Google schließt kritische Android-Lücke ohne Nutzerinteraktion

MOUNTAIN VIEW, CA – Google veröffentlicht seinen November-2025-Sicherheitspatch für Android und stopft damit eine gefährliche Schwachstelle: Angreifer könnten die Kontrolle über Smartphones übernehmen, ohne dass Besitzer etwas anklicken oder installieren müssen. Die Bedrohung betrifft Milliarden Geräte weltweit.

Die Sicherheitslücke mit der Kennung CVE-2025-48593 gilt als kritisch, weil sie sogenannte Remote Code Execution ermöglicht – und das ganz ohne Zutun der Nutzer. Ein „Zero-Click-Exploit”, wie Sicherheitsexperten diese Art von Angriffen nennen. Besonders brisant: Die Schwachstelle betrifft alle Android-Versionen von 13 bis zur brandneuen Version 16. Samsung hat bereits mit der Verteilung des Patches begonnen, weitere Hersteller sollen in den kommenden Tagen folgen.

Unsichtbare Gefahr: Wie die Lücke funktioniert

Was macht CVE-2025-48593 so bedrohlich? Anders als bei Phishing-Attacken müssen Opfer nicht auf gefälschte Links klicken oder dubiose Apps installieren. Die Schwachstelle in Androids Systemkomponente könnte etwa durch speziell präparierte Netzwerkpakete ausgenutzt werden – völlig unbemerkt im Hintergrund.

Im schlimmsten Fall übernehmen Angreifer die vollständige Kontrolle über ein Gerät. Datenklau, Ransomware-Installationen oder die Zwangsverpflichtung in ein Botnet wären die Folgen. Google stuft die Bedrohung entsprechend ein: kritisch. Die Bewertung basiert auf der Annahme, dass Standard-Sicherheitsmechanismen der Plattform umgangen werden.

Während Google den Patch verteilt, bleiben viele Android-Geräte durch einfache Fehlkonfigurationen angreifbar. Ein kostenloser Praxis-Guide erklärt die 5 wichtigsten Schutzmaßnahmen für Ihr Smartphone – mit leicht umsetzbaren Schritten gegen Datenklau, schädliche Apps und Zero-Click-Angriffe. Erfahren Sie, welche Einstellungen WhatsApp, Banking-Apps und Ihre Zahlungsmethoden schützen. Jetzt kostenloses Android-Sicherheitspaket herunterladen

Solche Zero-Click-Exploits sind bei Cyberkriminellen und Geheimdiensten gleichermaßen begehrt. Sie eliminieren den Faktor Mensch – oft das schwächste Glied in der Sicherheitskette. Bislang gibt es zwar keine Berichte über aktive Ausnutzung, doch Sicherheitsforscher warnen: Die öffentliche Bekanntgabe könnte Angreifer auf den Plan rufen.

Weitere Schwachstellen im November-Update

Neben der kritischen Zero-Click-Lücke behebt Google eine zweite Schwachstelle: CVE-2025-48581. Diese als hochgefährlich eingestufte Sicherheitslücke betrifft ausschließlich Android 16 und könnte es lokalen Angreifern ermöglichen, Sicherheitsupdates zu blockieren. Das Problem steckt in der Datei apexd.cpp und erlaubt eine unerlaubte Rechteausweitung.

Der November-Patch trägt die Bezeichnung 2025-11-01 und ist kompakt gehalten – Fokus auf wenige, aber schwerwiegende Probleme. Parallel dazu hat Google sein Play-System-Update für November veröffentlicht, das Verbesserungen für Google Wallet, Android Auto und die Kindersicherung bringt. Eine praktische Neuerung: Android Autofill kann nun auch Kreditkarten-CVV-Codes speichern und abrufen, um Online-Zahlungen zu beschleunigen.

Wer bekommt das Update wann?

Google informiert seine Hardware-Partner üblicherweise mindestens einen Monat vor Veröffentlichung über Sicherheitslücken. Das gibt Herstellern Zeit, eigene Updates vorzubereiten. Die hauseigenen Pixel-Geräte gehören traditionell zu den ersten Empfängern.

Samsung hat eine überraschende Strategie gewählt: Der südkoreanische Konzern startete die Verteilung bereits am 5. November – und zwar mit den Mittelklasse-Modellen Galaxy A17 5G und Galaxy A06 5G. Samsungs Update umfasst neben den 25 von Google gemeldeten Schwachstellen auch neun firmenspezifische Lücken und elf Probleme in den hauseigenen Exynos-Chips.

Besitzer anderer Android-Geräte sollten in den Einstellungen nach Updates suchen. Die Hersteller werden in den kommenden Tagen und Wochen nachziehen – zumindest theoretisch.

Die Fragmentierungs-Falle

Hier zeigt sich das chronische Android-Problem: die Fragmentierung. Google liefert zwar die Patches, doch die Auslieferung an Endnutzer hängt von Herstellern und teilweise auch Mobilfunkanbietern ab. Diese Verzögerungen können Millionen Geräte über Wochen hinweg verwundbar lassen.

Während Googles Pixel-Smartphones und Samsungs Flaggschiffe meist zügig Updates erhalten, sieht es bei günstigeren Modellen und Geräten kleinerer Hersteller oft düster aus. Das schafft ein zweiklassiges Sicherheitssystem, bei dem Budget-Nutzer das Nachsehen haben – obwohl sie dieselben kritischen Lücken aufweisen wie Top-Modelle.

Androids mehrschichtiges Sicherheitsnetz

Sicherheitspatches sind nur ein Baustein in Googles Verteidigungsstrategie. Google Play Protect scannt im Hintergrund nach schädlichen Apps, während der Sicherheitsschlüssel-Check verdächtige Login-Versuche blockiert.

Interessant ist Googles ganzheitlicher Ansatz: Neben digitalen Bedrohungen adressiert Android auch physische Notfälle. Der Emergency Location Service läuft auf über 99 Prozent aller Android-Geräte und sendet bei Notrufen automatisch präzise Standortdaten an Rettungskräfte. Die Personal-Safety-App ergänzt dies durch Echtzeit-Standortfreigabe an vertrauenswürdige Kontakte.

Handlungsempfehlung: Nutzer sollten unverzüglich in den Geräteeinstellungen nach Updates suchen und diese installieren. Der Patch-Level 2025-11-01 oder neuer signalisiert ausreichenden Schutz gegen die aktuelle Bedrohung.

PS: Wenn Sie verhindern wollen, dass Schwachstellen wie CVE-2025-48593 Ihr Smartphone ausspionieren, reichen oft fünf gezielte Einstellungen. Der kostenlose Guide erklärt diese Maßnahmen praxisnah und liefert eine Checkliste zur schnellen Kontrolle Ihres Geräts. Holen Sie sich den Leitfaden und prüfen Sie Ihr Android in wenigen Minuten. Gratis-Android-Schutzpaket jetzt anfordern