„SMS des Todes“: Eine unsichtbare Nachricht legt Android-Handys lahm
Eine einzige, gezielt manipulierte SMS kann Android-Smartphones (*) abstürzen lassen und in eine Neustart-Schleife schicken. Daten werden dabei nicht gestohlen – gefährlich wird es aber, wenn Betroffene in Panik das Handy zurücksetzen.
Was ist passiert?
Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober 2026 eine Schwachstelle in Android veröffentlicht, die er „SMS of Death“ nennt. Sie ist unter der Kennung CVE-2026-58882 erfasst. Google wusste seit Mai davon; eine Korrektur steckt im Android-Sicherheitsupdate vom Oktober 2026.
Wie funktioniert der Angriff?
Ausgenutzt wird ein altes Verfahren namens WAP Push. Darüber schicken Mobilfunkanbieter Handys im Hintergrund technische Informationen, zum Beispiel Hinweise auf MMS oder Netzeinstellungen. Solche Nachrichten landen nicht im SMS-Posteingang, sondern werden automatisch verarbeitet.
Ein Angreifer verändert eine Längenangabe in so einer Nachricht so, dass Android damit nicht umgehen kann. Die Folge: Der Telefondienst des Systems (com.android.phone) stürzt ab. Der Nutzer sieht davon nichts, muss nichts öffnen und nichts antippen. Der Angreifer braucht nur die Telefonnummer.
Was merken Betroffene?
- Laufende Gespräche brechen ab – auch Notrufe.
- Das Handy verliert kurz die Verbindung zum Mobilfunknetz.
- Die Nachricht bleibt gespeichert und wird bei jedem Start erneut verarbeitet; zusätzlich versucht das Netz oft tagelang, sie erneut zuzustellen. So kann das Gerät etwa alle anderthalb Minuten neu starten.
- Nach wiederholten Abstürzen bietet Android im Wiederherstellungsmodus an, alle Daten zu löschen.
Wichtig zur Einordnung: Es handelt sich um einen sogenannten Denial-of-Service-Angriff. Das Handy wird im schlimmsten Fall unbenutzbar, aber nach heutigem Wissen werden weder Fotos noch Chats oder Passwörter ausgespäht, und niemand kann das Gerät fernsteuern.
Welche Geräte sind betroffen?
Betroffen sind Android 12 bis 17 ohne aktuelles Sicherheitsupdate. Geschützt ist, wer mindestens den Sicherheitspatch vom Oktober 2026 installiert hat. Diesen gibt es aber nur für Android 14 bis 17.
Android 12 und 13 erhalten keine Korrektur von Google, weil der Support für diese Versionen ausgelaufen ist. Das betrifft rund jedes fünfte aktive Android-Gerät. Ob einzelne Hersteller nachbessern, ist offen, aber unwahrscheinlich.
So prüfen Sie Ihr Handy
Öffnen Sie Einstellungen → Über das Telefon → Android-Version (je nach Hersteller auch unter „Sicherheit“ oder „Softwareinformationen“). Steht bei „Android-Sicherheitsupdate“ bzw. „Sicherheitspatch-Ebene“ ein Datum ab 1. Oktober 2026, sind Sie geschützt. Fehlt das Update, suchen Sie unter Einstellungen → System → Softwareupdate danach. Bei Samsung, Xiaomi und anderen Herstellern kann es einige Wochen dauern, bis es ankommt.
Ihr Handy startet ständig neu? Das sollten Sie tun
- Auf keinen Fall „Wipe data“ oder „Auf Werkseinstellungen zurücksetzen“ wählen. Das löscht Fotos, Kontakte, Chats und App-Daten unwiderruflich – und das ist genau der Schaden, den der Angriff anrichten will.
- SIM-Karte in ein anderes Telefon stecken, am besten ein einfaches Tasten-Handy oder ein iPhone. Dort werden die hängenden Nachrichten angenommen, und das Netz hört auf, sie erneut zu senden.
- Fachkundige Hilfe holen: Hersteller-Support, eine seriöse Werkstatt oder die IT-Abteilung des Arbeitgebers. Der Forscher beschreibt eine Reparatur per PC über das Entwicklerwerkzeug ADB. Das klappt aber in der Regel nur, wenn das USB-Debugging vorher eingeschaltet war, und ist nichts für Laien.
- Danach sofort das Sicherheitsupdate installieren, damit sich der Angriff nicht wiederholen kann.
Und wer noch Android 12 oder 13 nutzt?
Hier gibt es keinen echten Schutz per Update. Wer auf sein Handy angewiesen ist – beruflich oder für Notfälle –, sollte über ein neueres Gerät nachdenken. Firmen sollten in ihrer Geräteverwaltung prüfen, welche Diensthandys noch keinen Oktober-Patch haben. Unabhängig davon gilt: Regelmäßig Backups anlegen, etwa über Google oder die Cloud des Herstellers. Dann ist auch ein erzwungenes Zurücksetzen kein Totalverlust.
Fazit
Die „SMS des Todes“ ist ernst zu nehmen, weil sie ohne jedes Zutun ganze Handys lahmlegen und sogar Notrufe unterbrechen kann. Ein Datendieb ist sie aber nicht. Wer das Oktober-Update 2026 installiert hat, ist sicher. Wer betroffen ist, sollte vor allem eines tun: Ruhe bewahren und die Finger von „Daten löschen“ lassen.
(*) Hinweis: Hinter einigen Links stehen Affiliate-Programme. Für Sie bleibt der Preis exakt derselbe, wir erhalten jedoch eine kleine Provision, die wir direkt in unsere kommenden Recherchen investieren. Vielen Dank, dass Sie unsere Arbeit auf diese Weise unterstützen!