Eine speziell präparierte und für den Empfänger unsichtbare SMS kann Android-Smartphones schwer stören. Die als „SMS of Death“ bekannt gewordene Schwachstelle betrifft die Verarbeitung sogenannter WAP-Push-Nachrichten und kann dazu führen, dass Telefonfunktionen abstürzen, aktive Gespräche unterbrochen werden und das Gerät bei wiederholten Nachrichten kaum noch nutzbar ist, die monrose.de berichtet mit web.de.
Besonders problematisch ist der Angriff, weil keine typische Phishing-Situation entsteht. Nutzer müssen keinen Link öffnen, keine Datei herunterladen und keine App installieren. Die manipulierte Nachricht wird im Hintergrund verarbeitet und erscheint nach Angaben des Sicherheitsforschers Mark Blaszczyk nicht einmal wie eine gewöhnliche SMS im Posteingang.
Es gibt also keine verdächtige Nachricht, die rechtzeitig gelöscht werden könnte. Der Angriff verlangt keine bewusste Aktion des Besitzers. Genau diese Kombination macht die Schwachstelle für Android-Nutzer ungewöhnlich unangenehm.
Was hinter der „SMS of Death“ bei Android steckt
Die Android Sicherheitslücke 2026 befindet sich im Bereich der Telefonie-Funktionen des Betriebssystems. Konkret geht es um die Verarbeitung von WAP-Push-Nachrichten, einem älteren Verfahren, über das Mobilfunknetze bestimmte Informationen automatisch an ein Gerät übermitteln können.
WAP Push wurde unter anderem dafür entwickelt, Konfigurationsdaten, Hinweise auf Multimedia-Nachrichten oder andere netzbezogene Informationen zu übertragen. Anders als bei einer normalen SMS muss eine solche Nachricht nicht in der Nachrichten-App auftauchen.
Genau diese automatische Verarbeitung wird bei dem beschriebenen Angriff zum Problem. Eine manipulierte Nachricht enthält Daten, mit denen ein Fehler innerhalb der Android-Telefonie ausgelöst werden kann. Der zuständige Systemprozess stürzt ab und muss neu gestartet werden.
Sicherheitsforscher Mark Blaszczyk beschreibt den Angriff als „Zero-Click“-Problem: Bereits eine fehlerhaft aufgebaute WAP-Push-Nachricht kann den Android-Telefonieprozess zum Absturz bringen.
Der öffentlich dokumentierte Google-Code enthält inzwischen eine Änderung mit dem Titel „Fix remote DoS in decodeWapPdu“. Sie soll verhindern, dass fehlerhafte WAP-Push-Daten dauerhaft neue Abstürze verursachen. Der entsprechende Fix wurde bereits im Juni 2026 vorbereitet. android.googlesource.com
Eine einzige SMS kann bereits Telefonate unterbrechen
Die Folgen beginnen nicht erst bei einer kompletten Neustart-Schleife. Bereits eine einzelne manipulierte WAP-Push-SMS kann nach den veröffentlichten Tests den Telefonieprozess zum Absturz bringen. Dadurch kann ein laufendes Gespräch abbrechen und die Mobilfunkverbindung kurzfristig ausfallen.
Das ist besonders kritisch, weil davon theoretisch auch ein laufender Notruf betroffen sein kann. Das Smartphone selbst muss dabei nicht dauerhaft ausgeschaltet bleiben. Der Telefonieprozess startet normalerweise wieder, doch die fehlerhafte Nachricht kann weiterhin zur erneuten Verarbeitung anstehen.
Bei mehreren präparierten Nachrichten verschärft sich die Situation. Android versucht unter bestimmten Umständen, die problematischen Daten erneut zu verarbeiten. Kommt es dadurch immer wieder zu Systemfehlern, kann sich eine Kette aus Abstürzen und Neustarts entwickeln.
Ein kurzer Verbindungsabbruch und ein praktisch unbenutzbares Smartphone sind deshalb zwei verschiedene Eskalationsstufen desselben Problems.
Warum das Android-Handy immer wieder neu starten kann
Ein besonders unangenehmer Effekt entsteht, wenn die fehlerhafte Nachricht nach einem Absturz nicht sauber aus der internen Warteschlange verschwindet. Das System kann beim nächsten Start erneut versuchen, dieselben Daten zu bearbeiten.
