Unsichtbare SMS des Todes legt Android-Handys lahm

Eine einzige SMS, die du nie zu Gesicht bekommst, reicht aus, um dein Android-Smartphone aus dem Takt zu bringen. Und zwar gehörig. Die neu entdeckte Sicherheitslücke hört auf den Namen „SMS des Todes“ (englisch: SMS of Death) und steckt offenbar in Android 12 bis 17. Die Folgen: Das Handy stürzt nach dem Empfang einer solchen SMS ab, laufende Telefonate brechen weg und im schlimmsten Fall hängt das Gerät in einer Endlosschleife aus Neustarts fest.

• Oppo Find X10 Pro Max Test: So gut sind dreimal 200 Megapixel wirklich

Google hat die Lücke einstweilen geschlossen. Allerdings nicht für alle. Wer ein älteres Smartphone mit Android 12 oder Android 13 nutzt, bekommt nach aktuellem Stand keinen offiziellen Patch mehr. Wir zeigen dir, was hinter dem Angriff steckt, wie du prüfst, ob dein Handy schon geschützt ist, und was du tun kannst, wenn es dich bereits erwischt hat.

So läuft der Angriff mit der „SMS des Todes“ ab

Öffentlich gemacht hat die Schwachstelle der Sicherheitsforscher Mark Blaszczyk, geführt wird sie unter der Kennung CVE-2026-58882. Der Knackpunkt ist WAP-Push. Dabei handelt es sich um eine schon veraltete Technik, über die Netzbetreiber Handys still und leise mit Konfigurationsdaten versorgen, etwa für MMS. Solche Nachrichten verarbeitet Android automatisch im Hintergrund. Du musst also nichts öffnen und nichts anklicken. Die präparierte SMS landet nicht einmal in deinem Posteingang, eine Benachrichtigung gibt es nicht und die Nummer des Absenders bleibt ebenfalls verborgen.

KI-generiertes Bild

Das eigentliche Problem ist ein Rechenfehler: Android liest aus der manipulierten Nachricht eine Längenangabe aus und macht daraus bei der Umwandlung eine negative Zahl. Damit kommt der Telefoniedienst auf dem Handy nicht klar und stürzt ab. Für ein bis zwei Sekunden ist das Handy dann ohne Mobilfunkverbindung, ein laufendes Gespräch wird gekappt. Heikel: Das gilt ausdrücklich auch für Notrufe.

• Großes Update von Samsung: Galaxy-Nutzer bekommen neue Funktionen

Richtig unangenehm wird es, weil die schädliche Nachricht in einer internen Warteschlange liegen bleibt. Nach jedem Neustart versucht Android, sie erneut zu verarbeiten, und stürzt wieder ab. Das Smartphone startet dann etwa alle 90 Sekunden neu. Laut Entdecker genügen rund 20 solcher Nachrichten, um ein Gerät für längere Zeit praktisch unbenutzbar zu machen. Irgendwann greift Androids Notfallmechanismus und schlägt vor, das Handy auf Werkseinstellungen zurückzusetzen. Wer zustimmt, riskiert den Verlust sämtlicher auf dem Handy gespeicherten Daten.

Zusätzliche Brisanz: Der Forscher hat Beispielcode für den Angriff veröffentlicht. Die Hürde für Nachahmer ist damit niedrig.

Google hat reagiert – aber nicht für jedes Handy

Blaszczyk hat Google nach eigenen Angaben bereits Anfang Mai 2026 informiert, eine Korrektur im Code folgte Mitte Juni. Beim Endkunden angekommen ist der Fix mit dem Android-Sicherheitsupdate vom Oktober 2026. Aber nur für Android 14, 15, 16 und 17. Der Patch fängt den fehlerhaften Wert ab und entfernt die manipulierte Nachricht aus der Warteschlange, statt das System abstürzen zu lassen.

Das heißt aber nicht, dass jedes Handy mit Android 14 oder neuer schon sicher ist. Pixel-Smartphones bekommen Googles Updates direkt, bei Samsung, Xiaomi, Motorola und Co. hängt es am Update-Takt des jeweiligen Herstellers. Das kann Wochen, bei manchen Modellen auch Monate dauern. Aktuell sind also noch unzählige Android-Smartphones durch die Angriffswelle der „SMS des Todes“ bedroht.

• Blauer Punkt auf Samsung-Handys: Diese Änderung musst du kennen

Ganz bitter sieht es für Android 12 und Android 13 aus. Beide Versionen pflegt Google nicht mehr. Ein offizieller Patch ist deshalb nicht zu erwarten. Schutz gibt es dort nur, wenn ein Hersteller den Fix auf eigene Faust nachreicht. Und das betrifft keine Nische: Laut StatCounter liefen im Oktober 2026 noch knapp 11 Prozent der Android-Geräte mit Android 13 und etwa 7 Prozent mit Android 12. Zusammen also knapp ein Fünftel. Nicht alle davon sind allerdings in der Lage auch eine SMS zu empfangen.

So prüfst du, ob dein Handy geschützt ist

Ob dein Smartphone gefährdet ist, siehst du in weniger als einer Minute. Die Menünamen weichen je nach Hersteller etwas ab, das Prinzip ist aber überall gleich:

1. Öffne die Einstellungen und tippe auf Über das Telefon. Bei Samsung heißt der Punkt Telefoninfo, dort geht es weiter zu Softwareinformationen.
2. Schau dir die Android-Version an. Steht dort 12 oder 13, gehört dein Gerät zur ungeschützten Gruppe.
3. Prüfe darunter das Android-Sicherheitsupdate (bei manchen Herstellern „Sicherheitspatch-Ebene“). Bei Android 14 bis 17 sollte hier mindestens Oktober 2026 stehen.
4. Ist der Patch älter, such manuell nach einem Update: beim Pixel-Smartphone unter Einstellungen > System > Softwareupdates, bei Samsung unter Einstellungen > Software-Update > Herunterladen und installieren.

Die Faustregel: Android 14 oder neuer plus Patch-Stand Oktober 2026 bedeutet, dass du auf der sicheren Seite bist. Android 14 bis 17 mit älterem Patch bedeutet, dass du dein Handy schnellstmöglich aktualisieren solltest, sobald der entsprechende Patch da ist. Nutzt du auf deinem Handy noch Android 12 oder 13, bleibt die Lücke offen, solange dein Hersteller nicht selbst nachbessert. Dann solltest du aber ohnehin über den Kauf eines neuen Handys nachdenken.

• die besten Handys unter 300 Euro
• beste Smartphones unter 400 Euro
• die besten Smartphones unter 500 Euro

Handy hängt schon in der Neustart-Schleife? Nicht vorschnell zurücksetzen

Wenn dein Smartphone plötzlich Gespräche verliert und alle paar Minuten neu startet, ist der erste Impuls oft der Werksreset. Genau davon solltest du aber erst einmal die Finger lassen. Zum einen sind dann alle Daten weg, die nicht in einem Backup stecken. Zum anderen schützt dich ein Reset nicht vor der nächsten präparierten SMS. Das Problem ist ja die Lücke im System, nicht dein Datenbestand.

Blaszczyk beschreibt auf seiner Projektseite einen Weg, die schädlichen Nachrichten per Android Debug Bridge (ADB) vom Computer aus zu löschen, ohne das Handy plattzumachen. Der Haken: Dafür muss das USB-Debugging in den Entwickleroptionen eingeschaltet sein und das haben die wenigsten Nutzer vorsorglich aktiviert. Wer sich das nicht zutraut, sollte lieber den Support des Herstellers oder einen Fachhändler fragen, bevor er alles löscht.

• Vivo X500 Pro Test: Kompakter Kamera-Profi mit einer großen Schwäche

Besitzer von Geräten mit Android 12 oder 13 sollten sich ehrlich die Frage stellen, wie lange ihr Smartphone noch tragbar ist. Ein Handy, das keine Sicherheitsupdates mehr bekommt, bleibt bei solchen Lücken dauerhaft angreifbar. Und diese hier trifft mit der Telefonie ausgerechnet die Kernfunktion eines Telefons.

Kommentar

Von Hayo Lücke

Ich finde an dieser Lücke weniger den Absturz selbst bedenklich als das, was er offenlegt: Ein Smartphone, das gerade einmal ein paar Jahre auf dem Buckel hat, kann per SMS seine wichtigste Funktion verlieren – inklusive Notruf. Und niemand repariert es. Google hat sauber nachgebessert, nur kommt das bei einem Viertel der Android-Nutzer schlicht nicht an. Mein Rat: Patch-Stand jetzt prüfen, Update sofort installieren. Und wer noch Android 12 oder 13 nutzt, sollte den Handywechsel nicht ewig vor sich herschieben.