Android Zero-Day-Lücken – Erklärt, Betroffene & Schutzmaßnahmen

Android Zero-Day-Lücken stellen eine der gefährlichsten Bedrohungen für Smartphone-Nutzer dar. Der Begriff bezeichnet Schwachstellen, die Angreifern bekannt sind, bevor der Hersteller einen Patch bereitstellen kann. In dieser Zeit – oft als „Tag Null” bezeichnet – werden diese Lücken aktiv ausgenutzt, ohne dass betroffene Nutzer etwas davon bemerken. Bei Android stammen diese Schwachstellen häufig aus dem Linux-Kernel oder systemnahen Komponenten und ermöglichen es Angreifern, die Kontrolle über ein Gerät zu übernehmen oder vertrauliche Daten abzuziehen.

Google begegnet diesen Bedrohungen unter anderem durch das monatliche Android Security Bulletin und den automatischen Schutz über Google Play Protect. Trotzdem bleibt das Risiko bestehen, da nicht alle Hersteller Patches gleich schnell ausliefern. Die Sicherheitsforscher von Google Project Zero spielen dabei eine zentrale Rolle: Sie entdecken Zero-Days und geben Herstellern Zeit, diese zu schließen, bevor öffentlich darüber berichtet wird.

Welche Zero-Day-Lücken Android in den Jahren 2024 und 2025 betrafen, welche Geräte betroffen sind und wie sich Nutzer schützen können, wird im Folgenden detailliert erläutert.

Was sind Zero-Day-Lücken bei Android?

Eine Zero-Day-Lücke bezeichnet eine Software-Schwachstelle, die zum Zeitpunkt ihrer Entdeckung noch nicht öffentlich bekannt und entsprechend nicht gepatcht ist. Das „Zero-Day” bezieht sich darauf, dass dem Hersteller null Tage Zeit bleiben, um eine Lösung bereitzustellen – Angreifer sind dem Softwareentwickler einen Schritt voraus. Sobald eine solche Lücke in freier Wildbahn ausgenutzt wird und der Hersteller davon erfährt, beginnt die race against time: Der Patch muss so schnell wie möglich entwickelt und verteilt werden.

Im Android-Ökosystem betrifft dies vor allem den Linux-Kernel, das Framework sowie Hardware-abhängige Komponenten wie USB-Treiber. Angreifer nutzen diese Schwachstellen für Remote-Code-Ausführung, Privilegien-Eskalation oder die Offenlegung von Informationen. Im Gegensatz zu normalen Sicherheitslücken, die erst nach Veröffentlichung eines Patches öffentlich bekannt werden, gefährden Zero-Days Nutzer vom ersten Moment ihrer Entdeckung an.

Definition und Merkmale

Beispiele aus der Android-Welt

Zu den dokumentierten Zero-Day-Angriffen auf Android gehört die sogenannte NoviSpy-Spyware, die von der serbischen Regierung gegen Aktivisten eingesetzt wurde. Google Project Zero entdeckte dabei die zugrundeliegende Zero-Day-Lücke CVE-2024-43047. Ein weiteres Beispiel ist die Cellebrite-Exploit-Chain, die von Experten der Organisation Amnesty International aufgedeckt wurde und mehrere Zero-Days kombinierte, um beschlagnahmte Android-Smartphones zu entsperren.

• Zero-Days treten selten auf, sind aber hochkritisch
• Google patcht innerhalb von Tagen nach Bestätigung
• Staatliche Akteure und Forensik-Unternehmen entwickeln solche Exploits
• Mehrere Lücken werden oft zu Exploit-Chains kombiniert
• Project Zero identifiziert die Mehrheit der Android Zero-Days
• Kernel- und USB-Komponenten sind bevorzugte Angriffsziele

Gibt es aktuelle Zero-Day-Lücken in Android?

Ja. Zwischen 2024 und 2025 patched Google mehrere Zero-Day-Lücken, die in gezielten Angriffen aktiv ausgenutzt wurden. Die Schwachstellen befanden sich überwiegend im Linux-Kernel und ermöglichten unter anderem Remote-Code-Ausführung mit Systemrechten sowie Informationsoffenlegung. Besonders auffällig: Mehrere dieser Zero-Days gehörten zu zusammenhängenden Exploit-Chains, bei denen Angreifer mehrere Lücken kombinierten, um vollständige Gerätekontrolle zu erlangen.