Scheitert dieser Vorgang wieder, beginnt der Kreislauf von vorn.
Bei einer größeren Zahl entsprechender Nachrichten kann daraus eine Handy Neustart Schleife entstehen. Der Sicherheitsforscher berichtet, dass wiederholte Angriffe ein Gerät so weit beeinträchtigen können, dass Android schließlich eigene Wiederherstellungsmechanismen aktiviert.
Dann kann auf dem Display ein Recovery-Menü erscheinen. Dort befindet sich unter anderem eine Möglichkeit, sämtliche Nutzerdaten zu löschen und das Smartphone auf den Werkszustand zurückzusetzen.
Dieser Schritt sollte nicht vorschnell gewählt werden.
Bei einem betroffenen Smartphone ist „Wipe data“ keine harmlose Reparaturfunktion. Die Option setzt das Gerät zurück und löscht lokal gespeicherte persönliche Daten.
Was Betroffene auf keinen Fall sofort tun sollten
Wer nach unerklärlichen Neustarts plötzlich im Android-Wiederherstellungsmodus landet, sollte nicht automatisch einen Werksreset durchführen. Ein Zurücksetzen kann das Smartphone zwar technisch wieder in einen Ausgangszustand bringen, gleichzeitig gehen jedoch Daten verloren, die nicht anderweitig gesichert wurden.
Die entscheidenden Schritte lassen sich deshalb auf wenige Punkte reduzieren:
- Im Recovery-Modus nicht vorschnell „Wipe data“ oder eine vergleichbare Löschfunktion auswählen.
- Prüfen, ob sich das Smartphone noch normal oder im abgesicherten Zustand starten lässt.
- Ein verfügbares System- beziehungsweise Sicherheitsupdate installieren, sobald das Gerät stabil genug dafür ist.
- Bei einer dauerhaften Neustart-Schleife professionelle technische Hilfe nutzen.
- Vor Reparaturmaßnahmen darauf hinweisen, dass möglicherweise die aktuelle Android-„SMS of Death“-Problematik vorliegt.
- Nach erfolgreicher Wiederherstellung wichtige Daten sichern und den aktuellen Sicherheitspatch kontrollieren.
Für technisch erfahrene Nutzer besteht nach Angaben des Forschers zudem eine Möglichkeit, bestimmte problematische Daten über Android Debug Bridge, kurz ADB, von einem verbundenen Computer aus zu entfernen. Das ist allerdings kein typischer Reparaturweg für durchschnittliche Smartphone-Besitzer und sollte ohne entsprechende Erfahrung nicht improvisiert werden.
Welche Android-Versionen betroffen sind
Nach den veröffentlichten Untersuchungen betrifft die Schwachstelle Geräte aus mehreren Android-Generationen. Als gefährdet gelten Systeme ab Android 12; der Fehler wurde auch in neueren Versionen untersucht.
Die Situation bei Sicherheitsupdates ist allerdings nicht für alle Geräte identisch.
| Android-Version | Situation laut bisherigem Stand | Empfohlene Maßnahme |
|---|---|---|
| Android 12 | potenziell betroffen | Hersteller-Updates prüfen |
| Android 13 | potenziell betroffen | verfügbare Sicherheitsupdates installieren |
| Android 14 | Fix für aktuelle Builds verfügbar | neuesten Patch installieren |
| Android 15 | Fix für aktuelle Builds verfügbar | neuesten Patch installieren |
| Android 16 | Fix für aktuelle Builds verfügbar | neuesten Patch installieren |
| Android 17 | korrigierte aktuelle Versionen verfügbar | Patchstand kontrollieren |
Nach Angaben des Forschers wurde die Korrektur für Android 14 bis 17 mit aktuellen Sicherheitsständen verteilt. Gleichzeitig fällt auf, dass CVE-2026-58882 im öffentlich abrufbaren Android-Sicherheitsbulletin für Oktober nicht separat aufgeführt wird. Googles Oktober-Bulletin bestätigt jedoch mehrere behobene Denial-of-Service-Probleme und erklärt, dass Geräte mit entsprechend aktuellem Sicherheitspatch die darin erfassten Fehlerkorrekturen erhalten. Android Open Source Project
Für Android 12 und 13 ist die Lage schwieriger. Ältere Smartphones erhalten abhängig von Hersteller und Modell teilweise keine regelmäßigen Systemupdates mehr. Selbst wenn Android grundsätzlich eine technische Korrektur besitzt, bedeutet das deshalb nicht automatisch, dass jedes Smartphone sie bekommt.
