Die „SMS des Todes“ ist eine Sicherheitslücke in Android, über die eine einzige präparierte SMS das Telefon-Modul eines Smartphones abstürzen lässt – ohne dass der Empfänger etwas anklicken muss. Google hat den Fehler laut eigenem Code-Eintrag im Android-Quellcode (AOSP) behoben; publik gemacht hat ihn Ende Oktober der Sicherheitsforscher Mark Blaszczyk, heise und BleepingComputer berichten darüber. Betroffen sind Android 12 bis 17, geschützt sind nur Geräte, auf denen das Sicherheitsupdate des Herstellers schon installiert ist.
Für Unternehmen mit Android-Diensthandys heißt das: Heute sind drei Fragen zu klären. Welche Android-Geräte haben wir, und auf welchem Stand sind sie? Wer sorgt dafür, dass die Updates ankommen? Und was passiert mit Geräten auf Android 12 und 13, für die kein Update mehr kommt?
Update 3. November 2026
Google hat am 2. November das Android-Sicherheitsbulletin für November veröffentlicht. Darin steht die „SMS des Todes“ (CVE-2026-58882) als kritische Lücke; geschlossen ist sie ab dem Sicherheitsupdate-Stand 1. November 2026. Dasselbe Bulletin schließt weitere kritische Lücken in Android 14 bis 17, über die laut Google Schadcode ohne Zutun des Nutzers ausgeführt werden kann. Ein Diensthandy mit dem November-Update ist gegen beides geschützt. Angriffe in freier Wildbahn nennt Google im Bulletin nicht.
Inhaltsverzeichnis
- Was ist die „SMS des Todes“?
- Wie ernst ist die Android-Lücke für Unternehmen?
- Welche Diensthandys sind betroffen?
- Was sollte die Geschäftsführung heute veranlassen?
- Was tun, wenn ein Handy schon in der Neustart-Schleife hängt?
- Was die Lücke über die eigene Geräteverwaltung sagt
- Fazit
- Quellen
- Häufige Fragen
Was ist die „SMS des Todes“?
Die „SMS des Todes“ ist eine besonders aufgebaute Kurznachricht, die Android beim Empfang nicht verarbeiten kann. Der Telefonie-Dienst des Smartphones stürzt ab, laufende Telefonate brechen ab – laut heise auch Notrufe. Im Posteingang taucht die Nachricht nicht auf.
Technisch handelt es sich um eine sogenannte WAP-Push-Nachricht, eine Sonderform der SMS, mit der früher etwa Netzeinstellungen verschickt wurden. Android liest darin eine Längenangabe, ohne sie zu prüfen, und stolpert über einen unmöglichen Wert. Weil das Gerät die Nachricht nach jedem Neustart erneut verarbeitet, wiederholt sich der Absturz. Der Forscher berichtet, dass rund 20 solcher Nachrichten ein Gerät in eine Neustart-Schleife bringen; ein Testgerät mit Android 12 startete laut BleepingComputer etwa alle 90 Sekunden neu und forderte dabei zum Löschen aller Daten auf. Die Lücke trägt die Kennung CVE-2026-58882; Google führt sie im November-Bulletin als kritisch.
Wichtig für die Einordnung: Nach allem, was bekannt ist, kann die Lücke Geräte lahmlegen, aber keine Daten auslesen und keine Schadsoftware einschleusen. Eine Ausnutzung in freier Wildbahn ist bislang nicht gemeldet. Ein Beispielangriff ist allerdings öffentlich, nachbauen kann ihn also jeder, der ein zweites Android-Gerät hat.
Wie ernst ist die Android-Lücke für Unternehmen?
Ernst genug, um sie nicht liegen zu lassen, aber kein Grund zur Panik. Der Schaden ist Ausfall, nicht Datenverlust: Ein Diensthandy, das nicht mehr telefonieren kann, ist für den Außendienst, die Rufbereitschaft oder den Kundendienst wertlos. Laut heise haben Netzbetreiber nicht zugestellte Nachrichten im Test wiederholt ausgeliefert, sodass eine einzelne SMS ein Gerät bis zu einer Woche gestört hat.
Unangenehm ist vor allem der Zeitablauf. Gemeldet wurde die Lücke laut heise am 5. Mai, Google stufte sie zunächst als „Will Not Fix“ ein. Der Fix im Android-Quellcode stammt vom 15. Juni und wurde am 5. August eingecheckt; als Update für Android 14 bis 17 kam er im Oktober, ohne im Oktober-Bulletin zu stehen. Im November-Bulletin, das Google am 2. November veröffentlicht hat, steht er als kritische Lücke.
