Google Fast Pair: Fast alle Bluetooth-Kopfhörer können gekapert werden

Sicherheitsforscher haben eine schwerwiegende Schwachstelle im Fast-Pair-Protokoll Googles entdeckt. Diese ermöglicht es Angreifern, Bluetooth-Audiogeräte zu übernehmen, Nutzer zu orten und Gespräche auszuspionieren.

Schlampige Umsetzung

Die als CVE-2025-36911 registrierte Sicherheitslücke wurde auf den Namen WhisperPair getauft und betrifft laut den Forschern Hunderte Millionen von kabellosen Kopfhörern, Ohrhörern und Lautsprechern verschiedener Hersteller, die Googles Fast Pair unterstützen. Die Bedrohung besteht unabhängig vom Betriebssystem des Smartphones, da die Schwachstelle in den Geräten selbst liegt. Das bedeutet, dass auch iPhone-Nutzer mit betroffenen Bluetooth-Zubehörteilen gefährdet sind.

Entdeckt wurde die Lücke von der Forschungsgruppe "Computer Security and Industrial Cryptography" der Katholieke Universiteit Leuven in Belgien. Die Ursache liegt laut den Forschern in der fehlerhaften Umsetzung des Fast-Pair-Protokolls bei vielen Top-Geräten. Laut der Spezifikation sollen Bluetooth-Geräte Paarungsanfragen ignorieren, wenn sie sich nicht im Pairing-Modus befinden. Viele Hersteller setzen diese Vorgabe jedoch nicht konsequent um. Dadurch können unbefugte Geräte eine Kopplung einleiten, ohne dass der Nutzer dies bemerkt.


"Ein Gerät, das eine Fast-Pair-Anfrage sendet, sollte nur dann eine Antwort erhalten, wenn das Zubehör im Pairing-Modus ist. In der Praxis ignorieren viele Geräte diese Sicherheitsprüfung", so die Forscher. Angreifer könnten nach der Antwort des Geräts den regulären Bluetooth-Pairing-Prozess abschließen und so die vollständige Kontrolle über das Audiogerät erlangen.

Die Angriffe funktionieren mit jedem Bluetooth-fähigen Gerät, etwa Laptops, Smartphones oder sogar Mini-Computern wie einem Raspberry Pi, in Entfernungen von bis zu 14 Metern. Betroffene Geräte von Herstellern wie Google, Jabra, JBL, Logitech, Marshall, Nothing, OnePlus, Sony, Soundcore und Xiaomi können so innerhalb von Sekunden übernommen werden. Angreifer könnten dann etwa die Lautstärke ändern oder Gespräche über das Mikrofon belauschen.

Ortung möglich

Weiterhin erlaubt die Schwachstelle die Ortung von Nutzern über das Google Find Hub-Netzwerk, selbst wenn das Gerät noch nie mit einem Android-Gerät gekoppelt wurde. Dabei erscheint die Tracking-Benachrichtigung auf dem eigenen Gerät, was Nutzer möglicherweise als Softwarefehler abtun und so das Ausspähen über längere Zeit ermöglichen.

Google hat die Finder der Schwachstelle mit der maximalen Bug Bounty-Prämie von 15.000 Dollar belohnt und gemeinsam mit den Herstellern Sicherheitsupdates bereitgestellt. Allerdings sind längst nicht alle betroffenen Geräte bereits gepatcht. Die einzige verlässliche Schutzmaßnahme ist die Installation der Hersteller-Firmwareupdates. Das Deaktivieren von Fast Pair auf dem Android-Smartphone allein bietet keinen Schutz, da sich die Funktion in den Zubehörgeräten selbst nicht abschalten lässt.


Siehe auch: