Neue Android-Lücke sorgt für Endzeitstimmung:
Panik, jetzt (nicht)!

Es geht wieder ein Gespenst im Netz herum und zwar jenes einer schwerwiegenden Android-Lücke. In der Tat ist das von Sicherheitsforschern beschriebene Szenario ein gravierendes, da die QuadRooter genannte Schwachstelle volle Kontrolle über das Gerät erlaubt oder erlauben würde. Theoretisch(!) sind rund 900 Millionen Geräte mit LTE-Chips von Qualcomm betroffen. In der Praxis ist diese Zahl viel viel kleiner. Derzeit schreiben zahlreiche Seiten wie die renommierte Süddeutsche Zeitung, dass eine neue Horror-Schwachstelle namens QuadRooter fast eine Milliarde Android-Gerät betrifft. Diese Zahl ist streng genommen auch richtig, da es hierbei um die verbauten Qualcomm-Chipsätze geht, ein Treiberfehler in Zusammenhang mit LTE lässt sich ausnutzen, um das Gerät zu kapern.

Das dazugehörige Angriffsszenario beschreibt das Sicherheitsunternehmen Check Point in einem Blogbeitrag, man hat die Erkenntnisse auch auf einer Session auf der Defcon präsentiert. Dort kann man auch nachlesen, dass QuadRooter genaugenommen eine Kombination aus vier Schwachstellen ist.

Gefährlich, aber nur in der Theorie

Laut Check Point findet man die Lücke(n) in fast allen relevanten Smartphones wieder und schon werden Vergleiche mit der (in der Praxis wesentlich gefährlicheren) Stagefright-Schwachstelle gezogen. Doch das ist in diesem Fall nur die halbe Wahrheit: Denn für dieses Angriffsszenario muss der Hacker den Nutzer dazu bringen, eine manipulierte App zu installieren (wie übrigens auch die SZ betont). Damit reduziert sich das Gefährdungspotenzial bereits signifikant: Wer ausschließlich Apps aus dem offiziellen Google Play Store bezieht, der ist fast zu 100 Prozent sicher, wie unter anderem Andreas Proschofsky, Android-Auskenner und Redakteur beim österreichischen derStandard auf Google+ erläutert.

Proschofsky wirft im Gegensatz den Aufdeckern Check Point "gutes Marketing" vor: Denn das Sicherheitsunternehmen bietet seinerseits eine App namens QuadRooter Scanner an, mit der man das Smartphone auf QuadRooter überprüfen kann. Das Sicherheitsunternehmen habe die Schwachstelle zudem bewusst zu einem Zeitpunkt öffentlich gemacht, so Proschofsky, bevor Google diese (gänzlich) schließen konnte.

An der Problematik, dass die von Google mittlerweile monatlich zur Verfügung gestellten Sicherheitsupdates nicht zwangsläufig bei allen Android-Geräten der Dritthersteller landen, ändert das freilich nichts. Ein Anlass für Panik ist QuadRooter aber dennoch nicht.