Pixel kann das Update früher erhalten als andere Geräte
Bei Android besteht seit Jahren ein praktisches Problem: Ein Google-Patch erreicht nicht automatisch am selben Tag alle Smartphones.
Pixel-Geräte erhalten Sicherheitsaktualisierungen direkt von Google und sind deshalb häufig vergleichsweise schnell auf einem aktuellen Stand. Bei Samsung, Xiaomi, Motorola, Honor und anderen Herstellern hängt der Zeitpunkt dagegen vom jeweiligen Modell, der Update-Politik des Herstellers und teilweise auch von regionalen Firmware-Versionen ab.
Dazwischen können Tage, Wochen oder bei älteren Geräten deutlich längere Zeiträume liegen.
Das bedeutet auch, dass allein die installierte Android-Hauptversion wenig aussagt. Zwei Smartphones mit Android 15 können unterschiedliche Sicherheitspatch-Stände besitzen. Eines kann bereits geschützt sein, während das andere noch eine ältere Firmware verwendet.
Entscheidend ist deshalb nicht nur „Android 14“ oder „Android 15“, sondern das Datum des installierten Sicherheitspatches.
So lässt sich der Sicherheitspatch kontrollieren
Die genaue Bezeichnung der Menüpunkte unterscheidet sich je nach Smartphone-Hersteller. Üblicherweise findet sich der Patchstand in den Einstellungen unter Bereichen wie „Über das Telefon“, „Softwareinformationen“, „System“ oder „Sicherheit“.
Nutzer sollten dabei sowohl nach einem normalen Systemupdate als auch nach separaten Sicherheitsaktualisierungen suchen. Manche Smartphones installieren außerdem Google-Play-Systemupdates unabhängig vom großen Firmware-Update.
Das Android Sicherheitsupdate Oktober 2026 ist bei der aktuellen Schwachstelle ein wichtiger Orientierungspunkt für neuere unterstützte Android-Versionen. Bei Geräten mit älterem Patchstand sollte ein verfügbares Update möglichst zeitnah installiert werden.
Wichtig ist gleichzeitig, nicht allein auf die Versionsnummer zu vertrauen. Hersteller können Fehlerkorrekturen in eigene Firmware-Pakete übernehmen und zu unterschiedlichen Zeitpunkten verteilen.
Warum der Angriff praktisch unsichtbar bleibt
Bei gewöhnlichen betrügerischen SMS lassen sich typische Warnzeichen erkennen: unbekannte Absender, auffällige Links, angebliche Paketbenachrichtigungen oder die Aufforderung, persönliche Daten einzugeben.
Bei der „SMS of Death“ funktioniert dieses Schutzprinzip nicht.
Die Nachricht gehört zu einer anderen technischen Kategorie und wird vom System im Hintergrund bearbeitet. Sie muss nicht in der normalen Nachrichtenliste auftauchen. Es gibt deshalb unter Umständen weder einen Text noch eine sichtbare Telefonnummer, die der Nutzer blockieren könnte.
Das macht klassische Empfehlungen wie „unbekannte SMS nicht öffnen“ in diesem konkreten Fall weitgehend wirkungslos.
Der wichtigste Schutz liegt hier nicht beim Verhalten in der Nachrichten-App, sondern bei einer aktuellen und vom Gerätehersteller korrigierten Android-Version.
Das ist ein wesentlicher Unterschied zu Smishing-Angriffen. Dort versucht der Täter, eine Person zu einer Handlung zu bewegen. Beim WAP-Push-Problem reicht die technische Verarbeitung der empfangenen Daten.
Was WAP Push überhaupt ist
WAP Push stammt aus einer Zeit, in der Mobiltelefone und mobile Datendienste wesentlich eingeschränkter waren als heute. Das System ermöglicht es Mobilfunkanbietern und Diensten, bestimmte Informationen direkt an ein Telefon zu übertragen.
Der Nutzer muss dafür nicht unbedingt eine klassische SMS lesen oder bestätigen.
Auf modernen Smartphones läuft diese Funktion weitgehend unsichtbar im Hintergrund. Alte Protokolle verschwinden jedoch nicht automatisch aus komplexen Betriebssystemen, solange bestimmte Netze oder Funktionen weiterhin darauf angewiesen sind. Dadurch können Bestandteile über viele Android-Generationen hinweg erhalten bleiben.
Im aktuellen Fall liegt das Risiko nicht darin, dass WAP Push grundsätzlich Schadsoftware installiert. Das Problem entsteht bei der fehlerhaften Verarbeitung speziell aufgebauter Daten innerhalb des Telefonie-Frameworks.
Warum ein Werksreset nicht die erste Lösung sein sollte
Ein Factory Reset wird häufig als letzter Ausweg bei schwerwiegenden Android-Problemen empfohlen. Bei dieser Sicherheitslücke ist diese Entscheidung besonders heikel, weil viele Daten auf dem Smartphone verloren gehen können, obwohl eine technische Wiederherstellung möglicherweise ohne vollständiges Löschen möglich wäre.
Fotos, lokale Dateien, nicht synchronisierte Notizen, App-Daten oder bestimmte Messenger-Inhalte können betroffen sein. Cloud-Sicherungen helfen nur bei Informationen, die tatsächlich zuvor synchronisiert wurden.
Wer ein betroffenes Gerät nicht mehr stabil starten kann, sollte daher zunächst prüfen lassen, ob die problematischen Nachrichten beziehungsweise Daten über einen Computer entfernt werden können.
Ein Smartphone, das immer wieder neu startet, ist nicht automatisch dauerhaft beschädigt. Eine Wiederherstellung kann technisch möglich sein. Das Löschen aller Daten sollte deshalb die letzte und nicht die erste Maßnahme sein.
Die größte Gefahr besteht bei Geräten ohne weitere Updates
Für Besitzer neuerer Smartphones ist die Lage vergleichsweise übersichtlich: verfügbare System- und Sicherheitsupdates sollten installiert werden. Schwieriger wird es bei Modellen, deren offizieller Update-Zeitraum beendet ist.
Ein noch funktionierendes Android-12- oder Android-13-Gerät kann im Alltag völlig ausreichend erscheinen. Fehlen jedoch neue Sicherheitskorrekturen, bleiben bekannte Schwachstellen unter Umständen dauerhaft bestehen.
Das ist bei einer Zero-Click-Lücke problematischer als bei Angriffen, die erst durch das Installieren einer verdächtigen App ausgelöst werden. Der Besitzer kann sich nicht zuverlässig dadurch schützen, dass er vorsichtiger auf Links klickt oder unbekannte Nachrichten ignoriert.
Bei dauerhaft ungepatchten Geräten steigt deshalb die Bedeutung der Frage, ob der Hersteller noch Sicherheitsupdates bereitstellt.
Was Android-Nutzer jetzt wissen sollten
Die „SMS of Death“ zeigt, dass selbst eine unsichtbare Kurznachricht erhebliche Folgen für ein Smartphone haben kann. Der Angriff setzt keine Interaktion voraus, kann Telefonfunktionen unterbrechen und bei wiederholter Zustellung bis zu anhaltenden Systemabstürzen führen.
Für Nutzer aktueller Android-Geräte ist die wichtigste Maßnahme ein möglichst neuer Sicherheitspatch. Wer bereits von einer Neustart-Schleife betroffen ist, sollte im Recovery-Menü nicht vorschnell alle Daten löschen, sondern zunächst nach einer Wiederherstellung ohne Werksreset suchen. Bei älteren Smartphones ohne weitere Sicherheitsupdates bleibt dagegen das größere Problem bestehen: Eine technisch verfügbare Korrektur hilft nur dann, wenn sie der jeweilige Hersteller tatsächlich für das eigene Gerät ausliefert.