Neueste entdeckte Lücken

Im April 2025 veröffentlichte Google Patches für zwei Zero-Days im Linux-Kernel, die beide zur Cellebrite-Exploit-Chain gehörten. CVE-2024-53197 betraf den USB-Audio-Treiber (ALSA) und ermöglichte eine Privilegien-Eskalation durch Out-of-Bounds-Zugriff. CVE-2024-53150, ebenfalls ein Kernel-Flaw, erlaubte die Offenlegung von Informationen durch Out-of-Bounds-Read und wurde lokal ohne Nutzerinteraktion ausgenutzt. Im Februar 2025 kam CVE-2024-53104 hinzu, ein Zero-Day in der USB Video Class, der ebenfalls Teil der Cellebrite-Chain war.

Im November 2024 entdeckte Project Zero zwei Zero-Days: CVE-2024-43047 wurde in der NoviSpy-Spyware gegen Aktivisten genutzt, CVE-2024-43093 war ebenfalls aktiv in der Wildnis. Beide Lücken wurden von staatlichen Akteuren – konkret der serbischen Regierung – eingesetzt. Im August 2024 wurde CVE-2024-36971 als High-Severity Kernel-Schwachstelle mit Use-after-free-Bug gepatcht, mit Indizien für begrenzte, gezielte Exploits.

Offizielle Bulletins

Google veröffentlicht monatlich das Android Security Bulletin, das alle identifizierten Schwachstellen auflistet und mit Patch-Level-Datumsangaben versieht. Ein Update enthält typischerweise zwischen 48 und 129 Lücken, darunter regelmäßig zwei bis drei Zero-Days. Die Bulletins unterscheiden zwei Patch-Level: das erste (z. B. 2025-12-01) enthält die sicherheitsrelevanten Fixes, das zweite (z. B. 2025-12-05) zusätzliche Korrekturen.

Die Schwachstellen werden nach CVSS-Score (Common Vulnerability Scoring System) bewertet. Zero-Days erreichen typischerweise hohe oder kritische Werte, da ihr aktiv ausgenutzter Status den Schweregrad erhöht. Nutzer können ihr aktuelles Patch-Level unter Einstellungen > Sicherheit > Patch-Level prüfen – ein aktueller Stand ist Dezember 2025 oder newer, um alle bekanntgegebenen Zero-Days abzudecken.

Wie schützt man sich vor Android Zero-Day-Lücken?

Der wichtigste Schutz gegen Zero-Day-Lücken besteht darin, das Betriebssystem und alle installierten Apps auf dem aktuellsten Stand zu halten. Google verteilt Patches für Zero-Days grundsätzlich über Google Play Protect und das monatliche Bulletin – Nutzer müssen diese Updates jedoch aktiv einspielen. Hersteller wie Samsung, Xiaomi oder OnePlus integrieren die Google-Patches in ihre eigenen Updates, was je nach Gerät und Modell zu Verzögerungen führen kann.

Updates und Patches

Um das Risiko durch Zero-Days zu minimieren, sollten Nutzer ihr Gerät umgehend aktualisieren, sobald ein neues Patch-Level verfügbar ist. Pixel-Geräte von Google erhalten Sicherheitsupdates am schnellsten, oft am selben Tag wie die Veröffentlichung des Bulletins. Bei anderen Herstellern kann es Wochen dauern, bis ein Patch über das Hersteller-Update verteilt wird.

Die Überprüfung des Patch-Levels erfolgt unter Einstellungen > Sicherheit > Patch-Level. Empfohlen wird ein Stand von mindestens 2025-12-05. Bei Unsicherheit, ob ein bestimmtes Gerät oder eine Android-Version betroffen ist, bieten die offiziellen Android Security Bulletins eine vollständige Liste aller gepatchten Schwachstellen nach Monat und Komponente.

Zusätzliche Sicherheitsmaßnahmen

Neben dem Update-Management gibt es weitere Maßnahmen, die das Risiko durch Zero-Day-Angriffe reduzieren. USB-Debugging sollte deaktiviert bleiben, wenn es nicht aktiv benötigt wird – mehrere dokumentierte Zero-Days nutzten USB-Verbindungen als Angriffsvektor. Unbekannte USB-Geräte sollten nicht an das Smartphone angeschlossen werden, da Angreifer präparierte Peripheriegeräte einsetzen könnten.

Google Play Protect sollte stets aktiviert sein und regelmäßig Apps überprüfen. Apps sollten ausschließlich aus vertrauenswürdigen Quellen wie dem Google Play Store installiert werden, da Zero-Days teilweise durch infizierte Anwendungen ausgeliefert werden. Für Nutzer mit erhöhtem Risiko – etwa Journalisten oder Aktivisten – empfiehlt sich die zusätzliche Prüfung des CISA KEV-Katalogs (Known Exploited Vulnerabilities Catalog), obwohl nicht alle Android Zero-Days dort gelistet sind.

