Weniger Android-Sicherheitsupdates geplant - das steckt dahinter

Google überarbeitet sein grundlegendes System der Android-Sicherheitsupdates. Ab sofort gibt es monatliche Notfall-Patches und quartalsweise Gesamt-Updates. Das neue Risk-Based Update System soll Hersteller entlasten. Das steckt dahinter.

Google ändert Android-Update-Strategie

Google hatte mit dem Juli 2025 Bulletin erstmals seit einem Jahrzehnt ein Android Security Bulletin ohne eine einzige aufgelistete Sicherheitslücke veröffentlicht. Im Gegensatz dazu enthielt das September 2025 Bulletin dann ganze 119 Schwachstellen. Diese extreme Schwankung ist kein Zufall, sondern das Ergebnis einer strategischen Neuausrichtung der Android-Sicherheitsupdates.

"Risk-Based Update System" kurz RBUS

Das neue "Risk-Based Update System" (RBUS) teilt Sicherheitsupdates in zwei Kategorien: Google will nur noch "hochriskante" Schwachstellen wie aktiv ausgenutzte Lücken sofort beheben. Andere Schwachstellen der Kategorien "moderat" und "niedrig" werden gesammelt und über quartalsweise Bulletins bereitgestellt.

Entlastung für Hersteller, Risiken für Nutzer?

Laut Phone Area sollen die monatlichen Updates künftig nur noch hochriskante Schwachstellen enthalten, die sofortiges Handeln erfordern.

Die März-, Juni-, September- und Dezember-Bulletins werden erheb­lich größer, da sie sich an Androids neuem quartals­weisen Veröffentlichungs­rhythmus orientieren. Die Umstellung bringt sowohl Vor- als auch Nachteile mit sich. Da Googles Bulletin nicht mehr die meisten Schwach­stellen auflistet, können Hersteller selbst ent­scheiden, ob sie Sicherheits­updates veröffentlichen, auch wenn das offizielle Bulletin leer ist.

Dies könnte die Update-Versorgung für günstigere Geräte verbessern, da viele Hersteller sich ohnehin nicht zu monatlichen Sicherheitsupdates für ihr gesamtes Produktportfolio verpflichten. Ablaufdiagramm: Android-Sicherheitsupdate nach Risikobewertung (RBUS-System) Ein großer Nachteil ist, dass Google nicht mehr den Quellcode für monatliche Sicherheitsupdates veröffentlicht, sondern nur noch für quartalsweise.

Dies bedeutet in Verbindung mit anderen Verzögerungen im Betriebssystem-Quellcode, dass die meisten Custom ROMs somit auch keine monatlichen Updates mehr ausliefern können. Viele Hersteller verwalten stark angepasste Android-Versionen für massive Gerätekataloge, wobei ihre Update-Richtlinien oft vorsehen, dass Budget- und Mittelklasse-Geräte nur zwei- oder viertelmonatlich Patches erhalten.

Was haltet ihr von Googles neuer Update-Strategie? Seht ihr darin eine Verbesserung für die Android-Sicherheit oder befürchtet ihr längere Wartezeiten auf wichtige Patches?
Siehe auch: