Android Sicherheits-Patches gaukeln Nutzern häufig nur Aktualität vor

Ihr ärgert Euch darüber, dass der Hersteller Eures Android-Smartphones keine monatlichen Sicherheit-Updates liefert? Da seid Ihr nicht allein. Allerdings stellt sich nun offenbar heraus, dass auch diejenigen, die eigentlich auf aktuellem Stand sind, nicht zwingend geschützt sind. Hersteller bescheinigen ihren Smartphones nämlich auch einmal einen aktuellen Stand, ohne aber tatsächlich die Software auch mit einem Patch zu versehen.

Dabei gibt es große Unterschiede bei den Herstellern, allerdings sind es tatsächlich nur Google Pixel-Geräte, die keinen Patch verpassen. Selbst bei großen Herstellern wie Samsung kommt es vor, dass nicht alles gepatcht wird. Das wiederum kann verschiedene Ursachen haben, letztendlich ist es aber der Hersteller, der eine Patch-Ebene kennzeichnet, die er nicht einhält.

Aber in Panik verfallen müssen Nutzer deswegen nicht gleich. So sei es laut Security Research Labs nicht allzu wahrscheinlich, dass diese Nicht-Patches ausgenutzt würden. Schlicht aus dem Grund, dass Angreifer es auf anderen Wegen einfacher haben, zum Beispiel, indem sie Malware mit in eine normale App packen. Außerdem erfordere es normalerweise mehr als eine Lücke, um tatsächlich Zugang zu einem Gerät zu erhalten.

Schaut man nun einmal konkret auf die Hersteller, zeigt sich kein so gutes Bild. Bei den „Missed Patches“ befinden sich nur Google, Samsung, Sony und Wiko mit keinem oder einem Patch, der genannt, aber nicht geliefert wurde. Wiko erstaunt mich persönlich sehr, allerdings sind das wohl auch Geräte, die mit sehr wenigen Systemänderungen versehen sind.

1 – 3 Missed Patches haben Nokia, OnePlus und Xiaomi, 3 – 4 findet man bei den Herstellern HTC, Huawei, LG und Motorola. Mehr als vier nicht implementierte Patches gibt es bei Smartphones von TCL und ZTE. 1.200 Smartphones wurden über einen Zeitraum von zwei Jahren untersucht.

Einen Zusammenhang zwischen den Missed Patches und den verwendeten Chips in den Geräten sehen die Sicherheitsforscher ebenfalls. Samsung schneidet hier am besten ab, am schlechtesten ist Mediatek. Allerdings muss man hier auch klar sehen, in welchen Geräten die jeweiligen Chips zum Einsatz kommen. Ein Mullumullu-Smartphone mit Mediatek-SoC aus der Ramschkiste – da kann so ein Update auch einmal unvollständig sein.

Google hat sich gegenüber Wired auch schon zum Thema geäußert. Erklärt wird, dass das Verpassen der Patches auch daraus resultieren kann, dass ein Hersteller eine mit einer Lücke behaftete Funktion entfernt anstatt patcht. Auch müsse es sich nicht um Android-zertifizierte Geräte handeln. Man werde bei Google die Ergebnisse aber auf jeden Fall genauer untersuchen und bei Bedarf dann eben auch entsprechend die Hersteller auffordern, dies besser zu machen.