• Sofortiges Einspielen von Sicherheitsupdates
• USB-Debugging deaktivieren
• Google Play Protect aktiviert lassen
• Apps nur aus vertrauenswürdigen Quellen installieren
• Unbekannte USB-Geräte meiden
• Patch-Level regelmäßig prüfen

Welche Geräte sind von Android Zero-Day-Lücken betroffen?

Grundsätzlich betrifft jede nicht gepatchte Android-Version jede Art von Gerät, das dieses Betriebssystem nutzt. Die dokumentierten Zero-Days der Jahre 2024 und 2025 betrafen hauptsächlich Android-Versionen 13 bis 16 und Geräte mit Linux-Kernel-Komponenten, die für Angriffe anfällig sind. Besonders betroffen waren Smartphones mit Qualcomm-basierter Hardware sowie Geräte von Samsung und Google selbst.

Betroffene Versionen

Android-Geräte mit Version 13 (API-Level 33), Version 14 (API-Level 34) und Version 15 (API-Level 35) waren von den meisten Zero-Days betroffen. Mit der Veröffentlichung von Android 16 dürften auch Geräte mit dieser Version in den betroffenen Kreis aufgenommen werden. Ältere Versionen wie Android 12 sind zwar theoretisch auch anfällig, erhalten jedoch oft keine Patches mehr vom Hersteller, was sie besonders gefährdet macht.

Die Schwachstellen in USB-Audio-Treibern (ALSA) und Human Interface Devices (HID) betrafen speziell Geräte, die diese Komponenten nutzen. Die Cellebrite-Exploit-Chain zielte auf beschlagnahmte Smartphones, die von Behörden forensisch untersucht werden sollten – ein Szenario, das vor allem Menschen betrifft, deren Geräte in behördlichen Gewahrsam gelangen. Diese Android Zero-Day-Schwachstellen sind besonders gefährlich, da sie ausgenutzt werden, bevor ein Patch verfügbar ist, und Sie können mehr über die Installation von uBlock Origin für Chrome auf Mehr lesen uber editorial xn--uutisni-9waa.fi erfahren.

Hersteller-spezifische Informationen

Pixel-Geräte von Google erhalten Sicherheitsupdates unmittelbar nach der Veröffentlichung des Android Security Bulletins. Samsung hat ein vergleichsweise schnelles Update-System etabliert, wobei die Verteilung je nach Modell und Mobilfunkanbieter variieren kann. Andere Hersteller wie Xiaomi, OnePlus oder Oppo liefern Patches teils erst Wochen oder Monate später aus.

Geräte mit modifizierten Kerneln – etwa durch Custom-ROMs oder herstellerspezifische Anpassungen – sind möglicherweise nicht vollständig durch die Standard-Patches abgedeckt. In solchen Fällen empfiehlt es sich, regelmäßig die Release Notes des jeweiligen Herstellers zu prüfen und bei Unsicherheit direkt beim Anbieter nachzufragen, ob ein spezifischer Zero-Day gepatcht wurde.

Chronologie der Android Zero-Days 2024–2025

Die Zero-Day-Lücken in Android folgten keinem zufälligen Muster, sondern gruppierten sich um bestimmte Ereignisse und Entdeckungen. Ein Überblick über die wichtigsten Zeitpunkte zeigt, wie Google und die Sicherheitscommunity auf neue Bedrohungen reagierten und welche Trends sich abzeichnen.

1. August 2024: CVE-2024-36971 wird als High-Severity Kernel-Schwachstelle gepatcht; Indizien für gezielte Exploits in freier Wildbahn.
2. September 2024: Android Security Bulletin mit CVE-2024-40659; monatliche Routine-Verteilung von Patches.
3. Oktober 2024: Project Zero entdeckt CVE-2024-43047 im Rahmen von Spyware-Untersuchungen.
4. November 2024: Zwei Zero-Days gleichzeitig gepatcht – CVE-2024-43047 (NoviSpy-Spyware) und CVE-2024-43093 (aktiv ausgenutzt).
5. Februar 2025: CVE-2024-53104 als USB Video Class Zero-Day identifiziert; Teil der Cellebrite-Exploit-Chain.
6. April 2025: Zwei Zero-Days gleichzeitig – CVE-2024-53197 (Kernel ALSA USB-Audio) und CVE-2024-53150 (Informationsoffenlegung); Amnesty International entdeckt Cellebrite-Chain.
7. Dezember 2025: Android-Patches für 129 Sicherheitslücken; CVE-2025-48633 und CVE-2025-48572 als neue Zero-Days bestätigt.