5 Monate
lagen zwischen der Meldung an Google und dem ersten Update für Android 14 bis 17 – und bis das Update auf dem einzelnen Diensthandy ankommt, entscheidet der Gerätehersteller. Quelle: heise Security, 30. Oktober 2026
Welche Diensthandys sind betroffen?
Betroffen sind Android-Smartphones mit Android 12 bis 17, die das Sicherheitsupdate ihres Herstellers noch nicht installiert haben. heise berichtet, dass sich der Absturz auf einem Google Pixel 9 und mehreren Samsung-Galaxy-Geräten jedes Mal auslösen ließ. iPhones nutzen den betroffenen Android-Code nicht.
Die Lage hängt an zwei Dingen. Für Android 14 bis 17 gibt es einen Fix, der aber erst über das Update des jeweiligen Herstellers auf das Gerät kommt – bei Samsung, Motorola oder Xiaomi also mit deren Sicherheitsupdate, nicht automatisch mit dem von Google. Für Android 12 und 13 erwartet weder heise noch BleepingComputer einen Fix, weil Google diese Versionen nicht mehr unterstützt; einzelne Hersteller könnten nachliefern.
| Gerät | Stand | Was zu tun ist |
|---|---|---|
| Android 14 bis 17, aktuelles Sicherheitsupdate installiert | geschützt ab Sicherheitsupdate 1. November 2026; bei älterem Stand das Bulletin des Herstellers prüfen | nichts weiter, außer Updates weiter zügig einspielen |
| Android 14 bis 17, Update fehlt | angreifbar | Update installieren, Gerät neu starten |
| Android 12 oder 13 | angreifbar, Fix nicht absehbar | Austausch planen; bis dahin nicht für Rufbereitschaft oder Alleinarbeit einsetzen |
| iPhone | nicht betroffen | – |
Praxis-Tipp
Android-Version und Stand der Sicherheitsupdates stehen auf jedem Gerät unter Einstellungen → Über das Telefon (bei Samsung: Einstellungen → Telefoninfo → Softwareinformationen) in den Zeilen „Android-Version“ und „Android-Sicherheitsupdate“. Ein Datum vor Oktober 2026 heißt: Das Gerät hat den Fix sicher noch nicht. Ab „1. November 2026“ ist er laut Googles Bulletin sicher enthalten.
Was sollte die Geschäftsführung heute veranlassen?
Die Updates selbst spielt die IT ein oder, wo es keine gibt, jeder Mitarbeitende auf seinem Gerät. Die Geschäftsführung sorgt dafür, dass es nicht beim Rundschreiben bleibt, sondern jemand den Stand jedes Diensthandys bestätigt.
„SMS des Todes“ – heute klären
- Alle Android-Diensthandys auflisten, auch Ersatzgeräte und Bereitschaftshandys
- Je Gerät Android-Version und Datum des Sicherheitsupdates erfassen lassen
- Verfügbare Updates heute installieren und das Gerät neu starten
- Geräte auf Android 12 und 13 benennen und über den Austausch entscheiden
- Festlegen, an wen sich Mitarbeitende wenden, wenn ein Handy nicht mehr telefoniert
- Klären, ob private Android-Handys dienstlich genutzt werden – und wer dort für Updates sorgt
Die letzte Zeile wird oft vergessen. Wo Mitarbeitende ihr privates Smartphone für Firmenanrufe und Mails nutzen, hat das Unternehmen keinen Überblick über den Update-Stand, trägt aber den Ausfall, wenn das Gerät nicht mehr erreichbar ist.
Was tun, wenn ein Handy schon in der Neustart-Schleife hängt?
Auf keinen Fall „Daten löschen“ oder „Wipe data“ wählen, auch wenn das Gerät dazu auffordert – sonst sind alle Daten weg, die nicht gesichert waren. Laut heise lässt sich ein betroffenes Gerät über eine Verbindung zum PC wiederherstellen, indem die schädlichen Nachrichten entfernt werden. Das braucht technisches Wissen; das Gerät gehört dafür in die Hände der IT oder des IT-Dienstleisters.
Bis es wieder läuft, hilft eine Weiterleitung der Diensthandy-Nummer auf ein anderes Telefon, damit Kunden und Kollegen jemanden erreichen. Ist das Update danach nicht installiert, kann dieselbe Nachricht das Gerät erneut lahmlegen.
Ein Diensthandy, das nicht mehr telefonieren kann, ist kein Datenleck – aber für den Außendienst ein ausgefallener Arbeitstag.
Was die Lücke über die eigene Geräteverwaltung sagt
Die „SMS des Todes“ zeigt, wie lange ein Fix brauchen kann, bis er auf dem Gerät ist: von Google über den Hersteller bis zum Mitarbeitenden, der das Update irgendwann bestätigt. Wer heute erst herumfragen muss, welche Handys im Umlauf sind und auf welchem Stand, hat den eigentlichen Befund – nicht die Lücke, sondern die fehlende Übersicht über die eigenen Geräte.
Mobile Geräte gehören deshalb in jede Bestandsaufnahme der IT-Sicherheit; der CyberRisikoCheck nach DIN SPEC 27076 fragt sie ausdrücklich ab. Dauerhaft lösen lässt sich das Problem mit einer zentralen Geräteverwaltung, die Updates vorgibt und zeigt, welches Gerät hinterherhängt. HÖLL in Baden-Baden übernimmt das als Device Management im Managed IT Service für Betriebe in Mittelbaden; wie das in die gesamte IT-Sicherheit von HÖLL passt, steht dort.
Fazit
Die „SMS des Todes“ legt Android-Smartphones mit Android 12 bis 17 per Kurznachricht lahm, stiehlt aber nach heutigem Stand keine Daten. Geschützt ist ein Gerät erst, wenn das Sicherheitsupdate seines Herstellers installiert ist; für Android 12 und 13 ist kein Fix in Sicht. Die Geschäftsführung muss nicht selbst Handys aktualisieren, aber heute klären lassen, welche Diensthandys es gibt, auf welchem Stand sie sind und was mit den alten Geräten passiert.
Quellen
- Google – Android Security Bulletin, November 2026 (2. November 2026) (Primärquelle): source.android.com
- Google, Android Open Source Project – Commit „Fix remote DoS in decodeWapPdu“ (b/517376969), erstellt 15. Juni 2026, eingecheckt 5. August 2026: android.googlesource.com
- heise Security – „SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen (30. Oktober 2026, 15:23 Uhr): heise.de
- heise Security – Android-Patchday: Kritische Lücken ermöglichen Angriffe ohne Nutzerinteraktion (3. November 2026, 9:59 Uhr): heise.de
- BSI, CERT-Bund – WID-SEC-2026-4288: Android Patchday November 2026, Risiko hoch (3. November 2026): wid.cert-bund.de
- BleepingComputer – New Android SMS of Death exploit can remotely crash unpatched phones (31. Oktober 2026, 11:35 Uhr): bleepingcomputer.com
Stand: 3. November 2026, 13:50 Uhr (zuerst veröffentlicht am 2. November 2026). Die Lage entwickelt sich; Google hat das Android-Sicherheitsbulletin für November am 2. November veröffentlicht. Maßgeblich sind die Sicherheitsbulletins von Google und dem jeweiligen Gerätehersteller.
Häufige Fragen
Was tun gegen die „SMS des Todes“ auf Android?
Das neueste Sicherheitsupdate des Geräteherstellers installieren und das Smartphone neu starten. Für Android 14 bis 17 hat Google den Fix im Oktober 2026 bereitgestellt; laut November-Bulletin ist er ab Sicherheitsupdate-Stand 1. November 2026 sicher enthalten. Er kommt über das Update von Samsung, Google oder dem jeweiligen Hersteller auf das Gerät.
Ist Android 13 von der „SMS des Todes“ betroffen?
Ja. Betroffen sind Android 12 bis 17. Für Android 12 und 13 ist nach Berichten von heise und BleepingComputer kein Update zu erwarten, weil Google diese Versionen nicht mehr unterstützt. Diensthandys mit diesen Versionen sollten ersetzt werden.
Sind iPhones betroffen?
Nein. Die Lücke steckt im Telefonie-Code von Android, den iPhones nicht nutzen.
Kann die „SMS des Todes“ Daten stehlen?
Nach dem bekannten Stand nicht. Die Lücke bringt den Telefonie-Dienst zum Absturz und kann Geräte in eine Neustart-Schleife bringen; Codeausführung oder Datenabfluss sind nicht gemeldet. Daten gehen nur verloren, wenn das Gerät in der Schleife zurückgesetzt wird.
Muss man ein betroffenes Handy zurücksetzen?
Nein, und man sollte es nicht tun. Laut heise lässt sich das Gerät über eine PC-Verbindung retten, indem die schädlichen Nachrichten entfernt werden. Das übernimmt am besten die IT oder der IT-Dienstleister.
Wird die Lücke schon für Angriffe genutzt?
Angriffe in freier Wildbahn sind bislang nicht gemeldet. Ein Beispielangriff ist aber öffentlich, deshalb sollten Updates nicht warten.
