Eine dramatische Sicherheitslücke gefährdet bis zu 600 Millionen Samsung-Smartphones. Das melden die Entdecker der Lücke, das Sicherheitsunternehmen NowSecure, in einem Blogeintrag. Die Schwachstelle ist die auf vielen Samsung-Smartphones mit Android vorinstallierte Tastatur "Swiftkey". Zu den betroffenen Smartphones gehören ältere Modelle wie das Samsung Galaxy S4 Mini, aber auch das aktuelle Topgerät Samsung Galaxy S6.
Die Tastatur verschickt Anfragen nach Updates unverschlüsselt und bietet so eine Angriffsfläche - die sich auch tatsächlich nutzen lässt. Mittels eines gefälschten Update-Servers konnten die Sicherheitsforscher Schadcode auf die Geräte bringen und so die volle Kontrolle über die Smartphones übernehmen. Sogar Anrufe ließen sich mithören. Nutzer können selbst nichts gegen die Lücke unternehmen: Die Tastatur lässt sich nicht ohne einen tiefen Eingriff in das System (Root-Zugriff) entfernen. Sie schlicht abzuschalten, schließt die Lücke leider nicht.
Samsung weiß seit Dezember Bescheid
Seit Dezember 2014 weiß auch Samsung von dem Fehler. Nach Angaben des Blogeintrags soll das Unternehmen den Fehler eigentlich bereits behoben haben, seit März gibt es einen entsprechenden Patch. Das Problem: Samsung kann die Smartphones nicht selber absichern - und hat den Patch den Mobilfunk-Anbietern zur Verbreitung weitergegeben.
Die Lücke ist erst jetzt bekannt geworden, da Samsung die Entdecker NowSecure bat, mit einer Veröffentlichung zu warten. Drei Monate wollte der Hersteller den Mobilfunk-Betreibern geben, um den Patch an ihre Kunden weiterzugeben. Diese sind jetzt um. Ob sich die Betreiber aber tatsächlich gekümmert haben, ist unklar. Der stern hat bei den drei großen Anbietern Telekom, Vodafone und Telefonica (O2 und Eplus) angefragt, die Antworten stehen noch aus. Wie viele Betroffene es in Deutschland gibt und wessen Geräte gefährdet sind, ist daher nicht zu sagen.
