichtbaren SMS auszuschalten. Der Sicherheitsforscher Mark Blaszczyk hat die Details am 29. Oktober 2026 veröffentlicht, zusammen mit einem funktionierenden Beispielcode auf GitHub. Google stuft die Lücke als kritisch ein.

Der Fehler steckt im Telefonie-Framework von Android, genauer in der Funktion, die sogenannte WAP-Push-Nachrichten auswertet. Das sind spezielle Daten-SMS, über die Mobilfunkanbieter zum Beispiel Konfigurationen an Geräte schicken. Sie erscheinen nie im Posteingang. Eine präparierte Nachricht von wenigen Bytes enthält eine manipulierte Längenangabe. Android versucht daraufhin, einen Speicherbereich mit negativer Größe anzulegen, und der Systemprozess com.android.phone stürzt ab. Der Empfänger muss dafür nichts tun, es handelt sich um einen Zero-Click-Angriff.

Der Name ist übrigens nicht neu: Schon 2010 zeigten Forscher der TU Berlin auf dem Kongress des Chaos Computer Club unter demselben Namen, wie sich klassische Handys per SMS abschießen lassen. Die aktuelle Lücke trifft dagegen moderne Android-Smartphones.

• Laufende Gespräche brechen sofort ab, auch Notrufe.
• Jede Nachricht kostet ein bis zwei Sekunden ohne Mobilfunkverbindung. Weil das Gerät den Empfang nicht bestätigt, stellt der Mobilfunkanbieter die SMS immer wieder zu. In den Tests des Forschers verursachte eine einzige Nachricht so bis zu eine Woche lang wiederkehrende Ausfälle.
• Rund 20 Nachrichten machten ein Smartphone über lange Zeit unbrauchbar.
• Etwa 30 Nachrichten kurz hintereinander beschädigten die SMS-Datenbank. Danach stürzt die Telefonie bei jedem Start ab, ein Neustart hilft nicht.
• Ein Zurücksetzen auf Werkseinstellungen hilft nur kurz, weil der Anbieter die hängende Nachricht erneut zustellt.

Der Nutzer sieht dabei nichts: keine Nachricht und keinen Absender. Im Alltag wirkt das wie ein Funkloch oder ein defektes Gerät. Daten abgreifen oder das Gerät übernehmen kann ein Angreifer nach derzeitigem Stand nicht, es handelt sich um einen Denial of Service. Berichte über Angriffe in freier Wildbahn sind bisher nicht bekannt. Mit dem öffentlichen Beispielcode ist die Hürde für Nachahmer aber niedrig.

Der Forscher hat die Abstürze auf Android 12 bis 16 nachgestellt, unter anderem auf einem Google Pixel 9 und auf mehreren Samsung Galaxy Modellen, auch aus der A-Serie. Weil der Fehler im Android-Kern und nicht in der Software eines einzelnen Herstellers steckt, ist grundsätzlich jedes Android-Smartphone mit diesen Versionen betroffen.

Die Korrektur liefert Google für Android 14 bis 17. Android 12 und 13 erhalten keine Sicherheitsupdates mehr und bleiben dauerhaft verwundbar. Gerade in Unternehmen laufen solche Geräte oft noch als Diensthandy im Lager, im Außendienst oder als Bereitschaftstelefon.

Blaszczyk meldete die Lücke nach eigener Darstellung am 5. Mai 2026 an das Bug-Bounty-Programm von Google. Der Bericht wurde mehrfach nicht als Sicherheitsproblem eingestuft, deshalb ging er an die Öffentlichkeit. Die Versionsgeschichte von Android zeigt allerdings, dass ein Google-Entwickler die Korrektur bereits am 15. Juni 2026 eingereicht hat. Inzwischen führt Google die Lücke als CVE-2026-58882 mit dem Schweregrad kritisch und hat sie für das Android Security Bulletin vom November 2026 vorgesehen.

Ob einzelne Geräte den Fix schon mit den Oktober-Updates erhalten haben, wird widersprüchlich berichtet. Verlassen Sie sich deshalb auf das Sicherheitspatch-Level: Sicher geschützt ist ein Gerät erst mit einem Sicherheitspatch-Level vom November 2026 oder neuer. Google Pixel Geräte erhalten die Updates in der Regel zuerst, Samsung und andere Hersteller folgen mit Verzögerung.

1. Bestand prüfen. Ermitteln Sie in Microsoft Intune, welche Android-Geräte mit welcher Version und welchem Sicherheitspatch-Level im Einsatz sind. Geräte mit Android 12 oder 13 gehören auf die Austauschliste.
2. Patch-Level erzwingen. Legen Sie in den Compliance-Richtlinien für Android Enterprise ein Mindest-Sicherheitspatch-Level fest, sobald die November-Updates für Ihre Modelle verfügbar sind. Über Conditional Access verlieren Geräte ohne Update dann den Zugriff auf Microsoft 365, bis sie aktualisiert sind. Planen Sie eine Übergangsfrist ein, damit Hersteller mit späteren Updates nicht ganze Abteilungen aussperren.
3. Kritische Rollen zuerst. Priorisieren Sie Geräte, bei denen die Erreichbarkeit entscheidend ist: Bereitschaftsdienst, Haustechnik, Sicherheitspersonal, Alleinarbeiter und Geschäftsführung. Wessen Mobilnummer öffentlich auf der Website, auf Visitenkarten oder in E-Mail-Signaturen steht, ist leichter angreifbar.
4. SMS nicht als MFA-Methode nutzen. Ein Gerät ohne Telefonie empfängt auch keine SMS-Codes. Wer für die Anmeldung an Microsoft 365 noch SMS nutzt, sollte jetzt auf phishing-resistente MFA mit Passkeys umstellen.
5. Support vorbereiten. Informieren Sie Ihren IT-Support, dass wiederholte, unerklärliche Netzausfälle auf einem Android-Gerät ein Hinweis auf SMS of Death sein können. Der Forscher konnte ein Gerät nur wiederherstellen, indem er die SIM-Karte vorübergehend in ein Telefon ohne Android steckte, etwa ein iPhone, damit die hängende Nachricht zugestellt wird, und danach die beschädigten Einträge per ADB löschte. Mit einer eSIM ist das deutlich aufwendiger.

Der Fall zeigt, wie wichtig ein zentral verwalteter Gerätebestand ist. Ohne Mobile Device Management weiß in vielen Unternehmen niemand, welches Sicherheitspatch-Level die Diensthandys haben. Mit Intune sehen Sie das für alle Geräte auf einen Blick und können Updates über Compliance-Richtlinien durchsetzen. Wie riskant unverwaltete Firmenhandys sind, haben wir auch beim Thema Fake WhatsApp im Play Store beschrieben.

Die InSys AG^® ist Microsoft Solutions Partner für Security und richtet Intune, Compliance-Richtlinien und Conditional Access für Unternehmen ein. Mehr zu unserem Angebot finden Sie bei Microsoft 365 Security und in der Übersicht als Microsoft 365 Partner für Security und Lizenzen.