Der Trend zeigt eine zunehmende Fokussierung auf Kernel- und USB-basierte Zero-Days, die von staatlichen Akteuren und Forensik-Unternehmen entwickelt werden. Die Exploit-Chains – also das Kombinieren mehrerer Schwachstellen – nehmen zu, was die Komplexität und den Schweregrad der Angriffe erhöht.

Was ist gesichert – und was bleibt unklar?

Fest steht, dass Google Zero-Days grundsätzlich innerhalb von Tagen bis Wochen nach Bestätigung patched. Die Sicherheitsforscher von Project Zero spielen eine zentrale Rolle bei der Identifizierung und veröffentlichen ihre Erkenntnisse nach Ablauf der 90-Tage-Frist. Die Existenz unbekannter Zero-Days – sogenannter Zero-Days in der Wildnis – bleibt ein inhärentes Risiko, da kein System zu 100 Prozent geschützt werden kann.

Wie unterscheiden sich Zero-Day-Lücken von normalen Sicherheitslücken?

Der fundamentale Unterschied zwischen Zero-Days und gewöhnlichen Sicherheitslücken liegt im Zeitpunkt der Bekanntmachung. Bei einer normalen Sicherheitslücke wird der Patch vor der öffentlichen Offenlegung veröffentlicht – Nutzer haben Zeit, ihre Systeme zu aktualisieren, bevor details über die Schwachstelle bekannt werden. Bei einem Zero-Day ist diese Reihenfolge umgekehrt: Die Lücke wird bereits aktiv ausgenutzt, bevor ein Patch existiert.

Daraus ergeben sich unterschiedliche Risikoprofile. Normale Sicherheitslücken sind nach Veröffentlichung des Patches für大多数 Nutzer schnell behoben, sofern Updates regelmäßig installiert werden. Zero-Days hingegen können zwischen ihrer Entdeckung durch Angreifer und der Veröffentlichung eines Patches eine Phase der Verwundbarkeit schaffen, die Wochen oder Monate dauern kann. In dieser Zeit sind betroffene Nutzer potenziell jedem Angriff ausgeliefert, der die spezifische Schwachstelle ausnutzt.

Ein Zero-Day ist keine gewöhnliche Schwachstelle – es ist ein Wettlauf zwischen Angreifern und Verteidigern, bei dem die Angreifer oft einen Vorsprung haben.

Quellen und weiterführende Informationen

Die Informationen in diesem Artikel basieren auf den monatlichen Android Security Bulletins von Google, die auf der offiziellen Android-Entwicklerseite veröffentlicht werden. Die Projektseite von Google Project Zero bietet detaillierte technische Analysen zu entdeckten Zero-Days und erläutert die 90-Tage-Offenlegungsrichtlinie. Sicherheitsnachrichtenseiten wie BleepingComputer, SecurityWeek und Security Affairs dokumentieren Exploit-Chains und Angriffsvektoren.

Für technische details zu einzelnen CVEs dient die CVE-Datenbank des MITRE als primäre Referenz. Die CISA-Liste der Known Exploited Vulnerabilities enthält eine Auswahl der aktiv ausgenutzten Schwachstellen und bietet eine zusätzliche Prüfmöglichkeit für sicherheitsbewusste Nutzer.

Das Android Security Bulletin ist die maßgebliche Quelle für alle bestätigten Android-Schwachstellen. Es wird monatlich aktualisiert und enthält für jede Lücke Informationen zum Patch-Level, zur Schwere und zu betroffenen Komponenten.

Zusammenfassung und Handlungsempfehlungen

Android Zero-Day-Lücken sind selten, aber hochkritisch. Zwischen 2024 und 2025 dokumentierte Google mindestens sieben solcher Schwachstellen, die in gezielten Angriffen ausgenutzt wurden. Betroffen waren hauptsächlich der Linux-Kernel und USB-Komponenten – Komponenten, die auf fast jedem Android-Gerät vorhanden sind. Angriffe stammten von staatlichen Akteuren und Forensik-Unternehmen und zielten auf Aktivisten, Journalisten und beschlagnahmte Geräte.

Der beste Schutz besteht darin, Sicherheitsupdates sofort einzuspielen, USB-Debugging zu deaktivieren und Apps nur aus vertrauenswürdigen Quellen zu installieren. Regelmäßige Kontrolle des Patch-Levels unter Einstellungen > Sicherheit gibt Aufschluss darüber, ob das Gerät aktuell geschützt ist.

Für Nutzer, die sich umfassend über Angriffsmethoden informieren möchten, bietet ein Beitrag zu Man-in-the-Middle-Angriffen zusätzliche Hintergrundinformationen zu verwandten Bedrohungsszenarien.

Häufig gestellte Fragen