SMS des Todes: Android-Lücke CVE-2026-58882 – betroffen? Was jetzt hilft
Die „SMS des Todes“ ist eine Android-Sicherheitslücke, bei der eine einzige unsichtbare SMS ein Smartphone abstürzen lässt und im schlimmsten Fall in eine Neustart-Schleife zwingt. Der Sicherheitsforscher Mark Blaszczyk hat die Schwachstelle mit der Kennung CVE-2026-58882 Ende Oktober 2026 öffentlich gemacht, betroffen sind Android 12 bis 17. Kein Grund zur Panik: Für aktuelle Geräte gibt es ein Update, und ob Ihr Diensthandy es schon hat, sehen Sie in einer Minute.
Was hinter der SMS des Todes steckt
Auslöser ist eine präparierte WAP-Push-SMS. WAP Push ist ein altes Verfahren, mit dem Mobilfunkanbieter versteckte Steuernachrichten an Handys schicken, etwa für MMS oder Netzeinstellungen. Ein manipulierter Längenwert in so einer Nachricht bringt den Telefoniedienst von Android (com.android.phone) zum Absturz.
Für die Betroffenen sieht das so aus:
- Laufende Gespräche brechen ab, laut Forscher auch Notrufe.
- Die Nachricht erscheint nicht im Posteingang, man sieht also nichts.
- Nach etwa 20 solcher Nachrichten startet das Gerät rund alle 90 Sekunden neu und bietet im Wiederherstellungsmodus an, alle Daten zu löschen.
Weil Netzbetreiber nicht zugestellte Nachrichten erneut senden, verursachte in den Tests des Forschers schon eine einzige SMS bis zu eine Woche lang Ausfälle. Reproduziert hat er das unter anderem auf einem Pixel 9 und mehreren Samsung-Galaxy-Geräten. Angriffscode ist öffentlich, Berichte über Angriffe auf Unternehmen gab es bis zum 4. November 2026 nicht.
Welche Geräte betroffen sind
Betroffen sind Android-Versionen 12 bis 17, unabhängig vom Hersteller. Google hat die Lücke im Sicherheitsbulletin für November 2026 als kritisch eingestuft. Geschlossen ist sie ab dem Sicherheitspatch-Stand vom 1. November 2026, und zwar für Android 14 bis 17. Samsung hat am 3. November angekündigt, den Fix auszuliefern, andere Hersteller folgen in ihrem eigenen Takt.
Android 12 und 13 bekommen von Google keine Updates mehr. Für diese Geräte ist mit hoher Wahrscheinlichkeit kein Fix zu erwarten, außer ein Hersteller baut selbst einen. iPhones sind nicht betroffen.
Das November-Update schließt wie jeden Monat auch weitere Lücken. Es lohnt sich also auch unabhängig von der SMS des Todes.
Unsicher, welche Diensthandys in Ihrem Betrieb welchen Stand haben? Gakko-IT prüft das für Sie, mehr dazu bei der IT-Sicherheit.
Ist Ihr Smartphone betroffen? So prüfen Sie es
Den Patch-Stand sehen Sie direkt im Gerät. Die Menünamen weichen je nach Hersteller etwas ab:
- Einstellungen öffnen.
- Über das Telefon (bei Samsung: Telefoninfo, dann Softwareinformationen) wählen.
- Unter Android-Version den Eintrag Android-Sicherheitsupdate oder Sicherheitspatch-Ebene ansehen.
- Steht dort der 1. November 2026 oder ein späteres Datum, ist die Lücke geschlossen.
- Steht dort ein älteres Datum, unter Einstellungen > System > Softwareupdate nach Updates suchen.
Notieren Sie bei mehreren Geräten kurz Modell, Android-Version und Patch-Datum. Dann sehen Sie auf einen Blick, welche Handys aktuell sind, welche noch warten und welche gar keine Updates mehr bekommen.
Was jetzt zu tun ist
In dieser Reihenfolge gehen Sie am besten vor:
- Updates einspielen, sobald der Hersteller sie anbietet. Automatische Updates sollten eingeschaltet sein.
- Geräte mit Android 12 oder 13 erfassen und ihren Ersatz planen. Das betrifft besonders Bereitschafts- und Notfallhandys, die selten jemand in die Hand nimmt.
- Wenn Sie viele Geräte haben: eine zentrale Geräteverwaltung (MDM) nutzen, die den Patch-Stand anzeigt und Updates anstößt.
- Die Mitarbeitenden kurz informieren: Startet ein Handy immer wieder neu, bitte nicht „Wipe data“ beziehungsweise „Daten löschen“ wählen, sondern sich bei der IT melden.
Hängt ein Gerät schon in der Schleife, ist laut Forscher eine Verbindung zum PC über die Android Debug Bridge (ADB) nötig, um es ohne Datenverlust zu retten. Das ist eher Arbeit für jemanden mit Erfahrung. Gut, wenn vorher eine Sicherung existiert, siehe Smartphone-Daten übertragen.
Was der Fall für Betriebe zeigt
Diensthandys fallen beim Thema Updates oft durchs Raster. Rechner im Büro werden gepflegt, das Handy des Monteurs oder das alte Gerät mit der Authenticator-App läuft einfach mit. Dabei hängen an Smartphones heute Telefonie, E-Mail und oft auch die Anmeldung per Microsoft Authenticator. Fällt das Gerät aus, steht im Zweifel mehr still als ein Telefonat.
Sinnvoll ist deshalb, Handys in das normale Patch-Management aufzunehmen: eine Liste aller Geräte, ein fester Blick auf den Patch-Stand und ein Plan, wann alte Modelle ersetzt werden.
Wenn Sie das nicht selbst nachhalten möchten, übernehmen wir das gern, für Betriebe in Paderborn und OWL auch vor Ort. Was zur dauerhaften Absicherung gehört, steht bei der IT-Sicherheit. Einen ersten Überblick über Ihren Betrieb gibt der kostenlose Sicherheits-Check.