Android: Kritische Zero-Click-Lücke bedroht Hunderte Millionen Geräte

Google hat Anfang November eine kritische Sicherheitslücke bestätigt, die Hunderte Millionen Android-Smartphones bedroht. Die Schwachstelle ermöglicht Angreifern die vollständige Kontrolle über Geräte – ohne dass Nutzer etwas anklicken oder installieren müssen. Gleichzeitig erreichen Banking-Trojaner im Play Store Rekordzahlen und neuartige NFC-Angriffe klonen Bankkarten in Echtzeit. Sicherheitsexperten sprechen von einer neuen Dimension der Bedrohung.

Zero-Click-Angriff ohne Nutzerinteraktion

Die Schwachstelle CVE-2025-48593 markiert einen beunruhigenden Wendepunkt. Angreifer können Schadcode aus der Ferne ausführen – komplett ohne Zutun des Nutzers. Kein Link-Klick, keine App-Installation, keine Warnung. Die Lücke steckt in einer zentralen Systemkomponente und betrifft Android 13 bis 16.

Google stuft die Schwachstelle als “kritisch” ein und hat am 1. November einen Sicherheitspatch veröffentlicht. Die Dringlichkeit ist enorm: Wird das Update ignoriert, bleibt die digitale Haustür sperrangelweit offen.

42 Millionen Downloads: Banking-Trojaner im Play Store

Trotz Googles Kontrollen schaffen es Kriminelle regelmäßig, den Play Store zu unterwandern. Eine Analyse von Zscaler deckte 239 infizierte Apps mit über 42 Millionen Downloads auf – ein Plus von 67 Prozent zum Vorjahr.

Viele Android-Nutzer übersehen genau die fünf Sicherheitsmaßnahmen, die Banking-Trojaner, bösartige Play-Store-Apps und NFC-Relais-Attacken ausnutzen. Das kostenlose Sicherheitspaket erklärt Schritt für Schritt, wie Sie automatische Sicherheitspatches einspielen, App‑Berechtigungen prüfen, Sideloading begrenzen, Zwei‑Faktor‑Authentifizierung aktivieren und NFC‑Verhalten sicher konfigurieren. Mit praktischen Checklisten und leicht umsetzbaren Anleitungen schützen Sie WhatsApp, Online‑Banking und persönliche Daten sofort. Gratis per E‑Mail, sofort umsetzbar und ohne teure Zusatz‑Apps. Jetzt kostenloses Android-Sicherheitspaket herunterladen

Die Tarnung ist perfekt: PDF-Reader, QR-Code-Scanner, System-Cleaner. Apps, die jeder gebrauchen könnte. Nach der Installation laden sie unbemerkt die eigentliche Schadsoftware nach.

Besonders aktive Bedrohungen:

• Anatsa/TeaBot: Zielt auf über 831 Finanzinstitute weltweit, erstmals auch deutsche Banken
• Vultur: Zeichnet Bildschirminhalte und Tastatureingaben auf, stiehlt Login-Daten
• Fantasy Hub: Seit Mitte November als “Malware-as-a-Service” in Telegram-Kanälen buchbar

NFC-Relais: Wenn das Smartphone zur Klonfabrik wird

Die neue Malware-Familie “NGate” nutzt eine besonders raffinierte Methode. Der Angriff startet klassisch mit einer Phishing-SMS und einer gefälschten Banking-App. Dann der entscheidende Moment: Ein angeblicher Bankmitarbeiter fordert das Opfer auf, die Bankkarte zur “Verifizierung” ans Smartphone zu halten.

NGate liest in diesem Augenblick die Kartendaten via NFC aus und sendet sie in Echtzeit an ein zweites Gerät. Die Kriminellen heben währenddessen Geld am Automaten ab – während das Opfer noch telefoniert. Eine als sicher geltende Technologie wird zum Einfallstor für Echtzeit-Betrug.

Cyberkriminalität als Geschäftsmodell

Die Professionalität der Angriffe hat einen Grund: Cyberkriminalität funktioniert längst wie ein reguläres Geschäft. “Malware-as-a-Service” macht hochentwickelte Angriffswerkzeuge für ein paar Hundert Euro im Monats-Abo verfügbar. Fantasy Hub etwa wird offen in Telegram-Kanälen beworben – komplett mit Support und Updates.

Auch weniger versierte Kriminelle können so auf RAT-Tools (Remote Access Trojaner) zugreifen, die Kontakte stehlen, Nachrichten mitlesen und Zwei-Faktor-Codes abfangen. Ein ganzes Ökosystem profitiert von krimineller Infrastruktur. Für Google und Sicherheitsfirmen bedeutet das einen permanenten Wettlauf gegen einen ökonomisch motivierten, agilen Gegner.

Was Nutzer jetzt tun müssen

Google plant strengere Kontrollen beim Sideloading – der Installation von Apps außerhalb des Play Stores. Sicherheitsfirmen wie Avast bringen KI-gestützte Tools wie den “Scam Guardian” auf den Markt, die Betrugsversuche in Echtzeit erkennen sollen.

Doch die beste Technologie hilft nichts, wenn Nutzer Updates ignorieren. Die wichtigsten Schutzmaßnahmen:

• Sofort den November-Sicherheitspatch installieren – schließt die kritische Zero-Click-Lücke
• App-Berechtigungen kritisch prüfen – braucht ein PDF-Reader wirklich Zugriff auf Kontakte?
• Zwei-Faktor-Authentifizierung aktivieren – selbst wenn Passwörter gestohlen werden
• Apps nur aus vertrauenswürdigen Quellen installieren – Play Store bevorzugen, externe APKs meiden
• Vorsicht bei unerwarteten SMS – keine Links klicken, keine Apps auf Aufforderung installieren

Die aktuellen Vorfälle zeigen: Mobile Sicherheit ist keine Nebensache mehr. In einer vernetzten Welt entscheidet das Verhalten jedes Einzelnen über die Sicherheit aller.

Übrigens: Wenn Sie jetzt den November‑Patch installiert haben, sollten Sie auch die fünf Grundschutz‑Regeln prüfen, die Alltags‑Malware und Banking‑Trojaner stoppen. Das kostenlose Android‑Sicherheitspaket liefert eine praktische Checkliste mit Prioritäten, erklärt sichere NFC‑Nutzung, wie Sie Sideloading einschränken, und welche App‑Berechtigungen besonders gefährlich sind. Per E‑Mail erhalten Sie den Ratgeber sofort und können die Schritte direkt umsetzen. Gratis-Sicherheitspaket anfordern